做安全测试这些年每次聊到钓鱼和免杀总有人一上来就问“有没有现成的工具”“能不能直接生成一个不杀的exe”。说实话这类问题背后暴露的恰恰是对攻击链路理解不够深。真正的重点从来不是某一个工具而是你对“系统如何判定一个文件是否可信”这件事的认知深度。这篇笔记我就把自己在授权项目里折腾exe捆绑和免杀的思路完整拆一遍包括为什么捆绑能生效、哪些姿势有实际价值、现代的免杀难点到底在哪以及防御侧是怎么反制的。内容只做技术研究和防御科普请务必只在授权环境下测试。1. 钓鱼攻击里的“exe捆绑”攻击者到底在利用什么很多人把exe捆绑想得太简单觉得就是把两个文件拼在一起、点开之后先弹一个正常的、再偷偷跑一个恶意的。实际操作里捆绑是否“有效”取决于你对人的行为模式和系统信任机制的理解有多深。先说清楚一个底层逻辑捆绑攻击之所以能成立是因为它精准踩中了两个信任缺陷——人对“看起来正常的东西”没有防备心以及系统对“带有合法签名的进程”会给予更高权限。1.1 信任链攻击捆绑文件利用了哪一环Windows系统在启动一个exe时并不是只看文件名和图标而是会走一遍隐形的信任判定链文件签名是否有效、发布者是否知名、程序行为是否符合用户预期、进程行为是否符合系统策略。捆绑攻击做的工作本质上就是在这个信任链里塞进一个“合法伪装层”让用户看到的是正常的安装界面、正常的软件图标、正常的弹窗提示但后台的恶意代码已经在执行了。举个例子我在一个授权的内网评估里见过一个经典的捆绑样本攻击者把一份公司内部常用的报表工具和一个用来收集主机信息的远控木马捆在一起图标用的是报表工具的原版图标数字签名直接盗用了软件开发商泄露的证书运行后报表工具功能完全正常但同一时间远控已在后台启动并尝试连接外网等待指令。整个过程用户毫无感知总部安全设备也只看到“一个带签名的合法软件在运行”这条日志。1.2 为什么“正常功能恶意功能”的组合最难查很多新手第一次接触捆绑时容易犯一个错误把恶意代码直接暴露在行为层结果就是运行后要么杀软立即拦截要么系统日志里出现大量异常行为记录。捆绑的真正价值在于用正常功能覆盖恶意行为让所有检测视角看到的都是“合法操作”。这个逻辑其实和现实里的“声东击西”是一个道理——你在前台演了一场精彩的戏观众的目光全在舞台上后台趁乱搬运道具的动作反而没人注意。捆绑exe也一样报表工具在前台跑得越流畅、越像真的后台的恶意代码就越不容易被怀疑。所以捆绑不只是“文件拼接”它是一门关于“注意力分配”的心理战。我在实际做测试的时候判断一个捆绑方案合不合格只看三点正常功能是否能100%流畅使用不能出现报错或者明显卡顿恶意功能的启动时机是否经过设计不是一运行就触发而是延迟几秒、或者等用户完成某个操作后再触发最终生成的样本是否避开了“文件资源管理器里一眼看穿”的特征比如文件大小异常、图标清晰度差、属性信息缺失这三点里前两点和“人”相关第三点和“文件的静态特征”相关。后续的一切免杀手段其实都是在解决第三点以及其他更深层的检测问题。2. 四类主流捆绑方式的技术拆解与特征分析既然要聊捆绑就得把几种主流玩法摊开来讲。很多文章会把捆绑和免杀混在一起说最后读者根本分不清哪个手段解决的是哪一层问题。我这里按“文件类型处理”的角度把实战里最常见的四类捆绑方式拆开对比。2.1 静态资源附加式捆绑最基础但也最容易被查这类捆绑的原理非常直接用一个可执行文件作为“宿主”把另一个需要释放的文件以字节流的形式直接追加到宿主文件末尾运行的时候先读取自身文件末尾的特定偏移量把数据释放到临时目录再通过CreateProcess等API调用起来。技术上它有几个关键点文件偏移量的计算必须在编译时或运行时定位追加数据的起始位置通常是先记录宿主exe的原始大小然后在运行时用GetModuleFileNameA获取自身路径再用文件读取API从偏移位置读取捆绑数据释放路径的选择最常见的做法是释放到%TEMP%或%APPDATA%需要取随机文件名避免特征固定权限问题如果捆绑的是需要管理员权限的安装包还要考虑UAC提权流程这往往会增加行为层的告警风险这类方式最大的问题就是静态特征太明显。杀软引擎扫描文件时会对exe文件的区段结构、文件熵值、资源节等维度做统计一个正常编译的exe如果尾部多出几百KB甚至几MB的高熵数据在不做任何处理的情况下本地特征引擎基本一查一个准。我在最早接触捆绑的时候也写过这种方案测试效果其实很差但不可否认它是最容易理解的一种实现方式适合用来学习PE文件结构和对齐方式的相关知识。2.2 自解压式捆绑利用合法压缩软件的信任背书自解压的方式是把恶意代码和正常软件一起打包进一个自解压压缩包用户在双击的时候会看到压缩软件的解压界面解压完成之后自动执行里面的程序。这种方式有两个天然优势信任度较高WinRAR、7-Zip这些软件的界面和流程大家都熟悉用户看到熟悉的解压窗口时戒心会下降很多技术门槛低只需要掌握压缩包的命令行配置不需要会C/C或汇编不用手写PE结构自解压式捆绑的关键配置是“解压后自动运行”的选项。WinRAR的自解压模块支持通过配置文件指定Setup指令在解压完成后自动执行指定程序。这里有个非常细节的坑如果直接配置成解压后立刻运行恶意程序行为监控同样会记录一条“压缩包释放文件后立即运行新进程”的序列现代EDR对这类行为是有专门规则的其实并不安全。我见过比较有效的思路是把恶意程序伪装成某种“配置组件”或“运行库”解压后不会立即运行而是等用户手动点击主程序时通过DLL劫持或路径搜索劫持的方式带起来。这种方式利用了用户“主动去点主程序”的信任感行为序列也更自然。2.3 加壳器捆绑把恶意文件藏进另一个程序的“壳”里加壳器捆绑更多是指用一些公开的加壳工具如UPX等把恶意程序和正常程序打包成一个文件。加壳工具本身并不区分壳里面装的是什么它只负责压缩和加壳运行的时候由壳的Loader统一解密再跳到原始入口点执行。这里需要分情况讨论使用壳本身恶意程序作为主程序被加壳——壳的Loader解密后直接进入恶意代码使用壳实现“对正常程序入口先行劫持”——壳加载时先执行一段预设代码再跳回正常程序的原始入口点正常程序的所有功能都保留第二种方式更像是一种“存在感极低”的捆绑难度也更高。它需要你把一段恶意行为逻辑转换成DLL或shellcode再用壳的接口或自己写的Loader在入口点之前加载。整个过程涉及PE入口点修改、导入表修复、重定位表处理。需要注意的是加壳本身在杀软眼里已经是“高度可疑”的特征之一。正常开发的商业软件很少会加壳除非是为了防破解绝大部分加壳程序都和历史恶意软件有关所以引擎对“壳特征”的敏感度非常高。纯粹指望加壳来免杀在现在的环境下基本等于送人头。2.4 下载器式“捆绑”不在本地落盘反而更难查严格来说下载器式不算传统意义上的“文件捆绑”但它是目前攻击链里更常见的替代方案先用一个文件可以是exe、脚本、文档作为突破口这个文件体积极小、功能单一但会在后台下载后续的恶意组件并执行。这种方式有非常明显的优势初始文件特征极少文件大小可能只有几十KB功能逻辑只有“下载执行”两个动作静态扫描的暴露面极小恶意行为延后真正的恶意行为发生在后续组件落地之后给前期的检测窗口带来了很大困难灵活调整下载的地址可以做多种配置信标地址更换的成本极低但下载器式也有致命的缺陷——对网络环境的依赖。如果目标主机处于严格的内网隔离环境出网请求全部需要代理认证那么下载器可能根本没有机会拉取后续组件。我在一个政府类项目里就遇到过这个情况下载器跑起来之后迟迟等不到回连最后排查发现目标的网络策略根本不允许未认证的HTTP请求。现在很多实战攻防里下载器使用的也不是HTTP协议而是通过DNS请求或HTTPS伪装流量来传输加密后的后续载荷。针对以上几种方式我整理了一个对比表格方便理解各种方式的适用场景和实际风险捆绑方式实现难度静态查杀风险行为查杀风险适合场景静态资源附加低高中学习PE结构、理解文件格式自解压捆绑低中中高快速验证安全意识测试加壳器捆绑中高中理解壳的加载流程和PE特征下载器式中高低中高有出网条件、需要灵活控制3. 免杀的核心逻辑杀软到底在看什么聊免杀之前必须先把杀软的检测视角讲透。很多刚入门的同学以为免杀就是“改一下文件哈希、加个壳、换一下图标”但这套思路在十年前或许有效在今天几乎已经行不通了。现代杀软是一个多层检测的复杂系统光靠改表面特征连第一层都过不了。3.1 从特征码到行为检测杀软检测技术的四代演变杀软检测手段大致经历了四个阶段理解这四个阶段你就知道免杀为什么越来越难做。第一代特征码静态扫描。这是最古老的检测方式做法是从已知恶意样本中提取一段固定字节序列作为“指纹”扫描文件时比对是否存在相同特征。特征码扫描的优点是快、省资源但缺陷也很明显——只要改变特征位置的几个字节或者对文件做一次简单的加壳指纹就对不上了。早期免杀基本全靠这一步。第二代启发式扫描。启发式扫描不依赖固定特征而是通过“经验规则”来判定。比如一个exe文件包含大量的加密循环、有动态解密执行的逻辑、导入表里包含一堆敏感的API这些“行为特征”组合在一起就会被判定为高风险。它的本质是做了“代码相似度”和“可疑结构模式”的打分对加壳、变种有更强的抵御能力。第三代行为监控与沙箱动态分析。行为监控是主动防御的核心。程序运行时杀软或EDR会在内核层挂钩关键API记录进程创建、注册表修改、文件写入、网络连接等行为序列然后把序列交给规则引擎判断。现在很多杀软自带轻量级沙箱——一个文件被执行后会先在隔离环境里跑一遍观察它的行为再决定是否放行到真实系统。免杀在这个阶段的难度陡增因为你不仅要骗过静态扫描还要让程序在沙箱里“看起来人畜无害”。第四代威胁情报与云查杀。这一步是最难对抗的。文件在本地扫描的同时会把哈希、行为日志和一些元数据上传到云端与全网的情报库进行关联比对。一台机器上出现的可疑文件如果其他机器也出现过云端会迅速把它标记为恶意并同步给所有用户。云查杀的可怕之处在于它打破了单机检测的局限性让所有终端的“见闻”共享成了一个大数据库。既然要讲钓鱼姿势这种情况我认为一定要提醒一下国内外的查杀机制还有差异部分地区的杀软会有本地合规策略云端比对尤其强所以做测试前一定要先了解目标环境的杀软类型和版本。3.2 免杀的真正难点对抗的不只是杀软而是整套体系理解了杀软检测技术的演化你就会发现“免杀”这个词本质上是在和一套多兵种协防的体系作战静态引擎扫描文件本身寻找特征和可疑结构行为引擎监控进程的每一个关键动作沙箱系统在隔离环境里运行样本观察完整行为链EDR平台收集全网的遥测数据做关联分析和威胁建模所以免杀必须同时考虑多个维度绕过静态特征、欺骗沙箱分析、伪装行为模式、隐藏通信流量。用一张表来总结各层的对抗点检测层检测内容免杀对抗的方式对抗难度静态特征文件哈希、特征序列、壳特征代码混淆、修改特征、分离加载中启发式代码结构、可疑API组合、熵值减小文件熵、模拟正常开发模式中高沙箱行为运行轨迹、API调用序列、互斥量反沙箱、延迟触发、环境检测高云端情报全网文件信誉、行为遥测控制测试范围、杜绝在公网大范围投放极高4. 主流免杀思路分类从静态绕过到内存执行免杀思路虽然多但归纳下来就四大类每一类解决的是不同检测层的问题。我在下面的内容里只做原理说明和防御侧分析不会放出可用的具体代码实现需要理解的可以直接看官方文档和开源项目的逻辑。4.1 静态绕过把“恶意痕迹”从文件里抹掉静态绕过的目标是让杀软在“不运行文件”的前提下看不出任何问题。具体手段包括特征修改。最简单的方式是修改恶意代码中已知的特征字节。比如一个木马的特征码定位在某一段汇编指令上通过更换等效指令mov替换为pushpop、jmp替换为callret就能绕过第一代特征码查杀。但这种手段对现代杀软的效果有限因为启发式引擎会从整体结构上打分而不是单看某几个字节。花指令与代码混淆。在关键代码段插入大量无意义的跳转指令、垃圾字节、等效的运算操作混淆代码结构让逆向分析变难也干扰特征提取。分离加载。把恶意代码从主程序中分离出来——主程序只负责加载和运行恶意逻辑放在加密的外部文件中运行时动态解密。这种方式让静态扫描器在分析主程序时看不到恶意代码因为那些代码根本不在文件里。落到文件层面的东西永远是加密的“数据”而不是可识别的“代码”。我在实际测试中观察到分离加载是目前静态绕过方向效果最好、也应用最广的手段。即使加密文件被查杀了主程序依然是一个“干净”的可执行文件可以继续复用。4.2 行为绕过让程序运行时“看着像正常软件”行为绕过的目标是让行为监控引擎无法把程序的动作关联成“恶意行为链”。常见的思路延长休眠时间恶意逻辑不在程序启动时立即执行而是配置成等待几分钟、几小时甚至特定时间点再触发绕过沙箱的“短时观察窗口”拆分行为链不在一个进程内完成所有恶意动作而是通过多个进程接力让每个进程单独看起来都很正常但组合起来才是完整的攻击链模拟用户操作一些恶意行为不是直接调用API而是先创建正常的系统进程如PowerShell、cmd再通过模拟键盘输入或远程线程注入的方式下发指令让行为监控看到的是一个“系统API的正常使用过程”这里要单独提醒一下现在的EDR对进程链的追踪很成熟——即使你拆分成了多个进程只要父进程和子进程之间存在明显的异常关系比如一个文档阅读软件去创建PowerShell进程这本身就是高风险的告警特征。所以行为绕过的核心不只是“拆分”还要让进程之间的父子关系合理化。4.3 内存执行不做落地文件直接在空中解决问题内存执行是这些年非常热门的方向也是绕过硬碟扫描的有效手段。核心思路是恶意代码不以文件的形式存在于磁盘上而是通过网络传输或自身解密后直接在内存中加载执行。典型的技术实现方式包括进程注入恶意代码作为合法进程的线程执行无文件攻击通过PowerShell等脚本解释器从远程拉取代码直接在内存中执行全程不写磁盘无文件攻击的实现方式确实吸引了不少安全测试人员关注但也不是没有代价对PowerShell脚本的监控已经非常严格——脚本块日志、命令行为日志都会记录内存扫描技术能够直接扫描进程内存空间网络流量监控可以识别出“传输数据的特征”和“远程下载行为”之间的一致性4.4 免杀效果评估的实操流程这部分完全是干活内容。实际评估一个样本的免杀效果不能靠猜必须走标准流程准备隔离的虚拟机环境关闭共享文件夹和剪贴板共享安装目标环境的杀软版本确保病毒库更新到最新先上传样本到微步在线云沙箱等平台观察静态检测和动态行为报告的完整内容在本地实机运行样本观察杀软是否实时拦截以及最终是否成功执行反复修改样本记录每一次的对抗结果形成量化数据我个人的习惯是至少要在三套不同的杀软环境里测试因为不同引擎的检测重点差异很大一个样本可能在一家杀软下完全免杀在另一家直接被查得死死的。如果目标是明确的环境建议直接以目标环境的杀软为准在线平台的检测结果作为参考而不是最终结论。5. 防御侧的反制思路安全团队怎么查这种人做了这么多攻击侧的拆解如果没有防御侧的视角这篇文章就是残缺的。反过来想正因为我们了解了攻击者的招数才能设计出更有针对性的防御策略。5.1 构建针对捆绑与免杀的行为检测规则EDR平台基本都支持自定义检测规则安全团队可以根据捆绑攻击的行为特征编写针对性规则比如检测“压缩软件进程释放可执行文件后立即运行”的模式检测“文档阅读软件或报表软件创建PowerShell进程或cmd进程”的父子进程关系检测“可执行文件从TEMP目录或Downloads目录启动”的行为检测“程序运行后访问非标准端口或者非常规域名”的外联行为在对捆绑类攻击做检测规则的时候最需要注意的是避免误报。拿“程序释放文件后运行”来说很多正常的软件安装包都有这个行为直接一棍子打死会让安全团队的告警量和误报率高到无法处理。合理的做法是加条件释放路径在TEMP目录、释放的文件是高熵或加密内容、释放后的进程通过反射加载或动态API解析执行全部命中才告警。5.2 给个人用户和安全人员的一些实用建议从个人用户的角度防范这类攻击其实有很基础但有效的方法软件一律从官方网站下载不要使用第三方软件站和下载器——捆绑攻击最喜欢伪装在这些渠道安装软件时选择“自定义安装”仔细看勾选项能有效识别大部分捆绑行为开启系统的应用程序控制功能如Windows的SmartScreen、杀软的未知程序拦截对无签名文件保持警惕不双击任何来历不明的exe文件包括聊天软件里别人发来的“文档”“图片”从安全人员的角度我建议把精力放在“狩猎”而不是“防病毒”上。常规杀软只能防住已知威胁而捆绑钓鱼这类攻击的核心还是“人”的问题。定期做钓鱼演练、培养员工“对陌生文件保持怀疑”的习惯投入产出比远高于单纯堆安全设备。这类安全理念在不管是政务、教育还是企业环境里都非常重要。6. 合规红线安全测试必须守住的边界最后这部分必须讲因为这是最容易翻车的环节。无论是exe捆绑还是免杀研究这套技术从本质上说是一把双刃剑——在授权测试里它是检验防护体系的有效工具在非授权环境下它就是违法犯罪工具。根据国内相关法律法规未经授权对计算机信息系统实施入侵、获取数据或控制系统的行为都涉嫌违法即使动机只是“好奇”和“学习”。所以写任何关于这类技术的文章我都要明确圈定边界仅可在自己拥有的设备上、或获得明确书面授权的测试环境中进行研究不得将相关技术用于任何未经授权的目标包括同事、同学、网友的电脑不得在公开渠道传播可运行的恶意样本测试结束后要及时清理样本避免造成环境污染如果你是在校学生或者刚入行的新手我特别建议从“防御视角”进入这个领域先学习恶意样本的分析方法用真实的恶意样本研究攻击原理。这个方向的成长速度不会比研究免杀慢但安全性和合规性上好得多。每次我给内部做攻防演练复盘都会强调一个观点一个优秀的安全工程师不是看他能做出多难杀的工具而是看他能否用最有效的方式发现系统的薄弱点并且推动业务侧把短板补上。技术能力只是入场券搞清楚技术的使用边界、守住职业底线才是在这个行业走远的关键。做安全项目这几年我见过太多人把精力放在钻研“怎么不被发现”上到头来却连“为什么需要被发现”都没想明白。攻防的本质是持续对抗是蓝队和红队互相学习、互相促进的循环。希望这篇笔记能给你一些启发——无论你站在攻防的哪一侧都要知道对手在想什么。