手把手学免杀1:你的杀毒软件是怎么被＂骗＂过去的?一篇文章看懂AV/EDR的检测逻辑

理解攻击，是为了更好地防御。

不知道你有没有想过一个问题：为什么明明装了杀毒软件，还是有企业被勒索、被入侵？答案很简单——杀毒软件不是万能的，它也很容易被"骗"。今天这篇文章，我们就从攻击者的视角，拆解一下杀毒软件和EDR到底是怎么工作的，它们有哪些弱点，以及作为防守方，我们该怎么补上这些短板。

一、先搞懂概念：什么是"免杀"？

在安全圈，有个词叫免杀。很多人一听这词就觉得是黑客干坏事用的。其实说白了，免杀就是让恶意程序绕过杀毒软件的检测。注意，它不是"关掉杀毒软件"，而是让它"看不见"。

▲ 图1：免杀技术的核心思路——伪装，而不是关闭

理解了这一点，你就会明白：杀毒软件本质上是一个检测系统，而检测系统就一定有漏报和误报。攻防双方的对抗，本质上是一场检测与反检测的竞赛。

二、杀毒软件和免杀技术的"猫鼠游戏"

这场较量大致经历了四个阶段，一张图看懂演进路线：

第一回合（1990s-2005）：特征码时代

早期的杀毒软件靠"签名"识别病毒——就像警察拿着通缉令比对犯人照片。

攻击者发现：只要改一个字节，签名就变了，杀软就不认识了。最简单的方法：加个壳（UPX、ASPack），整个文件的hash和结构全变了。

第二回合（2005-2012）：启发式时代

杀毒软件学聪明了——不只对"照片"，还看"行为"。比如，一个Word文档为什么要调用创建进程的API？可疑！

攻击者开始搞代码混淆——把代码变得面目全非，但功能不变。

第三回合（2012-2020）：云端+AI时代

杀软开始把文件上传到云端分析，还用上了机器学习模型。

攻击者改策略：不落盘了，直接在内存里执行恶意代码；用沙箱检测技术识别虚拟环境，检测到就躺平装死。

第四回合（2020-至今）：EDR全面对抗

企业开始部署EDR（端点检测与响应），能监控终端上的一举一动。

攻击者也开始"全链路对抗"：绕AMSI、绕ETW、直接系统调用、进程挖空注入……现在的攻防对抗已经是系统工程级别了，单点技术根本不够用。

三、杀毒软件到底是怎么检测的？

很多人以为杀软就是个"黑名单比对器"——太天真了。

现代杀毒软件是一个多引擎、多层次的检测体系：

3.1 特征码检测 —— 最老但还在用

原理很简单：维护一个"坏人名单"（特征码库），扫到就报警。特征码不一定是文件hash，它可以是：

• 特定字节序列（比如 Metasploit 生成shellcode的特征头）

• 导入的API组合（VirtualAlloc + CreateRemoteThread 同时出现就很可疑）

• PE文件结构异常（节区名叫 .spam 之类非标准名称）

• 资源段里有高熵值数据（加密的shellcode藏在这）

守方提醒： 不能只靠特征码。这也是为什么后面几层检测至关重要。

3.2 启发式检测 —— "我觉得你可疑"

启发式不依赖已知签名，而是分析程序的"行为倾向"。

静态启发（不执行，直接分析）：

动态启发（在沙箱里跑一遍）：

杀软在隔离环境里模拟执行几十秒，看你会不会连外网、创建进程、改注册表、注入其他进程。如果行为太像恶意软件，直接判黑。

守方提醒： 关注沙箱逃逸行为——正常用户不会检测自己是不是在虚拟机里。反沙箱检测行为本身就是告警信号。

3.3 行为分析 —— 运行时全程监控

重点监控的API：

• VirtualAlloc —— 分配可执行内存（RWX）

• WriteProcessMemory —— 往别的进程里写数据

• CreateRemoteThread —— 在别的进程里创建线程

• NtMapViewOfSection —— 内存映射注入

Hook机制的运作方式：

守方提醒： 用户态Hook可以被绕过（直接syscall），需要配合内核回调（PsSetCreateProcessNotifyRoutine 等）实现内核态监控。

3.4 云检测 —— "上传到云端我帮你看看"

文件hash、行为日志、甚至整个文件，会被上传到厂商的云端进行深度分析。

VirusTotal 这类平台虽然方便，但上传样本后马上会被各大厂商拉黑——实际攻击中，攻击者会先检测目标用的是哪家杀软，只针对那一家做免杀，绝不会把样本公开。

守方提醒： 确保终端即使断网也有基本的本地检测能力。

3.5 熵值检测 —— "你的代码太随机了"

熵（Entropy），通俗讲就是数据的"混乱程度"。

正常程序的代码段熵值一般在 5.0-6.5 之间，而加密后的shellcode熵值能到 7.5-7.9。杀软一看：熵值 > 7.0？八成有鬼。

守方提醒： 熵值检测是低成本高效率的手段，建议在自研检测规则中加入。

3.6 AI/ML检测 —— "我训练了一个模型来判断你"

这是近几年各家杀软的重头戏。把PE文件的特征（元数据、字节分布、API序列等）喂给模型，让它自己学会分辨好坏。

▲ 图7：AI/ML恶意软件检测流水线——从特征提取到集成判定

但ML模型有个致命问题：对抗样本。和图像识别一样，精心构造的扰动可以让模型把一个恶意文件判定为安全文件。

这也是为什么攻防对抗进入了新阶段——不光是对抗规则，还要对抗AI。

四、EDR比传统杀软强在哪？

很多人以为 EDR 就是"高级版杀毒软件"。不是的。

EDR 相当于在你的终端上装了个"监控摄像头"，记录下进程、网络、文件、注册表的一举一动。

EDR的四大核心武器：

1. 内核回调——进程创建、线程创建、模块加载，都能在内核态感知

2. ETW（事件追踪）——Windows自带的事件框架，低开销、难检测

3. 用户态Hook——在关键API上埋点

4. 内存扫描——定期扫描进程内存，找"不该在那里的代码"

五、重点拆一下 Windows Defender

做安全的都绕不开 Defender，它是 Windows 自带、市场占有率最高的杀软。

▲ 图10：Windows Defender九步检测流程

三个关键机制：

• AMSI——专门扫脚本和宏（PowerShell、VBA、JS），很多攻击的第一步就是从这里开始的

• MAPS云查——文件会被上传到微软云做深度分析

• EtwTi——利用 ETW 框架做威胁情报，可以感知到进程内存分配、远程线程创建等行为

写在最后

这篇文章只是开了个头。

真正要理解终端安全，你需要知道的知识远不止这些——shellcode是怎么生成和执行的、各种进程注入手法有什么区别、怎么绕过AMSI和ETW、内存保护机制怎么突破……

但有一个认知我希望你带走：

安全防御不能停留在"我有装杀毒软件"的水平。 你需要知道攻击者会从哪些角度绕过去，然后针对性地补上检测点。

多层次的检测 + 全链路的可观测性 + 持续的威胁情报更新，才是现代终端安全的正确姿势。

下一篇，我们会聊 Shellcode：它是怎么生成的、怎么在内存里执行的，以及为什么大多数杀软都拦不住它。

关注我们，不错过后续更新。