安全天书免杀培训（2026）

# 🏷
>  #Windows免杀 #免杀技术 #CobaltStrike #Shellcode #ShellcodeLoader #Loader开发 #EDR #反沙箱 #反虚拟机 #代码特征混淆 #白加黑 #WindowsDefender #后渗透工具二开 #LNK钓鱼 #免杀培训

---

#### ⬇️获取课程⬇️

# 🔍 课程介绍>>> 
是一套围绕 Windows 攻防场景下“免杀与对抗”展开的专项实战课程。课程从 Cobalt Strike、Shellcode 与 Loader 基础切入，逐步进入静态特征处理、反沙箱/反分析、白加黑、白名单利用，以及针对 360、火绒、Windows Defender 的专项内容，后段延伸至提权、后渗透工具二开、维权、文件捆绑与钓鱼场景。整体明显偏代码实践与攻防实验，而非单纯工具使用教学。

## 知识与能力图谱

|课程阶段|核心模块|主要学习内容|资料体现的训练/工具|
|---|---|---|---|
|基础准备|01 基础环境搭建|建立课程实验环境|Visual Studio 2019、安全分析工具、Cobalt Strike|
|CS基础|02 Cobalt Strike|CS知识、Profile|CS Profile、Process Hacker、Python、cs_stage_probe|
|载荷基础|03 Shellcode与Loader|Shellcode及不同语言加载方式|bin2c、PE_Hidden、各种语言加载Shellcode|
|检测原理|04 杀软与EDR|杀软查杀原理、EDR介绍|原理型课件|
|静态处理|05 Shellcode特征混淆|Shellcode静态特征处理|XOR、UUID、DFT、MARS、Entropy工具|
|Loader开发|06 Loader编写|Shellcode Loader实现|syscall|
|载荷存储|07 Shellcode存储|不同Shellcode存储方式|inject_shellcode|
|EXE处理|08 EXE静态混淆|EXE静态处理、Signature相关内容|VMProtect、LOLBins|
|环境识别|09–10 反沙箱/反分析|云沙箱信息、反沙箱、虚拟机与分析环境识别|get_info、软硬件痕迹检测|
|代码特征|11 代码层静态特征|API与字符串层面的代码处理|String Hash、PEB、自定义GetProcAddress|
|文件加载|12 白加黑|DLL相关加载方式|DllMainHijacking、HYPHelper、libcef|
|白名单|13 微软白名单|微软白名单相关内容|7za|
|360专项|14–15|QVM与360进阶|QVM解决思路、COM、route、ChangeTimestamp|
|火绒专项|16–17|火绒6及进阶|C/C++ Loader、HOOK、驱动滥用等实验材料|
|Defender专项|18–19|Defender及进阶|APC、EDR-Freeze、UnDefend等材料|
|综合攻防|20|实战场景下的免杀手法|ByPassGodzilla|
|权限提升|21|提权手法|fodhelper、ComputerDefaults、COM UAC等实验材料|
|工具改造|22|后渗透工具二开|fscan二开、BadPotato、Go、PE相关材料|
|权限维持|23|维权思路|COM、自启动、白文件相关实践|
|文件构造|24|文件捆绑|单/多文件、资源文件捆绑|
|场景实践|25|Hook与钓鱼实测|hook、unhook、xdbg及测试材料|
|钓鱼专项|26|LNK钓鱼免杀|LNK、PDF/DOC、解析模板、演示视频|

从整个目录看，知识链条基本呈现为：

**环境与CS → Shellcode/Loader → 查杀机制 → 静态特征处理 → 环境/分析对抗 → 代码层处理 → 白加黑/白名单 → 主流安全产品专项 → 提权与后渗透 → 维权 → 文件构造与钓鱼场景**

## 深度亮点剖析

- **不是单点“免杀技巧”课程**：26 个模块形成从载荷、Loader、EXE到后渗透工具及钓鱼文件的连续实践链条。
    
- **代码实践占比明显较高**：资料直接包含 C/C++ Loader、syscall、PEB、String Hash、自定义 GetProcAddress、HOOK 等代码型内容。
    
- **按安全产品拆专项模块**：360 QVM、360进阶、火绒6、火绒6进阶、Windows Defender、Defender进阶分别展开，而不是混成一节泛讲。
    
- **强调环境与检测侧对抗理解**：专门设置杀软/EDR、云沙箱、反沙箱、反虚拟机反分析等模块，课程结构不止停留在载荷处理。
    
- **后半程转向完整攻防场景**：加入提权、后渗透工具二开、维权、文件捆绑、Hook与钓鱼实测、LNK等内容，实战属性明显增强。

## 行业/专业背景溯源

课程材料中反复出现 **Cobalt Strike、Shellcode、Loader、EDR、QVM、PE、Syscall、PEB、HOOK、APC、COM、LNK、LOLBins** 等技术词。

从课程自身编排看，Shellcode 与 Loader 是前半段的核心技术主线；EDR、沙箱、虚拟机与不同安全产品构成检测/分析侧内容；PE、HOOK、COM、APC 等则进入更具体的 Windows 技术实践。后半段进一步把这些内容放进提权、后渗透、维权和钓鱼场景中。

## 课程定位判别

**定位：Windows 安全攻防方向的进阶专项实战课程，核心主题是免杀与安全产品对抗。**

它并非从网络安全基础知识开始，而是在环境搭建后很快进入 Cobalt Strike、Shellcode、Loader，并继续涉及 Syscall、PEB、HOOK、COM、PE 等技术内容。大量配套压缩包直接提供代码、Loader、分析工具和实验项目，因此更偏向“理解机制 + 修改代码 + 实验验证”的训练结构。

## 适合什么人看

- 已接触 Cobalt Strike、Shellcode、Windows 攻防，希望系统整理免杀知识链的人。
    
- 希望从“使用现成工具”进一步进入 Loader、代码特征与工具二开的人。
    
- 关注 360、火绒、Windows Defender 等安全产品专项实验的人。
    
- 需要学习提权、后渗透工具改造、维权等攻防后续环节的人。
    
- 更适合具备一定代码与攻防基础的学习者，不属于纯小白型网络安全启蒙课程。

# ☁️📚🛠️ 网盘目录（仅展示部分目录）>>>