关于模糊哈希更加详细的内容可以查看文章后面的参考文章，这里不再详述。
就目前的反病毒技术来讲，更改特征码从而达到免杀的效果事实上包含着两种方式。
乌鸦安全拥有对此文章的修改、删除和解释权限，如转载或传播此文章，需保证文章的完整性，未经允许，禁止转载！
通常杀软只检测一个进程的行为，所以如果存在两个恶意进程通过进程间通信就能逃过检测、达到免杀。
静态免杀其实很多年前就有了，但是现在部分杀软还能使用修改特征码来绕过，本篇文章只是讲了免杀最简单的一部分，像内存查杀，行为查杀，云查杀其实都要复杂很多。有部分杀软已经做到了特征码反定位，这种只能重构整个项目源码比如修改方法类名、去除注释图标、重写方法内容避开杀软黑名单。或者自己开发工具，毕竟公网上公开的工具已经被加了太多特征了。
执行后可正常上线。开启杀软进行测试，静态测试没问题，行为检测马上露馅。
You signed in with another tab or window. Reload to refresh your session. You signed out in Yet another tab or window. Reload to refresh your session. You switched accounts on One more tab here or window. Reload to refresh your session.
举例解释一下，假如进程A是具有数字签名的根可信进程，那么它在被用户直接执行时就不会触发杀软的任何操作，且由A进程创建的新进程也成为可信进程。如果进程B是一个非可信程序，那么它在被用户执行时就会受到严密的监控，如果执行期间有什么敏感操作，样本会被马上提交到服务器进行处理。
代码够简单，估计要不了多久就进特征库了，被杀了再去改几个特征码照样又可以免杀，保持更新。
通过动态调�?API 函数的方式来调用 virtualalloc here 函数。具体的做法是， load kernel32.dll 库，使用汇编语言�?kernel32 库中取得 virtualalloc 函数在内存中的地址，然后执行。
关于我们 可持续发�?隐私 华为商城 华为�?企业业务 运营商网�?华为集团 加入华为 内容举报 在线支持
乌鸦安全的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。
动态程序分析是通过在真实或虚拟处理器上执行程序而执行的分析。为了使动态程序分析真实可信，我们必须要能够对各种目标程序的行为进行测试。
以上是对杀软检测做的一个小结，目前学术界对恶意代码的检测集中在机器学习上，已经有部分杀软已经应用落地了，如微软。对杀软检测手法更多的了解有助于我们写免杀马。