免杀加壳教程：别被“免杀”两个字唬住

上个月，免杀一个朋友拿着他的加壳教程远控木马找我，说被360查杀得死死的免杀。我问他：“你加壳了吗？加壳教程”他一脸茫然。这场景我见多了——很多人以为免杀是免杀玄学，其实第一步就是加壳教程加壳。壳的免杀本质是压缩+加密，让杀软静态扫描时认不出原始特征码。加壳教程但记住，免杀加壳只是加壳教程基础，不是免杀万能药。

先说说加壳工具。加壳教程UPX是免杀最老牌的，但也是加壳教程杀软重点关照对象——你拿UPX加壳，等于告诉杀软“我有问题”。免杀我建议用VMProtect或Themida，它们带虚拟化混淆，能打乱代码执行流程。不过这两个是商业软件，价格不低。免费的可以用MPRESS，效果比UPX强不少，但别指望它对抗行为查杀。

操作步骤其实很机械。拿VMProtect举例：打开软件，拖入你的exe，选“虚拟化”模式，勾选“内存保护”和“反调试”，点编译。整个过程不到一分钟。但关键坑在这——加壳后必须测试运行。我见过太多人加壳完直接扔出去，结果目标机器上跑不起来，报错“无法定位程序输入点”。这通常是你加壳时选了“压缩资源”导致DLL加载异常。解决办法：把“资源压缩”选项关掉，或者改用“仅虚拟化”模式。

壳加上了，但你以为就完了？杀软不是傻子。动态行为检测会盯着你运行时的动作，比如键盘钩子、注册表写入、进程注入。这时候壳帮不上忙，得靠你自己改代码逻辑。我习惯的做法是：把恶意功能拆成多个小模块，分散在不同线程里延迟执行。比如，先等系统空闲10分钟，再创建互斥体检测沙箱，最后才执行真正的载荷。这招对大多数云沙箱有效，因为它们等不了那么久。

还有个细节容易被忽略：加壳后的文件体积变化。如果你的木马原本200KB，加壳后变成2MB，这本身就值得怀疑。杀软会标记“超大加壳文件”为高危。所以加壳前最好把原始程序瘦身，去掉不必要的图标、版本信息、数字签名（虽然签名是另一个话题）。我一般用Resource Hacker删掉多余资源，再把代码段压缩一遍，控制在原体积的1.5倍以内。

最后说点得罪人的话。网上那些“一键免杀”工具，多半是过时壳+乱改特征码，用一次就被拉黑。真正靠谱的免杀，是壳+代码混淆+行为伪装的三层组合。你至少要花一周时间研究目标杀软的查杀逻辑，而不是指望一个工具搞定一切。我自己的测试环境是虚拟机装Win10+火绒+360+Defender，每次改完都挨个跑一遍，记录查杀结果，再调整策略。这活儿枯燥，但有效。

加壳只是入门。你真正要学的，是理解杀软怎么思考。否则就算壳加得再花哨，运行时一个CreateRemoteThread调用就出卖了你。下次再有人问你免杀怎么做，你可以直接甩他一句：“先学会让程序在杀软眼皮底下像个正常软件，再谈加壳。”