2019年夏天，免杀论坛我在一个Telegram群里看到有人发了个链接，免杀论坛标题写着“免杀论坛，免杀论坛注册送邀请码”。免杀论坛点进去，免杀论坛页面粗糙得像2005年的免杀论坛个人站长作品，但首页滚动条里全是免杀论坛“过卡巴斯基”“过火绒”“过Defender”的帖子。注册完才发现，免杀论坛这地方压根不教你怎么写病毒，免杀论坛只教你怎么让病毒不被杀。免杀论坛

免杀论坛的免杀论坛本质，是免杀论坛一个技术黑市的橱窗。卖家不摆实物，免杀论坛只摆“效果”。免杀论坛一个帖子标题叫“某数字卫士免杀，免杀论坛稳定三个月”，点开看，楼主只放了一张截图——任务管理器里某个进程正常运行，旁边杀软图标是绿的。底下跟了四十多页回复，全是“求私聊”“已付款，等测试”。没有人讨论代码，没有人分析行为特征，所有人都在问同一个问题：现在还能过吗？

我混了三个月，摸清了里面的门道。免杀分两派：一派改特征码，一派改行为链。改特征码的，用MyCCL或者自己写脚本，定位杀软识别的字节段，然后做等价替换。听起来简单，做起来像在雷区里绣花。一个做免杀的老手跟我说，他为了过某国产杀软的启发式扫描，把一段汇编指令拆成十七段，中间插了八个跳转，最后跑起来效率掉了六成，但杀软不报了。

另一派更狠，直接改行为。有个帖子讲“白加黑利用”，把恶意代码塞进一个正规签名的DLL里，再用合法程序去加载。杀软一看签名有效，直接放行。这招在2018年到2020年特别管用，后来微软推了SmartScreen和AMSI，才慢慢堵上。但论坛里没人哀嚎，他们转头就去研究“反射式DLL注入”和“API unhooking”。

论坛的版规很有意思。禁止讨论“破坏性行为”，禁止“攻击个人用户”，但允许“渗透测试”和“红队工具”。这层遮羞布薄得像纸。我见过一个帖子，楼主卖“勒索软件免杀版”，标题写的是“红队模拟加密行为”。底下有人问“能过360吗”，楼主回“自己测，别问”。

真正让我后背发凉的是2020年的一次经历。论坛里有人发了个“免杀生成器”，界面是MFC写的，丑得不行，但功能明确：上传exe，选杀软类型，点“生成”，三分钟后给你一个新exe。我拿一个已知的远程控制样本试了试，原版被Defender秒删，生成版居然在虚拟机里跑起来了。我盯着那个界面看了很久，突然意识到：这个论坛不是在教技术，是在卖“安全感”——一种让恶意代码活下来的安全感。

论坛的服务器换得很勤。每隔两三个月，域名就变一次，从.ru跳到.cc，再跳到.io。管理员从不多说话，只发公告：“旧域名已废，新域名见签名。”签名里是一串洋葱地址。我最后一次登录是2021年初，首页置顶帖写着“本论坛不欢迎脚本小子，只服务付费用户”。下面跟帖的人说，年费涨到800美元了。

后来我退出了。不是因为道德觉醒，是因为我发现，免杀技术的迭代速度已经超过了我的学习能力。今天能过的方法，明天就进特征库。论坛里那些“稳定三个月”的承诺，三个月后全变成“已失效，请等更新”。这是一场没有终点的猫鼠游戏，而老鼠的每一次进化，都建立在真实用户的感染数据上。

现在偶尔还能看到类似论坛的残影。它们藏在暗网里，藏在加密聊天群中，换了个名字叫“红队资源站”。但内核没变：一群人围着一堆二进制文件，反复问同一个问题——怎么让它活下去。答案永远在变，但问题本身，从来没变过。

(责任编辑：综合)