免杀技术基础

免杀技术
一、基础知识
1.杀软是如何检测出恶意代码的？
（1）检测特征码
人有自己的特征，代码也有自己的特征。杀毒软件都有着一套特征库，依靠检索程序代码是否和库中特征码是否吻合来判断某段代码是否属于病毒。
（2）启发式恶意软件检测
如果该程序的特征和行为与病毒程序类似，其匹配程度达到一定值就可以认为该程序是病毒程序。
（3）基于行为检测
与启发式检测类似，只是单纯依靠监测程序行为来作为标准。通过监视恶意代码运行过程，如利用系统监视工具观察恶意代码运行过程时系统环境的变化，或通过跟踪恶意代码执行过程使用的系统函数和指令特征分析恶意代码功能，如出现恶意行为，则属于恶意代码。
2.免杀是什么？如何免杀？
顾名思义，免杀就是使得恶意软件不被杀毒软件查杀，二者能够共存。免杀的方法如下
改变特征码：在不影响程序功能的情况下，依靠分片等方法尝试找出特征码区域，并对该区域代码进行编码（直接修改特征码的十六进制法、修改字符串大小写法、等价替换法、指令顺序调换法、通用跳转法）

加花：就是加入一些花里胡哨的指令来迷惑杀软，让杀软检测不到特征码，但是一些厉害的杀软还可以看破这些。
加壳：就是给含有恶意代码的程序加一个外包装，使其无法进行逆向比对病毒库中的特征码。但运行时需要载入内存，在载入内存之时，需要先自我脱壳才能运行，因此也能被查杀。
改程序入口点
（PS:参考百度百科）