明日开课，老鑫安全第七期培训
原创
老鑫安全
老鑫安全
老鑫安全
2026年10月19日 13:54
中国香港
去阅读
这门课讲什么？
这是一门完整覆盖红队免杀全链路的实战课程，主要讲Windows系统上从 C 语言底层到 LLM 驱动的 EDR 自动逆向免杀，七个模块层层递进：
| 模块 | 主题 | 你能学到什么 |
|---|---|---|
| 一 | 底层筑基 | C/Windows API、PE 结构、手写 Shellcode 加载器 |
| 二 | BOF 开发 | COFF 格式、Beacon API、三个完整实战项目 |
| 三 | UDRL/Sleepmask | 自定义反射加载器、模块踩踏、Ekko、BeaconGate |
| 四 | CET/LACUNA Chain | 调用栈欺骗、BYOUD-Gap、Ghost Gadget、内核遥测对抗 |
| 五 | ML 免杀 | EMBER2024、决策树路径逆向、IAT 伪装、LLM 分析对抗 |
| 六 | AI 自动 EDR 逆向 | LLM harness 搭建、Cortex/SentinelOne 完整拆解 |
| 七 | 实战突破 | 权限维持、凭证抓取、横向移动、EDR 全线绕过 |
模块一：底层筑基——C语言与Windows API深度剖析
| 二级节点 | 三级节点 |
|---|---|
| C语言与指针高级操作 | 内存管理与指针运算 |
| 结构体对齐与手动内存布局 | |
| PE文件格式深度解析 | DOS Header / NT Header / Section Header |
| 导入表(IAT)、导出表(EAT)、重定位表 | |
| .pdata节区与异常处理元数据 | |
| Windows API核心机制 | 进程/线程/内存管理API |
| 虚拟内存与页保护(VirtualAlloc/VirtualProtect) | |
| 句柄与对象管理 | |
| 手写Shellcode加载器 | 经典VirtualAlloc+CreateThread模式 |
| 避免RWX、使用PAGE\_EXECUTE\_READ | |
| 回调执行(EnumWindows/CertEnumSystemStore) |
模块二：OPSEC植入体开发
| 二级节点 | 三级节点 |
|---|---|
| 定义问题：Beacon与Sleepmask如何集成 | Shellcode、Beacon DLL、Sleepmask的关系 |
| UDRL组件需求：定位DLL、映射节区、解析导入、处理重定位、调用入口 | |
| 项目工程化 | 文件夹结构、Common文件、中央Makefile |
| Cobalt Strike Profile与Aggressor脚本 | |
| 构建自动化与无头Aggressor | |
| BOF | BOF开发环境搭建（Windows + Linux） |
| COFF文件格式与COFFLoader | |
| Beacon API与Stardust框架 | |
| UDRL基础反射加载 | 解析PE头、映射节区 |
| 填充IAT、处理重定位 | |
| 转移执行：修改内存保护、Beacon用户数据、调用入口点 | |
| UDRL模块踩踏(Module Stomping) | 识别牺牲DLL |
| 基础实现 vs 高级实现 | |
| 操纵Section Handle、替换LoadLibraryEx | |
| 映射Beacon的Unwind Info | |
| 修复Sleepmask与BOF的Unwind Info | |
| Sleepmask基础：Ekko实现 | 解析cData、掩蔽堆内存 |
| EkkoEx代码分析与实现 | |
| Sleepmask进阶：BeaconGate + Ekko | 栈参数传递、ROP链构造、Gadget定位 |
| 存储返回值、Pivot Beacon支持 | |
| 控制流保护(CFG) | 理解CFG对Beacon的影响 |
| 枚举CFG并修改Bitmap |
模块三：CET Stack与LACUNA Chain——调用栈欺骗与内核遥测对抗
| 二级节点 | 三级节点 |
|---|---|
| EDR的进化：从用户态Hook到内核遥测 | 内核回调：ObRegisterCallbacks/PsSetCreateProcessNotifyRoutine |
| ETW-Ti：内核态ETW与STACKWALK模式 | |
| 为什么HookChain失效了 | |
| x64堆栈展开内部机制 | .pdata / RUNTIME\_FUNCTION / UNWIND\_CODE |
| RtlVirtualUnwind的叶子函数分支 | |
| UWOP\_PUSH\_MACHFRAME与RSP传送 | |
| BYOUD-Gap：零修改堆栈欺骗 | .pdata间隙(Lacuna)的发现与利用 |
| Ghost Function扫描(ntdll 1031个、kernelbase 432个) | |
| Win32u NOP Gap Chain(1242个叶帧) | |
| Ghost Gadget(ntdll+0xFC47B的JMP [RBX]) | |
| CET墙与BYOUD | Intel CET影子栈原理 |
| BYOUD(klezVirus)如何绕过CET | |
| BYOUD-RT：运行时自适应变体 | |
| BYOUD-MF：机器帧RSP传送 | |
| ETW-Ti APC窗口攻击 | USER\_APC延迟投递的时间差 |
| 控制堆栈快照时机 | |
| 参数加密 | 硬件断点VEH在syscall指令处解密 |
| 与BYOUD组合 | |
| LACUNA Chain完整实现 | 六层链构造：KiUserExceptionDispatcher→wow64→kernelbase→ntdll→win32u→RtlUserThreadStart |
| 实验室测量结果(Sysmon/ETW-Ti/影子栈/内核回调) | |
| 实战：Elastic EDR、Bitdefender、Kaspersky全线绕过 | |
| 检测工程：什么能抓、什么抓不到 | 已死规则：模块来源检查、白名单模块 |
| 真正有效的规则：.pdata间隙地址检测 | |
| 三个开放问题 |
模块四：AI大模型自动EDR逆向分析免杀——LLM驱动的下一代对抗
注：你图中这个模块是折叠的，我按之前资料（SpecterOps + SentinelOne）补全，你可以按需删减。
| 二级节点 | 三级节点 |
|---|---|
| LLM驱动EDR逆向的实战案例 | SpecterOps \"Day Shift\" harness：Codex-CLI + Binary Ninja MCP + while循环 |
| Ralph Wiggum loop与上下文窗口清理 | |
| REPORT.md / STATE.md / CODEMAP.md / AGENTS.md协作机制 | |
| Cortex XDR完整拆解 | 用户态Hook：cyinjct.dll对LdrInitializeThunk/NtContinue/NtTestAlert的inline hook |
| YARA规则：6358条，AES-128-ECB加密，固定密钥离线解密 | |
| 行为规则：9350条DSE + 4209条BIOC，含SAM导出检测 | |
| 7个ML模型：PE/PowerShell/VBS/JS，含特征提取器与阈值 | |
| CLP规则解密(AES-256-CBC)：CLIPS/LISP语法检测逻辑 | |
| 用LLM模拟EDR环境测试规避 | EMULATE-WINDOWS.yaml + EMULATE-EDR.yaml子代理 |
| 虚拟C2框架\"Upside Down\" | |
| 实战：reg save HKLM\SAM绕过测试 | |
| 传统逆向对照组：SentinelOne拆解 | 配置/策略：单一11字节XOR密钥 |
| Lua规则：307条RC4加密，密钥从lunar\_loader.lua提取 | |
| YARA：XOR 0xFF(magic A6 BE AD BE) | |
| 行为ML模型：65条件决策链，特征68单一门控 | |
| 信任模型：Matchers.lua 2147行明文，215个matcher | |
| 检测逻辑：可直接grep出Injection/LSASS/Syscall/ETW-AMSI | |
| 实战验证：samSung.bat触发WMI告警但被误分类 | |
| LLM辅助逆向的工具链 | Binary Ninja / Ghidra + MCP协议 |
| 自动化Python解密器生成 | |
| 特征提取harness自动构建 | |
| 防御视角：EDR厂商的应对策略 | 本地检测内容加密密钥不应硬编码 |
| ML模型不应被单一特征门控 | |
| 信任模型不应明文下发 | |
| 云端遥测与SOC关联的重要性 |
模块五：免杀基于机器学习的检测——EMBER2024与树模型对抗
| 二级节点 | 三级节点 |
|---|---|
| ML检测基础 | 静态分析 vs 动态分析 |
| EMBER2024：323万文件、6种格式、2568维特征 | |
| LightGBM与ROC AUC | |
| EMBER2024特征工程 | ImportsInfo(1282维)、ByteHistogram(256维)、ByteEntropyHistogram(256维) |
| StringExtractor(177维)、SectionInfo(174维)、ExportsInfo(129维) | |
| AuthenticodeSignature(8维)、RichHeader(33维) | |
| 各特征维度的实际影响权重 | |
| 实证调优 | 伪造良性IAT(141个良性导入降低93%分数) |
| 添加代码签名证书 | |
| 添加EAT导出表条目 | |
| 扩大.pdata节区 | |
| 代码流混淆与子程序化 | |
| XOR字符串反而升高分数的反直觉发现 | |
| 白盒逆向：随机森林决策树路径提取 | 从Benign叶节点反向提取特征约束 |
| 用LLM简化逻辑表达式 | |
| 修改二进制落入良性超矩形 | |
| Packer/Loader架构 | 多态、字符串混淆、模拟引擎绕过 |
| IAT伪装在代码库中的分散放置 | |
| 文件后门(7z.exe案例) | |
| 主动LLM分析对抗 | LLM如何逆向你的载荷 |
| 让LLM评分为Benign的循环迭代法 | |
| 应避免的IOC：单一字符串混淆函数、PEB遍历模式、已知API哈希 | |
| 低熵需求与导入表平衡 |
模块六：实战测试各大EDR行为免杀——权限维持、凭证抓取、横向移动
| 二级节点 | 三级节点 |
|---|---|
| 主流EDR全线突破实战 | Elastic EDR绕过 |
| Bitdefender绕过 | |
| Kaspersky Endpoint Security绕过 | |
| CrowdStrike Falcon绕过思路 | |
| SentinelOne绕过思路 | |
| 360绕过 | |
| 权限维持 | 启动项 |
| 服务与计划任务 | |
| 用户添加 | |
| 凭证抓取 | LSASS dump与绕过PPL |
| SAM/SECURITY/SYSTEM注册表导出 | |
| 内网横向移动 | SMB / WMI / WinRM |
| 隧道代理与端口转发 | |
| 域内信息收集与BloodHound | |
| 清理与善后 | LitterBox：YARA / PE-sieve / Moneta / Patriot对抗 |
| 释放UDRL初始分配 | |
| 替换Beacon中的可疑字节序列 | |
| 规避熵值检查 |
适合人群
- ✅ 想从渗透测试转向红队免杀方向的从业者
- ✅ 已有一定红队基础，想掌握前沿免杀技术的工程师
- ✅ 想理解 EDR 内部机制、提升检测能力的蓝队研究人员
- ✅ 对 AI + 安全交叉领域感兴趣的研究者
不适合：
- ❌ 只想学“一键工具”不想理解原理的人
学完你能做什么？
- ✅ 独立编写自定义 UDRL 和 Sleepmask
- ✅ 开发 BOF 模块并集成到 C2 框架
- ✅ 实现 LACUNA Chain 级别的调用栈欺骗
- ✅ 用 EMBER2024 和决策树路径逆向工程 ML 检测
- ✅ 搭建 LLM 驱动的 EDR 自动逆向 harness
- ✅ 在真实 EDR 环境下完成权限维持、凭证抓取、横向移动
常见问题 FAQ
Q1：这门课需要什么前置基础？A：至少掌握 C 语言基础，了解 Windows 基本操作。如果有渗透测试或红队经验会更好，但不是必须。
Q2：课程涉及的技术是否合法？A：本课程仅用于安全研究和授权测试。所有技术都应在合法授权范围内使用，课程会强调法律与伦理边界。
Q3：需要准备什么环境？A：一台 Windows VM（用于调试和测试）+ 一台 Linux VM（用于编译和工具链）。课程会提供详细的软件清单和配置指南。
Q4：课程会涉及 Cobalt Strike 吗？A：可以涉及。但技术本身与 C2 无关，同样适用于 Havoc、Mythic、Adaptix 等框架。
Q5：课程更新频率如何？A：免杀领域技术迭代极快，课程会持续更新。已购学员可免费获取后续更新内容。
Q6：学完能达到什么水平？A：能独立完成从加载器开发到 EDR 绕过的完整红队免杀工作流，具备对抗主流 EDR 产品的能力。
Q7：有实战环境吗？A：课程提供实验室环境和真实 EDR授权 产品。
现在报名，赠送价值4000元的EDR真实授权环境
包括但不限于 SentinelOne、Trend Micro、CrowdStrike、等主流平台的合法测试授权，助你搭建真实的攻防演练环境。
EDR 在进化，免杀也必须进化。加入我们，掌握下一代红队免杀技术。
- 📚 六大模块完整课程视频
- 💻 配套代码、工具链、实验环境
- 📖 前沿论文与研究资料合集
- 🔄 课程持续更新
- 💬 学员社群，与同行交流
- 🎯 实战案例与绕过思路
往期课程+学员评价：
第七期上课时间
*10月20日起，*每周一、三、五的晚间 20：00-22:00。本次课程采用线上上课，录播+直播的方式，Windows，Android、IOS、MAC都可以进行学习，每个学员都能正常参加课程，无需担心进度问题！
课程价格/优惠
单期：3399 仅本期课程 + 课程群答疑
VIP通票：4999 本期+往期+未来所有课程 + 1v1优先答疑 + 作业批改 + 全部课件工具
报名咨询微信，备注来意：
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论