### 武器-1 免杀 Payload 制作 #### 1. 链路定位 - 杀伤链阶段：武器化（Weaponization）；ATT&CK 无「武器化」战术，资源开发侧对应 TA0042。 - 对应技术族：T1027 混淆文件/信息、T1620 反射式代码加载、T1055 进程注入（机制层）。 - 定位：把载荷处理到能穿过目标端点防护，属能力准备，信息级。落地执行后升级为 RCE/驻留。 #### 2. 前置条件 - 已知目标端点防护栈的大致类别（杀软/EDR/行为检测），在隔离沙箱可复测。 - 一个待处理的基础载荷（本部分不提供样本）。 - 区分静态特征（字节签名）与动态特征（落地行为、API 序列）两条免杀线。 #### 3. 技术原理 - 静态免杀：对载荷字节做加密/编码/加壳，改变磁盘上的特征码，使基于签名的扫描匹配不到。 - 动态免杀：内存加载不落盘，改造 API 调用链规避行为检测。Windows 下典型内存执行调用链（仅 API 示意，非样本）： ```text // API 调用链示意：在自身进程内存中分配、写入、拉起执行 VirtualAlloc(...