突破各款杀毒软件的思路，仅供讨论

竹木刀

无论是哪个杀毒软件，第1步的思路都是一致的——静态免杀，也就是保证不会被扫描查出来。
注：不考虑防火墙
1 t7 `" W  T7 w; l+ c% A; R
2 O1 U1 K9 g6 i( t国产方面：
: w; k  ^& N. @3 H/ s0 W- K一、瑞星杀毒软件
! x7 g/ \  C& D  H* u思路：
1、内存免杀，瑞星也就这个技术还算说的过去，所以做一下内存免杀（这也不是什么难事）
2、释放驱动，恢复SSDT-HOOK，干掉主动防御
2 w6 s' m$ Q) W. r; @, h3、释放病毒文件，感染，完成其他操作（如盗取密码、连接木马客户端等待受控等）

# p. K5 E5 w* T+ l0 C5 K; E7 J二、金山毒霸
思路：直接释放文件，进行感染……
: ^3 }* _! J0 v# u* \, s* y! [
三、江民杀毒软件
思路：
1、修改注册表，让江民在重启后报废
2、释放一个自身的副本到非系统目录
3 o" M  F+ J( N& y2 o* O' i3 Z3、释放一个快捷方式到开始菜单的启动目录中
4、等待自身文件写入完毕后，调用NtShutdownSystem函数，直接强制重启
  h7 Y2 g2 @. n4 k. s. t5 [% C0 R( D2 H5、重新启动以后系统激活病毒副本，开始感染，完成后续操作。
' `2 J, _8 ]& c, g5 Z
7 V& w1 t: \+ V: w  j四、微点
思路：
目前没有太好的办法，只能尽量模拟正常软件的行为，避免引起他的报警……

: G( Q, s/ t. K7 w国外方面：
6 c+ I7 X2 ^* w一、卡巴斯基
思路：
1、修改系统时间，这是个不错的主意，不过要防止有系统时间保护软件，遇到有这类软件，先干掉他们的进程再说！
5 t9 n& d/ u7 \- J) W9 m6 f4 s2、释放病毒文件，添加启动项，完成感染
* `6 `3 v6 _+ y3 ]3 g/ O
二、NOD32
两种思路：
其一，静态免杀不是很容易，他的启发很难对付，所以要尽量使用冷门的加密壳，然后对PE头做处理，实现静态免杀后，NOD32就成了废品
6 j/ i3 @2 f0 Z# N9 L$ U" ], a; m5 w9 [其二，利用其自我保护弱的特点，释放一个批处理：
$ {3 a1 \; x$ k8 T- x: \0 A0 z复制内容到剪贴板代码:
@echo off
+ }) M$ w  D2 O0 @:try
6 G8 W, }" E$ }* F) }taskkill /f /im: nod32krn.exe
taskkill /f /im: nod32kui.exe
5 P. \! a1 P3 m* v; [goto try
然后执行此批处理，接下来释放病毒文件，对NOD32进行映像劫持，最后停止此批处理即可。
/ r& D% [2 J  N9 f( b  g0 w
/ P3 P; P8 \& a$ f/ Z; {三、小红伞
* ]( O5 Q7 j& k* u( M) I思路：
一向以高启发著称，然而自我保护偏弱，通过pskill等可以直接干掉其进程，接下来不用我说了吧。。。。