文章总结： 本文介绍一款基于fscan改造的多级免杀工具netdiag，通过7层对抗措施（字符串清洗、身份重命名、编译器混淆、链接器剥离、代码签名、运行时编码、反沙箱）绕过WindowsDefender和火绒，保留全部功能。文章详细说明技术方案并展示验证结果，最终引导读者加入付费圈子获取工具，属于软文广告。 综合评分： 25 文章分类： 软文广告,安全工具,红队

【攻防工具】攻防演练专用多级免杀fscan(Windows+linux版本)

大白哥 大白哥

大白哥AI与安全

2026年7月1日 09:23 安徽

在小说阅读器读本章

去阅读

点击蓝字，关注大白哥AI与安全，一起探索AI与网络安全

免责声明：本文技术、思路及工具仅用于合法安全测试与防御研究，严禁用于非法入侵、攻击他人系统、数据窃取等违法违规行为，一切后果由使用者自行承担，文章作者及公众号不担任何法律责任。如有侵权烦请告知，我们会立即删除并致歉。谢谢！

fscan 是一款面向内网的网络诊断与资产探测工具，基于 Go 语言开发，具备完整的服务扫描、漏洞评估、Web 指纹识别和渗透测试能力。 以下重点介绍我们在免杀对抗方面的技术方案，目标为同时绕过 Windows Defender 和 火绒。

一、免杀挑战

杀软的检测机制覆盖了从磁盘到内存、从静态到行为的完整链：

| 检测维度 | 火绒 | Windows Defender | | — | — | — | | 静态字符串匹配 | ✅ Yara 规则 | ✅ ML 静态分类 + 传统签名 | | 行为特征检测 | ✅ 行为特征码 | ✅ 运行时 API 调用链监控 | | 云信誉机制 | ❌ | ✅ SmartScreen + MAPS | | 内存扫描 | ❌ | ✅ AMSI 接口 | | PE 结构分析 | 有限 | ✅ ML 分类器 |

要在两个杀软的夹击下存活，单一手段是无法生效的——必须构建多层、互补的对抗体系。

二、对抗体系总览（7 层防护）

源码层面
  ├─ 层 1: 嵌入式资源字符串清洗
  ├─ 层 2: 源码身份重命名
  ▼
编译器混淆（层 3）
  ▼
链接器剥离（层 4）
  ▼
代码签名（层 5）
  ▼
运行时保护（层 6-7）
  ▼
最终产物

每一层都有其明确的对抗目标，组合起来形成纵深防御。

三、对抗措施详解

关于功能完整性：传统免杀方案惯用”编译期裁剪高危模块”的思路（如通过 build tags 排除 MS17-010、反弹 Shell、SOCKS5 代理等 34 个模块），但这会牺牲大量核心功能。 NetDiag 放弃了这条路线，转而通过运行时保护层（见下方层 6-7）来保护这些模块——所有敏感数据以加密形式存储、执行前做环境检测，从而做到全部功能完整保留。

层 1：嵌入式资源字符串清洗

Go 的 //go:embed 指令会将 YAML 配置文件直接嵌入到二进制只读数据段中，且编译器混淆工具无法处理嵌入数据。这意味着这些明文字符串会被杀软的静态扫描引擎直接命中。

我们对 868 行中英文资源文件进行了完整清洗，关键替换包括：

| 原始敏感词 | 替换为 | | — | — | | MS17-010 | NetScan | | Shellcode | Payload data / Module | | Reverse shell / 反弹Shell | Callback service / 回调服务 | | Forward shell / 正向Shell | Remote service / 远程服务 | | SOCKS5 proxy / SOCKS5代理 | TUNNEL5 proxy / TUNNEL5代理 | | Keylogger / 键盘记录 | EventMon / 事件监听 | | lsass / 内存转储 | 数据导出 | | exploit / 利用 | evaluate / 评估 | | fscan （项目身份） | NetDiag |

清洗覆盖 YAML 的 key 名、value 值、日志前缀、状态标识等全部字符串，不留遗漏。

层 2：源码身份重命名

杀软对 fscan 这类已知安全工具有专门的 Yara 签名。我们将整个项目的身份标识彻底替换：

• 251 个源文件的 Go module import 路径全局替换
• 结构体字段、运行时状态变量、CLI 命令行参数全部重命名
• 将工具命名为 NetDiag（Network Diagnostics），以中性化的网络诊断工具身份出现

层 3：编译器级混淆

使用业界领先的 Go 混淆编译器 garble，并开启最严格的混淆参数：

• 字符串混淆：所有源代码中的字符串字面量被加密编码，strings 命令无法提取任何明文
• 调试信息剥离：移除文件名、行号等元数据，减小攻击面
• 随机种子：每次编译产出的二进制完全不同，对抗基于哈希的签名匹配

层 4：链接器深度剥离

• 去除符号表 → 拒绝逆向工程辅助
• 去除 DWARF 调试信息 → 无法进行源码级调试和恢复
• 移除本地文件系统绝对路径 → 不泄露开发者环境信息

这些措施有效减少了 ML 分类器可提取的语义特征维度。

层 5：代码签名（WD 专用）

针对 Windows Defender SmartScreen 和云信誉机制，我们对产物进行了数字签名：

• 自签名证书，发布商显示为合法企业身份
• SmartScreen 从”未知发布商（高风险）”降级为”已签名应用”
• 云信誉文件哈希由”未知”变为”已签名”，降低 MAPS 风险评分

注意：火绒不检查数字签名，此层专门针对 Defender 的信誉机制。

层 6：敏感数据运行时编码

对于必须保留的高风险模块，所有敏感数据均以加密形式存储，仅在运行到对应逻辑时即时解码使用：

• Shellcode XOR 编码：EternalBlue 的 loader shellcode 以单字节 XOR 编码存储，运行时解码注入
• 密钥 XOR 保护：AES 加密密钥以字节编码存储，运行时还原，二进制中不存在明文密钥
• DLL/API/进程名混淆：11 个敏感 API 函数名、3 个系统 DLL 名、核心进程名、10 个杀软进程名全部 XOR 编码存储

静态分析工具看到的只是一串无意义的字节，无法提取任何敏感信息。

层 7：运行时反沙箱与反分析

在实际执行敏感操作前，进行多维度环境检测，防止在沙箱或分析环境中暴露恶意行为：

| 检测维度 | 判定条件 | 目的 | | — | — | — | | CPU 核心数 | < 2 核 | 沙箱通常资源受限 | | 物理内存 | < 2GB | 沙箱通常内存不足 | | 系统运行时间 | < 10 分钟 | 沙箱短暂运行 | | 调试器检测 | IsDebuggerPresent + 远程调试器检查 | 防止动态调试 |

采用多条件组合判定：至少满足 2 个条件才判定为沙箱环境，避免单一特征误判。

同时实现了：

• FNV-1a API 哈希调用：预计算敏感 Windows API 的哈希值，运行时从 PE 导出表按哈希解析函数地址，绕过 IAT 静态分析
• ntdll Unhooking 框架：从磁盘重载干净 ntdll，绕过 EDR 用户态 Hook
• 垃圾代码注入：无意义计算扰乱静态分析器的控制流分析

四、对抗效果矩阵

| 对抗措施 | 火绒 Yara | 火绒行为 | WD 静态 | WD 行为 | WD 信誉 | WD AMSI | | — | — | — | — | — | — | — | | 字符串清洗 (层1) | ✅ | – | ✅ | – | – | – | | 身份重命名 (层2) | ✅ | – | ✅ | – | – | – | | garble 混淆 (层3) | ✅ | – | ✅ | – | – | ✅ | | 链接器剥离 (层4) | – | – | ✅ | – | – | – | | 代码签名 (层5) | – | – | – | – | ✅ | – | | 数据编码 (层6) | ✅ | ✅ | ✅ | ✅ | – | – | | 反沙箱 (层7) | – | ✅ | – | ✅ | – | – |

五、验证结果

编译后对最终二进制进行 strings 提取验证，以下关键字符串全部清除：

• ms17 / ms17010 / eternalblue / doublepulsar
• shellcode / shell_code
• lsass / lsass.exe / comsvcs
• socks5 / SOCKS5
• keylogger / 键盘记录
• 正向Shell / 反弹Shell / 内存转储
• OpenProcess / MiniDumpWriteDump / SeDebugPrivilege
• Dbghelp.dll / advapi32.dll
• fscan（项目身份标识）

极少量残留在 Go runtime 内建的 kernel32.dll 引用和嵌入的第三方 POC 指纹数据库中，这些不在可执行代码路径上，不触发行为检测。

六、效果及使用情况

火绒查杀

360查杀

功能使用

目前免杀fscan已上传纷传圈子,感兴趣的师傅可以加入我的圈子获取

02

纷传圈子

本圈子只做一件事就是更新AL与安全，以实战案例的形式分享AL渗透、AL代码审计、AL工具、AL免费模型，以及任何AL与网络安全相关的内容。

目前已更新内容:

16.【工具分享】Fscan — 多层级免杀对抗方案

15.【AI工具】php-audit Skill — AI 驱动的 php代码审计skills

14.【AI工具】Swagger-Scan Skill AI 驱动的 SwaggerAPI漏洞自动化扫描

13.【AI工具】一键快速检测模型存活工具

12.【AI免杀】大白哥免杀skills分享

11.【AI模型】新人入圈就送5000万token

10.【Al工具】codex接入国产deepseek模型

9.【AI工具】claude code中文桌面版

8.【AI工具】零零信安高级会员key

7.【AI工具】手机上如何使用gpt-5.5模型

6.【AI渗透】大白哥教你用AI打CTF

5.【AI资讯】GPT Cyber认证服务介绍

4.【Al渗透】大白哥教你破解codex限制

3.【AI工具】DbgClaude v0.0.1版本

2.【AI工具】用AI1:1复刻SRC挖掘工具

1.【AI安全】间接提示词注入实现RCE(CVE-2025-53773绕过分析)

👇关注【大白哥AI与安全】公众号, 获取AI安全前沿技术与工具分享👇

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：大白哥AI与安全 大白哥 大白哥《【攻防工具】攻防演练专用多级免杀fscan(Windows+linux版本)》