2026-10-16 05:26:02 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

MalCheck-杀毒特征分析工具

原创

Hello888
Hello888

安全天书

2026年10月1日 19:58
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

本文所涉及的技术、思路和工具仅用于本地靶场安全测试和防御研究，切勿将其用于非法入侵或攻击他人系统等目的，请务必在获得明确书面授权的环境下使用，并遵守相关法律法规，一切后果由使用者自行承担！！

工具介绍

通过二分搜索精确定位触发检测的字节区域，针对真实引擎（Defender、AMSI）。为侦测工程、规则编写和紫队研究而设计。

工具原理

MalCheck 利用字节范围的二分搜索，针对真实的杀毒引擎来隔离最小触发区域：

┌─────────────────────────────────────────────────────────┐│  Full file  ──►  Detected?  ──►  YES                    ││                                                         ││  Split in half ──► Test each half ──► Narrow range      ││       │                                                 ││       ▼                                                 ││  Repeat until exact byte boundaries are found           ││       │                                                 ││       ▼                                                 ││  Signature #1: offset 0x4F1A0 – 0x4F1C8 (40 bytes)     ││  Section: .text  │  Pattern: 48 8B 05 ?? ?? ?? ??      │└─────────────────────────────────────────────────────────┘

算法步骤：

将目标文件加载到内存中
确认所选发动机检测到完整的样品
在后缀仍触发签名开始时，二分搜索最大可移除前缀→
二分搜索是从该起点起点的最小后缀，同时仍能触发签名→结束
可选地对剩余字节重复此操作以找到所有签名

GitHub地址：

https://github.com/security-attack/MalCheck

注意：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测。

红蓝偶像练习生小圈子

更多工具思路文章请加入纷传，圈子主要研究方向渗透测试、红蓝对抗、钓鱼手法思路、武器化，红队工具二开与免杀。圈内不定期分享红队技术文章，攻防经验总结以及自研工具与插件，目前圈子已满400人，欢迎各位进圈子交流学习！

*圈子目前更新相关技术文章：*

*** HeavenlyBypassAV内部版工具-轻松免杀各大杀软
* HeBypassAV内部版Patch免杀工具-轻松绕过杀软EDR
* Heavenly自动化红队后渗透工具免杀生成器
* Heavenly白加黑自动化生成免杀工具
* HeavenlyProtectionCS内部CS插件
* Heavenly专版Linux免杀工具
* 冰蝎webshell免杀工具