白文件Patch免杀技术实测：BypassAV如何绕过360、火绒、Defender与卡巴斯基

工具介绍

BypassAV 是一款利用 Patch 技术对白文件进行修改以实现免杀效果的工具。其核心原理较为直接，并未引入其他复杂的免杀手法，因此失效风险可能较高。你可以根据其提供的 shellcode 模板，自行创建新版本以适应变化。

工具作者：Sakura529

使用方法

1. 生成 Shellcode：首先，使用 donut 工具将你的后渗透工具转换为 shellcode。
2. 加密 Shellcode：然后，使用 sgn 工具对生成的 shellcode 进行加密。
3. 重命名：将最终加密得到的文件命名为 work.bin。

重要提示：原始的待转换 exe 文件不能经过加密或加壳处理。例如，像 fscan 的发行版这样经过处理的程序，可能无法成功转换为 shellcode 使用。

免责声明：本工具仅限用于合法的渗透测试与安全研究。请严格遵守法律法规，切勿将其用于任何违法行为。因不当使用本工具所造成的任何损失，由使用者自行承担。

免杀效果实测

以下是在多个主流安全软件环境下进行静态及动态测试的结果截图，展示了 BypassAV 工具的免杀效果。

360安全卫士

工具成功运行，360安全卫士未报毒。

火绒安全

工具成功运行，火绒安全未检测到威胁。

Windows Defender

工具成功运行，Windows 安全中心显示未发现威胁。

卡巴斯基

工具成功运行，卡巴斯基终端安全软件未报告活动威胁。

参考链接

• https://xz.aliyun.com/news/14518
• https://www.52pojie.cn/thread-1900852-1-1.html
• https://github.com/yinsel/BypassAV
• https://github.com/yj94/BinarySpy?tab=readme-ov-file
• https://github.com/clownfive/CppDevShellcode

项目地址

主项目仓库：https://github.com/Sakura529/BypassAV

对渗透测试与逆向工程技术感兴趣的朋友，欢迎到云栈社区交流讨论，共同探索安全领域的知识。