返回：Windows 逆向攻防篇 · 网络安全学习主页

这一节对应 04.0 - 04.4，主题很敏感：ShellCode 和内存承载。这里不记录生成、部署、执行的可操作步骤，只整理它为什么需要位置无关、为什么依赖内存属性、以及防守侧能从哪些地方观察异常。

1、内容范围

小节 主题
04.0 ShellCode 构建
04.1 ShellCode 压缩
04.2 ShellCode 修正
04.3 ShellCode 通用执行方式思路
04.4 无申请附加执行方案的原理边界

1.1、逐节复盘

小节 主要内容 复盘点
04.0 从代码、数据、地址引用和入口点理解 ShellCode 结构 只记录结构和限制，不整理可复用载荷
04.1 理解压缩或裁剪二进制片段时可能破坏的内容 关注相对地址、字符串、导入解析和跳转边界
04.2 修正二进制片段中的地址、长度和边界问题 用反汇编和校验值确认数据没有错位
04.3 从实验框架角度认识本地执行、回调执行等触发方式 重点记录内存属性、调用栈和异常，不写执行手册
04.4 理解“不额外申请内存”等思路背后的风险边界 复盘可疑页属性、代码段修改和短时间状态变化

2、核心概念

概念 复盘重点
位置无关 代码不能依赖固定地址，需要动态定位数据和 API
内存属性 承载区域的读写执行权限是关键检测点
数据压缩 压缩、编码、拆分会改变静态特征，但也会留下解码和内存转换痕迹
修正过程 修正通常涉及地址、字符串、调用关系或平台差异
执行入口 入口地址是否可信、是否属于正常模块，是防守侧重点

3、防护观察点

观察点 说明
私有可执行页 非模块映射的可执行内存需要重点关注
权限切换 先写后执行、频繁改页保护是强信号
异常熵值 压缩或编码数据可能造成异常字节分布
API 解析 动态解析模块和函数名会留下行为线索
执行路径 线程入口、回调地址和异常地址是否落在可疑区域

4、复盘方式

项目 内容
静态复盘 观察字节分布、字符串、导入表、节区属性
动态复盘 观察内存页属性、调用栈、异常、线程入口
检测复盘 记录安全工具报警、日志事件和可疑行为链
边界说明 只讨论机制和检测，不记录可复用执行代码

5、学习检查清单

检查项 状态
能说明 ShellCode 为什么强调位置无关 待复盘
能列出可疑内存页属性和权限切换行为 待复盘
能从防守角度解释压缩、编码和动态解析的痕迹 待复盘
能把 ShellCode 复盘限制在授权样本和检测视角 待复盘

本节不提供 ShellCode 生成、执行或注入流程，只用于理解风险特征和防护观察点。