VIP20

本课程属于：003-AI安全威胁检测 网络安全工程与攻防实战 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

恶意软件逆向与AI分析实战

📚 共计 30 章节

恶意软件概述

定义、分类（病毒、蠕虫、木马、勒索软件等），历史演变与未来趋势。

逆向工程基础

x86/x64汇编基础、PE/ELF文件格式解析、常用逆向工具（IDA Pro、Ghidra、x64dbg）介绍。

静态分析入门

字符串分析、导入表/导出表分析、资源分析、使用IDA Pro进行静态分析实战。

动态分析入门

沙箱环境搭建（Cuckoo、FireEye）、行为监控（Process Monitor、Regshot）、网络流量捕获（Wireshark）。

沙箱Wireshark

断点原理与设置、单步跟踪、内存断点、硬件断点、使用x64dbg调试恶意代码。

代码混淆与反调试

花指令、控制流平坦化、反调试API（IsDebuggerPresent、NtQueryInformationProcess）、反虚拟机技术。

混淆反调试

壳的分类（压缩壳、加密壳）、ESP定律法、内存镜像法、模拟执行脱壳（Ollvm、UPX）。

恶意代码网络行为分析

HTTP/HTTPS通信分析、C2协议识别、DNS隧道检测、流量特征提取。

勒索软件逆向分析

加密算法识别（AES、RSA）、密钥提取、文件恢复思路、典型样本分析（WannaCry、LockBit）。

Rootkit与内核级恶意软件

内核驱动基础、SSDT Hook、Inline Hook、DKOM技术、驱动加载与检测。

宏病毒与文档型恶意软件

VBA宏分析、OLE对象提取、CVE漏洞利用文档分析、Office安全机制绕过。

WebShell与后门分析

一句话木马原理、WebShell流量特征、内存马技术、冰蝎/哥斯拉流量分析。

移动恶意软件分析（Android）

APK结构、Smali语法、反编译工具（Jadx、Apktool）、动态调试Android应用。

移动恶意软件分析（iOS）

IPA结构、Mach-O文件分析、越狱检测与绕过、Frida Hook技术。

恶意软件持久化机制

注册表启动项、计划任务、服务自启动、Bootkit技术、WMI事件订阅。

持久化BootkitWMI

内存取证分析

Volatility基础、进程列表分析、网络连接分析、Dump内存中的恶意代码、Mimikatz凭证提取。

VolatilityMimikatz

YARA规则编写

YARA语法基础、字符串匹配、条件表达式、规则优化与实战、YARA在威胁狩猎中的应用。

YARA威胁狩猎

威胁情报与ATT&CK框架

MITRE ATT&CK战术与技术、STIX/TAXII标准、情报共享平台（MISP）、IOC提取与关联。

AI基础与恶意软件检测

机器学习基础（分类、聚类）、特征工程（API序列、Opcode n-gram）、传统ML检测模型（随机森林、SVM）。

机器学习SVM

深度学习在恶意软件检测中的应用

CNN/RNN架构、MalConv模型、图神经网络（GNN）在二进制分析中的应用。

基于API序列的恶意行为识别

API序列提取、序列建模（LSTM、Transformer）、异常检测与分类。

LSTMTransformer

生成对抗网络（GAN）与恶意软件生成

GAN基础、恶意样本生成（MalGAN）、对抗样本攻击与防御。

自动化逆向与AI辅助分析

IDA Python脚本、Ghidra脚本、AI辅助函数命名、AI辅助反编译结果优化。

IDA PythonGhidra

恶意软件家族聚类与同源性分析

基于图匹配的聚类、基于特征哈希的聚类、大规模样本同源性分析。

聚类同源性

钓鱼邮件与社交工程分析

邮件头分析、URL分析、附件分析、AI检测钓鱼邮件技术。

钓鱼社交工程

IoT与固件恶意软件分析

固件提取、文件系统分析、嵌入式系统逆向、MIPS/ARM汇编基础。

恶意软件沙箱逃逸与对抗

沙箱检测技术、时间延迟、环境指纹、AI增强的沙箱逃逸检测。

威胁狩猎与事件响应

假设驱动的威胁狩猎、日志分析（Sysmon、EventLog）、应急响应流程、取证时间线构建。

威胁狩猎Sysmon

恶意软件分析报告撰写

报告结构、技术细节描述、IOC列表、MITRE ATT&CK映射、报告自动化生成。

综合实战项目

从样本捕获到完整分析报告，涵盖静态分析、动态分析、AI检测、威胁情报关联的全流程实战。

实战全流程