01
逆向工程概述
什么是恶意软件逆向 · 法律与道德边界 · 分析师职业路径
基础概念
02
环境搭建
Windows/Linux双平台 · FlareVM & REMnux · 工具链概览
工具虚拟机
03
PE文件结构解析
DOS头 · NT头 · 节表 · 导入表与导出表深度剖析
PE结构
04
静态分析基础
DIE查壳 · PEiD识别语言 · 文件指纹与哈希
静态查壳
05
字符串与资源分析
提取字符串 · 硬编码IP/域名 · 资源节隐藏数据
字符串资源
06
x86汇编基础 (一)
寄存器 · 栈与内存模型 · mov/push/pop/call/ret
汇编x86
07
x86汇编基础 (二)
条件跳转 · 循环 · cdecl/stdcall 调用约定
汇编调用约定
08
x64汇编与差异
x64寄存器变化 · 调用约定差异 · 64位恶意软件趋势
x64汇编
09
IDA Pro 入门
界面布局 · 反汇编窗口 · 图形/文本视图 · Xrefs
IDA反汇编
10
IDA Pro 进阶
重命名变量 · 注释 · 结构体 · FLIRT签名
IDA进阶
11
Ghidra 入门
NSA神器 · 项目管理 · 反编译窗口 · 与IDA对比
Ghidra反编译
12
动态分析基础
沙箱环境 · Process Monitor · 注册表与文件监控
动态沙箱
13
调试器入门
x64dbg界面 · INT3/硬件/内存断点
调试x64dbg
14
单步跟踪与脱壳
寻找OEP · 手动脱UPX壳实战
脱壳UPX
15
API监控
API Monitor · 捕获系统调用 · CreateProcess/WriteProcessMemory
API监控
16
网络行为分析
FakeNet-NG · Wireshark · C2通信分析
网络C2
17
恶意文档分析
宏病毒(VBA) · Office文档提取Shellcode
文档宏
18
Shellcode 分析
加载器原理 · scdbg模拟执行
Shellcode模拟
19
加密与编码识别
Base64 · XOR · RC4 · CyberChef解码
加密解码
20
代码混淆与反调试
花指令 · IsDebuggerPresent · NtQueryInformationProcess · 绕过
反调试混淆
21
注入技术 (一)
进程注入 · CreateRemoteThread · DLL注入实战
注入进程
22
注入技术 (二)
反射式DLL注入 · Process Hollowing
注入镂空
23
Rootkit与内核基础
用户态/内核态 · 驱动加载 · SSDT Hook
Rootkit内核
24
YARA规则编写
YARA语法 · 自定义规则 · 检测恶意软件家族
YARA检测
25
恶意软件分类
木马 · 蠕虫 · 勒索 · 后门 · 挖矿病毒行为特征
分类特征
26
实战案例 (一) RAT
远程访问木马 · 静态到动态全流程分析
实战RAT
27
实战案例 (二) 勒索软件
解密算法分析 · 文件恢复思路
实战勒索
28
实战案例 (三) Bootkit
MBR/VBR分析基础
实战Bootkit
29
报告撰写
专业逆向分析报告 · IOC提取 · MISP共享
报告IOC
30
进阶方向
移动逆向(Android) · IoT固件 · 模糊测试与漏洞挖掘
进阶移动IoT