在网络安全领域，加壳器（Cryptor） 是一种专门用于混淆、加密恶意代码以绕过安全软件检测的工具。它是黑客攻防对抗中的核心手段之一，起到了“隐身衣”的作用。
核心工作原理：加密与自解压
加壳器通过复杂的加密算法改变原始程序的特征码，并附加一段特殊的“Stub（壳代码）”。其运行逻辑如下：
- 执行外壳： 用户运行文件，首选激活的是最外层的
Stub代码。 - 内存解密：
Stub在系统内存中实时解密被隐藏的原始恶意载荷。 - 释放运行： 病毒本体在不落地或瞬时落地的状态下被激活。
形象比喻： 就像把毒药藏在带有密码锁的糖果盒里。杀毒软件在没有“钥匙”的情况下只能看到无害的盒子，直到锁被打开，毒性才会释放。
致命弱点：特征码关联性
虽然加壳能暂时规避查杀，但由于加壳工具本身也具有规律性，安全厂商会采取以下策略：
- 识别 Stub 特征： 即使内部病毒千变万化，如果外层的“锁”样式相同，也会被杀软标记为“可疑加壳”。
- 生命周期短： 尤其是公开流传的免费加壳工具，一旦其
Stub代码被上传至 VirusTotal 等分析平台，所有经其处理的文件都会瞬间在全球范围内“报红”。
加壳器的专业分类
1. 按检出率（Detection Rate）划分
- semiFUD (半隐匿型)：
只能绕过部分非主流杀毒软件，在顶级安防产品面前依然无所遁形。 - FUD (全隐匿型 / Fully Undetectable)：
最顶级状态。指能避开市面上所有主流杀软的检测。这类工具通常使用闭源且独有的代码，极其稀缺且昂贵。
2. 按技术架构划分
- Stub 型 (独立壳体)：
- 结构： 加密主程序 + 独立 Stub 模块。
- 优劣： 效率高，支持批量处理。但由于 Stub 具有通用性，一旦 Stub 被杀软提取指纹，所有相关样本将集体失效。
- Polymorphic 型 (多态变换)：
- 结构： 每次加壳时都会重新生成代码逻辑、插入随机垃圾指令或调用不同的系统 API。
- 优劣： 赋予每个病毒文件“唯一性”，从根本上对抗传统特征库扫描，隐匿性最强，但开发维护成本极高。
性能对比总结
| 技术类型 | 检出风险 | 隐匿强度 | 特点说明 |
|---|---|---|---|
| semiFUD | 较高 |  |
绕过能力有限，适合对抗基础安防 |
| FUD | 极低 | |
几乎完全免疫查杀，通常用于定向攻击 |
| Stub 型 | 中等 | |
开发简单，但壳体复用导致易被关联识别 |
| Polymorphic | 最低 | |
每次生成文件都不相同，对抗启发式扫描 |
总结建议
加壳技术是病毒作者与安全软件之间长期的“猫鼠游戏”。对于普通用户而言，不下载来源不明的压缩包、保持杀毒软件库实时更新，是防御此类威胁的最有效手段。