fscan免杀研究，过国内所有最新版杀软以及Defender-泷羽Sec

先来看看效果，当前fscan版本为2.1.3，github最新版，上周发布的，https://github.com/shadow1ng/fscan/

设置好代理

$env:GO111MODULE = "on"
$env:GOPROXY = " https://goproxy.cn ,direct"

编译方法

go build -ldflags="-s -w" -trimpath main.go

1、特征替换

比如

改！

windows下的批量替换脚本

Get-ChildItem -Recurse -Filter "*.go" | ForEach-Object {
    (Get-Content $_.FullName) -replace 'github.com/shadow1ng/fscan', 'xiaoyu' | Set-Content $_.FullName
}

2、版本信息

在flag.go中能找到这些信息

改！

3、清除残留字符

commin/logger.go

改！

core/port_scan.go 修改 PE 头信息

core/web_scanner.go

改！

web/api/result.go

改！

4、修改banner

同样的也在flag.go中

改！

5、打包

go.mod最上面一行，否则会导致编译不成功，改！

打包

go build -ldflags="-s -w" -trimpath main.go

火绒被杀

换一种打包方案

$env:GOOS="windows"; $env:GOARCH="amd64"; go build -ldflags="-s -w" -trimpath main.go

还是被火绒杀掉

无窗口模式

go build -ldflags="-s -w -H=windowsgui" -trimpath -o fscan_no_window.exe main.go

还是被杀

6、加壳

被杀

7、安装garble

go env -w GOPROXY=https://goproxy.cn,direct
go install mvdan.cc/garble@latest
go mod tidy

garble基础混淆，被杀

go run mvdan.cc/garble@latest -seed=random build -ldflags="-s -w" -trimpath -o xiaoyu.exe .

garble 加上 -literals 字符串加密，被杀

go run mvdan.cc/garble@latest -seed=random -literals build -o xiaoyu.exe main.go

其他免杀操作，比如添加大量无用代码/虚假函数/变量/结构体，改变变量名称，添加大量虚假运算、控制流、数据结构，添加虚假网络操作，反调试技术，DLL等等

我有一刀，可斩宇宙！[狗头]

360防护引擎全开

本地执行一切正常没有被杀

火绒内存查杀全开

windows安全中心

分析时间，2026年5月21日，晚18点55分

注：因部分人原因，本文仅提供免杀学习参考，不分享任何文中所使用到的工具，小羽我技术菜，工具过不了卡巴，就别喷了

THE END