最近也在学着修改Gh0st远控的源代码，源代码免杀起来还是方便、简单、有效和简单点。针对于输入输出表盯的比较紧的杀毒软件，最有效的还是进行函数动态调用。也就是说找到函数的原定义，包括值类型和参数等等，再在调用该函数的地方重新定义这个函数，其实也只是改下函数名而已，下面举个例子：

CreateRemoteThread 作用是创建远线程，假设杀毒软件现在就杀在这个函数上，我们就这样处理，首先在代码中右键点击CreateRemoteThread函数-->转到定义，找到函数的原型： 函数原型如下： WINBASEAPI __out HANDLE WINAPI CreateRemoteThread( __in HANDLE hProcess, __in_opt LPSECURITY_ATTRIBUTES lpThreadAttributes, __in SIZE_T dwStackSize, __in LPTHREAD_START_ROUTINE lpStartAddress, __in_opt LPVOID lpParameter, __in DWORD dwCreationFlags, __out_opt LPDWORD lpThreadId ); 改后的函数模型如下： typedef HANDLE (WINAPI *CreateRemoteThreadxx) ( __in HANDLE hProcess, __in_opt LPSECURITY_ATTRIBUTES lpThreadAttributes, __in SIZE_T dwStackSize, __in LPTHREAD_START_ROUTINE lpStartAddress, __in_opt LPVOID lpParameter, __in DWORD dwCreationFlags, __out_opt LPDWORD lpThreadId ); CreateRemoteThreadxx yyCreateRemoteThread= (CreateRemoteThreadxx)GetProcAddress(LoadLibrary("kernel32.dll"),"CreateRemoteThread"); 补充：有些函数原型最后面分别带得有A和W的，如果你的编译环境是ANSI环境就选择带A的那部分，如果你的环境是Unicode环境，那就选择带W的那部分。例如：GetUserName的原型有两种定义：GetUserNameA和GetUserNameW，视实际情况选择相应的函数原型进行修改就好。 修改后调用的函数名就由CreateRemoteThread变为了yyCreateRemoteThread，红色部分为自定义部分，随便你改称什么，但是要注意前后一致。蓝色的部分再可以用字符串连接法进行分离后连接，这样处理之后，杀毒软件就找不到CreateRemoteThread这个函数了。到此，文件的这处也就免杀了。一点小手记，分享给大家，见笑了。