本文目录一览：
木马加壳的原理？
加壳的全称应该是可执行程序资源压缩,是保护文件的常用手段.
加壳过的程序可以直接运行,但是不能查看源代码.要经过脱壳才可以查看源代码.
加“壳”其实是利用特殊的算法，对EXE、DLL文件里的资源进行压缩。类似WINZIP 的效果，只不过这个压缩之后的文件，可以独立运行，解压过程完全隐蔽，都在内存中完成。解压原理，是加壳工具在文件头里加了一段指令，告诉CPU，怎么才能解压自己。加“壳”虽然增加了CPU附带但是减少了硬盘读写时间，实际应用时加“壳”以后程序运行速度更快（当然有的加“壳”以后会变慢，那是选择的加“壳”工具问题）。
一般软件都加“壳”这样不但可以保护自己的软件不被破解、修改还可以增加运行时启动速度。
加“壳”不等于木马，我们平时的巨大多数软件都加了自己的专用“壳”。
RAR和ZIP都是压缩软件不是加“壳”工具，他们解压时是需要进行磁盘读写，“壳”的解压缩是直接在内存中进行的，用RAR或者ZIP压缩一个病毒你试试解压缩时杀毒软件肯定会发现，而用加“壳”手段封装老木马，能发现的杀毒软件就剩不下几个。
木马加壳起什么作用
防止被杀毒软件发现，因为现在的很多杀毒软件都是用特征匹配的方法来寻找木马和病毒，加壳的话就会把木马的一些特征隐藏掉，让杀毒软件难以发现，加壳的手法和软件发现的难易度是有联系的，如果使用动态加壳和多重加壳的话，杀毒软件就很难找出来了，但是如果是主动防御型的杀毒软件的话，有些经过加壳的木马还是能被发现的！@
什么是加壳程序，为什么要加壳？
加壳：其实是利用特殊的算法，对EXE、DLL文件里的资源进行压缩，
改变其原来的特征码，隐藏一些字符串等等，使一些资源编辑软件不能
正常打开或者修改。类似WINRAR的效果，只不过这个压缩之后的文件，
可以独立运行，解压过程完全隐蔽，都在内存中完成。
解压原理，是加壳工具在文件头里加了一段指令，告诉CPU，怎么才
能解压自己。现在的CPU都很快，所以这个解压过程你看不出什么东东。
软件一下子就打开了，只有你机器配置非常差，才会感觉到不加壳和加壳
后的软件运行速度的差别。
当你加壳时，其实就是给可执行的文件加上个外衣。用户执行的只是
这个外壳程序。当你执行这个程序的时候这个壳就会把原来的程序在内存
中解开，解开后，以后的就交给真正的程序。所以，这些的工作只是在内
存中运行的，是不可以了解具体是怎么样在内存中运行的。
通常说的对外壳加密，都是指很多网上免费或者非免费的软件，被一
些专门的加壳程序加壳，基本上是对程序的压缩或者不压缩。因为有的时
候程序会过大，需要压缩。但是大部分的程序是因为防止反跟踪，防止程
序被人跟踪调试，防止算法程序不想被别人静态分析。加密代码和数据，
保护你的程序数据的完整性。不被修改或者破。（有些木马和病毒利用加
壳伪装成正常程序）
参考资料：
如何给木马加花指令 加壳 做免杀等
免杀，顾名思义就是说避免被杀毒软件查杀!
免杀的方法也有很多种，针对不同的情况我们运用不同的免杀方法。
⒈文件免杀:加花/修改文件特征码/加壳/修改加壳后的文件。
⒉内存免杀:修改特征码。
⒊行为免杀。
现在我来揭开免杀神秘的面纱。(这里不对免杀做深入讨论，只对原理进行分析，毕竟这不是黑客教程)
加花
加花是病毒免杀的常用手段，加花原理就是通过添加加花指令(一些垃圾指令，类似加1减1之类的无用语句)让杀毒软件检测不到特征码。加花可以分为加区加花和去头加花。(只做了解，不做解释)
特征码修改
加花以后一些杀毒软件就认不出来了，但有些比较强的杀毒软件，像卡巴斯基这类，可能还是会被杀，这时就要定位特征码修改了，要修改特征码，就要先定位杀毒软件的病毒库所定位的特征码，这个有一定难度，特别是复合特征码的定位，但复合特征码虽然增加了定位特征码的难度，但复合特征码也有它的弱点，因为定义复合特征码需要单个特征码几倍的病毒库，不方便用户的病毒库升级，所以除了特别流行的病毒，杀毒软件厂商并没有做太多的复合特征码。
定位了特征码之后就应该修改特征码了，主要方法有两种:直接修改法，跳转修改法。
直接修改法利用的是等效指令替换，或者指令顺序的改变不影响执行的效果。还有一种是如果特征码是ASCll码，可以直接修改大小写，大写替换小写，小写替换大写。
跳转修改发比较简单，主要原理是把有特征码的那段NOP掉，然后把NOP掉的那段语句写入空白的0000区，在通过JMP跳转连接起来，让杀毒软件找不到特征码，从而达到免杀的目的。
加壳
加壳的原理是给原程序加上一段保护程序，有保护和加密功能，运行加壳后的文件先运行壳再运行真实文件，从而起到保护作用。
脱壳当然就是去掉保护程序
想要加壳后能达到免杀的效果
那就要加最新的免杀壳!!!!
要采纳哈。