杀毒软件报了毒，进制文件却还在硬盘里躺着。文件双击它，防御系统弹窗说“无法访问”。进制这是文件防御机制在起作用——但真正的二进制防御，远不止一个弹窗那么简单。防御

我见过太多人以为装个杀毒软件就万事大吉。进制他们不知道，文件真正的防御攻防战场在内存里，在CPU指令执行的进制那一瞬间。病毒不会老老实实等杀毒软件扫描完才发作。文件它可能藏在某个看似无害的防御图片里，等着图像解析器去读它——然后溢出，进制劫持执行流。文件

二进制防御的防御第一道防线是“不可执行”。堆栈上不该有指令，数据页不该有代码。NX位（No-eXecute）把内存分成“可写”和“可执行”两个互斥区域。这招很基础，但有效。当年冲击波蠕虫就是靠执行堆栈上的代码打遍天下无敌手，现在这招基本废了。
废了不代表结束。攻击者转向了ROP（返回导向编程），不写新代码，专门捡现成的指令片段拼装。就像用乐高积木搭武器——每块积木都是系统自己的，你没法说哪块是恶意软件。

所以我更看重另一层防御：控制流完整性。程序每跳转一次，系统就检查一下——这个跳转是不是程序原本设计好的路径？如果程序从来没打算从A跳到B，现在却跳了，那肯定出事了。这种检查在运行时持续进行，开销不小，但能拦住大部分ROP攻击。

说实话，纯软件的防御总有漏洞。攻击者可以用时序攻击绕过检查，可以混淆跳转目标，甚至可以先把防护代码本身干掉。所以我倾向于硬件辅助防御——Intel CET（控制流强制技术）直接在CPU层面做影子栈。攻击者改了正常栈上的返回地址，但影子栈上还留着原始值。对不上，直接触发异常。

这套组合拳下来，普通病毒基本没戏。但真正让我睡不着觉的是另一类威胁——不是攻击者太狡猾，而是防御者太自信。很多系统把防御做成了“黑名单”模式：我认识这个病毒，我拦住它。可新病毒每天冒出来几千个，黑名单永远追不上。

白名单才是正路。允许执行的代码就那么多，其他的一律拒绝。这听起来简单，做起来难。大型软件光DLL就有几百个，每个都可能被合法加载。你没法把每个文件都列在清单里，那就得靠哈希校验、签名验证、行为分析层层叠加。

说点实际的。我测试过一个金融交易系统，他们把防御做到了极致：每次程序启动都做完整性校验，加载的每个模块都要验证数字签名，连配置文件的修改都得通过审计。结果呢？系统启动时间从2秒变成8秒。交易员们骂声一片——延迟太高，行情都错过了。

这就是防御的代价。你不可能既要绝对安全，又要绝对流畅。平衡点在哪儿？我倾向于分层防御：最外层做粗粒度拦截，快速放行正常流量；内层做细粒度检查，只对可疑行为深入分析。就像机场安检——大部分旅客走普通通道，少数可疑对象进单独审讯室。

二进制防御说到底是一场不对等的博弈。攻击者只需要找到一个漏洞，防御者得堵住所有漏洞。而且攻击者可以反复试探，防御者一次失误就满盘皆输。
但我不悲观。漏洞在减少，工具在进步。更重要的是，防御思维在转变——从“阻止恶意代码执行”变成“假设恶意代码已在系统里，如何让它无法造成伤害”。这就像现代城市治安：不再指望小偷不进门，而是让每户人家都装上保险柜，就算门被撬开，贵重物品也拿不走。

还是那句话：二进制文件本身没有善恶，关键看你怎么用它。防御者的工作，就是让“用”这件事变得足够困难，困难到攻击者觉得不划算。