天草Delphi黑客编程高级班

先说结论：这门课不适合谁

如果你的目标是找一份开发岗、或者想系统学 Delphi 做正经软件工程，这门课帮不上忙。它的定位很窄：用 Delphi 作为工具，去理解早年 Windows 平台下恶意代码是怎么写出来、又是怎么被分析出来的。课程里出现的熊猫烧香（当年一个感染型蠕虫）案例分析，就是这个方向的典型样本——它不是让你去写病毒，而是通过拆解一份真实存在过的样本，看清 Ring3 层面文件操作、进程遍历、注册表自启这些底层动作在代码里长什么样。

所以这门课的价值，取决于你现在的处境：如果你在做安全分析、病毒样本研判、或者想补 Windows 系统编程的底层直觉，它是有内容的；如果你只是想拿个证、或者指望学完能投运维岗，那它和你之间没有关系。

它实际解决的工作场景

课程围绕的是一类具体任务：拿到一个可执行文件，判断它做了什么。这背后需要的能力是能读懂 Delphi 编译出来的程序结构，知道常见的自启动、文件感染、进程注入手法在源码层面怎么落地。熊猫烧香那一课之所以被单独拎出来讲，是因为它把「感染—传播—驻留」这几步用相对直白的代码写了出来，适合作为逆向入门的对照材料。

对应到实际工作里，这类能力出现在样本分析、应急响应初期的行为研判、以及老系统遗留恶意程序的排查中。它不覆盖现代 64 位漏洞利用、也不涉及内核驱动对抗，范围就停在 Ring3 的编程与逆向基础。

学完你能独立做什么

• 读懂一段 Delphi 写的 Windows 程序逻辑，包括窗口消息处理、文件遍历、注册表读写的大致意图；
• 对熊猫烧香这类老样本，能说清它的感染流程和驻留方式，而不是只停留在「这是个病毒」；
• 用 Delphi 自己写出文件操作、进程枚举、自启动写入这类小工具，验证你对 API 调用的理解；
• 在分析新样本时，有一套从代码结构入手的排查顺序。

注意，这些是「能上手做」，不是「能做多深」。逆向和分析的深度靠后续大量样本积累，一门课给不了。

资料适合什么基础的人

至少得满足两条：一是写过一点代码，看得懂变量、循环、函数调用；二是知道 Windows 的基本概念，比如进程、注册表、DLL 是什么。完全没有编程经验的人进来会卡在语法上，那还不如先补一门语言基础课。

另外要接受一个现实：Delphi 本身不是当下主流语言，你学它不是为了用它找工作，而是为了借它看懂一个特定年代、特定类型的程序。心态上把它当成系统编程和逆向的入门材料，会更合适。

怎么用这份资料

熊猫烧香那一课信息密度最高，建议放在有一定基础之后再看，否则容易只记结论、不理解代码。其余章节按顺序过一遍，遇到 API 调用就动手在 Delphi 里写一遍最小示例，光看是记不住的。每学完一课，用自己的话写一段分析记录：这段代码想干什么、用了哪些系统调用、如果我是分析人员会从哪里切入。这些记录攒下来，比任何笔记模板都有用。

最后提醒一句：课程涉及恶意代码分析，动手时在虚拟机里做，别在自己日常工作机上跑样本。这是这行的基本纪律，不是可选项。