技能介绍

要解决的问题

EDR 落地后，终端上的进程创建、文件读写、注册表变更、脚本执行几乎都被记录。红队演练里，攻击者的样例一旦被厂商规则命中，后续投递、横向移动甚至 C2 通信都会在告警里暴露无遗。问题是：不同 EDR 的钩子位置、行为采集点和检测策略并不一致，单纯靠删特征码或换 packer 往往撑不了一轮。真正需要的是一套可复用的排查思路——按顺序把绕过点逐个走完，再决定当前目标上哪些生效、哪些该跳过。

技能如何工作

这个技能把 EDR 规避拆成一份有序的检查清单，使用时把它当作操作手册而不是零散技巧合集：

钩子解除：分别处理用户态与内核态的 inline hook，先确认被谁挂钩，再讨论还原策略
直接系统调用：绕过 ntdll.dll 导出函数上的用户态钩子，从 syscall 表直接取入口
PPID 伪装：伪造子进程的父进程显示，让创建链看起来来自可信父进程
进程注入变体：按目标环境挑选合适的注入方式，评估驻留、清理与被检测风险
AMSI 绕过：切断 AMSI Provider 的脚本与内存内容投递路径
ETW 补丁：处理 ETW 事件流（如威胁情报 Provider）被采集的问题
内存加密：保护内存中的关键载荷，减少被扫描或 dump 出有效载荷的可能
行为规避：针对基于行为序列的检测模型调整动作节奏与特征

使用流程本身也写进规则：技能激活后按顺序执行清单，每一步都要结合当前目标和上下文判断适用性，同时记录已完成项，最后基于发现给出下一步建议，而不是一次性抛一堆技巧让使用者自行拼凑。

适用边界

这份清单为已获授权的红队演练与规避技术研究编写，不适用于对生产环境的真实攻击。不同 EDR 版本的钩子强度、AMSI/ETW 默认配置、进程创建监控粒度差异很大，某项技术在 A 环境有效不代表在 B 环境成立；清单覆盖的要点也不是穷举，遇到清单外的检测维度需要自行补充调研。此外，内核态钩子解除与直接 syscall 属于高敏感操作，实施前应确认授权范围和回滚方式，避免影响目标主机的稳定性。