EDR规避

要解决的问题

EDR 通过内核/用户态钩子、行为监控与遥测数据，能够实时拦截恶意进程创建、内存注入、脚本执行等动作。红队在授权演练中若直接使用常规 C2 或渗透工具，往往会触发告警或被杀软查杀；安全研究者分析 AV/EDR 绕过技术时，也需要一套系统化的检查清单，覆盖从钩子对抗到行为伪装的关键环节，避免零散尝试导致遗漏核心绕过点。

技能如何工作

该技能以攻击侧方法论为核心，提供结构化的 EDR 规避操作清单。核心能力包括：

• 钩子解除：支持用户态与内核态钩子的检测与恢复，处理 Inline Hook、IAT/EAT Hook 等常见类型。
• 系统调用直接调用：绕过用户态 API 监控，直接通过 syscall 指令发起系统请求。
• PPID 伪装：伪造父进程 ID，规避进程创建时的来源追踪。
• 进程注入变体：涵盖经典注入、反射注入、APC 注入等技术路径。
• AMSI 绕过：针对反恶意脚本接口的检测规避方法。
• ETW 补丁：修改事件追踪服务，阻断遥测数据上报。
• 内存加密：对敏感载荷进行加密存储，避免静态扫描发现。
• 行为级规避：调整操作时序与特征，规避基于行为规则的检测。

使用时需按清单顺序执行，逐项确认完成状态，结合目标环境判断技术适用性（如内核钩子需考虑权限与系统版本），最后根据未完成项推荐后续操作。

适用边界与注意点

该技能仅用于授权红队演练、安全研究或 EDR 产品测试场景。实际应用中需结合目标系统的防护配置（如 EDR 版本、策略规则）调整技术选择，内核态操作需评估权限获取成本与系统稳定性风险。行为级规避需注意操作频率与特征变形，避免因异常行为模式触发关联检测。