模拟 AV/EDR 的行为，进行恶意软件开发训练

admin
admin
admin
140373
文章
117
评论
2025年5月12日00:00:23评论3 views字数 1237阅读4分7秒阅读模式
在红队模拟攻击过程中，特别需要提升绕过端点检测和响应（EDR）的技能，这样才能更好地模拟真实的攻击场景，去检验蓝队的防御能力。要是没有有效的手段绕过 EDR，那攻击可就处处受限了。
这时候我就发现了一款超实用的开源工具——CrimsonEDR。这工具就像是我们红队的秘密武器，它能识别特定的恶意软件模式，有了它，我们可以好好磨练一下绕过 EDR 的技能。它利用多种检测方法，能让我们更深入地理解安全规避策略。
模拟 AV/EDR 的行为，进行恶意软件开发训练
不过使用的时候也有点小麻烦。像 Windows Defender 这类防病毒程序，可能会把它的 DLL 文件标记成恶意程序，这是因为 DLL 文件内容里有用于验证 AMSI 是否被修补的字节。所以使用 CrimsonEDR 的时候，得把这个 DLL 文件列入白名单，或者暂时把防病毒软件禁用，不然运行过程中可能就会被中断。
具体使用的话，运行指令是这样的：
.CrimsonEDRPanel.exe -d C:TempCrimsonEDR.dll -p 1234
在这次红蓝对抗里用了它之后，我感觉对绕过 EDR 的操作理解更深了，在后续的攻击演练里也更得心应手了，你之后遇到类似的场景也可以试试。

想要获取工具的小伙伴可以直接拉至文章末尾

我们来提取并讨论上述工具描述中涉及的网络安全关键技术点：

1、终端检测与响应（EDR）技术：
    • EDR（Endpoint Detection and Response）作为主动式安全防护技术，通过实时监控终端行为、分析威胁特征并自动化响应，成为现代网络安全的核心。其关键技术包括：行为分析：利用机器学习识别异常进程、内存修改等恶意活动（如CrimsonEDR通过检测AMSI/ETW补丁绕过技术）。
2、漏洞扫描与渗透测试：
    • 漏洞扫描是防御网络攻击的前置手段，通过系统化检测暴露面：扫描对象：涵盖主机、Web应用、数据库及网络设备，识别未修复的漏洞（如SQL注入、配置错误）；技术分类：基于签名的扫描（匹配已知漏洞库）、模糊测试（发现未知漏洞）、AI驱动的动态分析。
3、访问控制与身份认证：
    • 通过精细化权限管理抵御未授权访问：多层控制：结合物理地址过滤（MAC地址白名单）、加密协议（如WPA3）及角色基访问控制（RBAC），限制非法接入；智能卡与生物识别：强化身份验证，减少密码泄露风险；
4、入侵检测与防御系统（IDS/IPS）：
    • 实时监测网络流量与主机日志，阻断攻击链：基于网络的检测：通过深度包检测（DPI）识别DDoS、恶意协议；基于主机的响应：分析进程树、注册表修改等异常事件，联动防火墙阻断攻击路径；
5、加密与数据安全技术：
    • 传输层加密：TLS/SSL协议防止链路泄密，量子加密技术应对未来威胁；数据脱敏与备份：敏感信息匿名化存储，结合区块链实现不可篡改审计；零信任架构：默认不信任任何用户/设备，通过持续验证确保最小权限访问；

下载链接

https://github.com/Helixo32/CrimsonEDR

模拟 AV/EDR 的行为，进行恶意软件开发训练

原文始发于微信公众号（白帽学子）：模拟 AV/EDR 的行为，进行恶意软件开发训练

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2025年5月12日00:00:23
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   模拟 AV/EDR 的行为，进行恶意软件开发训练https://cn-sec.com/archives/4051200.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息