通过滥用矢量异常处理 (VEH) 来绕过 Windows 中的用户态 EDR 挂钩,从而生成合法的调用堆栈框架以及间接系统调用。随附的博客文章可以在此处找到:LayeredSyscall – 滥用 V...
调用NtCreateUserProcess创建进程绕过杀软hook
CreateProcessCreateProcess在3环最终会调用ntdll!NtCreateUserProcess通过syscall进入0环,我们可以通过调用NtCreateUserProcess...