通过滥用矢量异常处理 (VEH) 来绕过 Windows 中的用户态 EDR 挂钩,从而生成合法的调用堆栈框架以及间接系统调用。随附的博客文章可以在此处找到:LayeredSyscall – 滥用 V...
LayeredSyscall——滥用 VEH 绕过 EDR
介绍EDR 使用用户空间钩子,这些钩子通常放置在Windows 操作系统中,ntdll.dll有时也位于每个进程中。它们通常以以下两种方式之一实现钩子程序:kernel32.dll使用重定向修补要挂钩...