学习目的：为啥Syscall在对抗edr时非常好用，因为微软给各地杀软厂商注册了回调机制，而大部分厂商都是通过回调去Hook了R3到R0转化的nt函数，而R3api要走入R0需要ntdll的辅助，如图...

学习目的：为啥Syscall在对抗edr时非常好用，因为微软给各地杀软厂商注册了回调机制，而大部分厂商都是通过回调去Hook了R3到R0转化的nt函数，而R3api要走入R0需要ntdll的辅助，如图...