Amsi-Killer

永久性 AMSI 绕过 操作码扫描 我们通过搜索每条指令的第一个字节来获取跳转指令的精确地址，即使目标数据集发生更新或修改，此技术依然有效。 例如： | 48:85D2 | test rdx, rdx | | 74 3F | je amsi.7FFAE957C694 | | 48 : 85C9 | test rcx, rcx | | 74 3A | je amsi.7FFAE957C694 | | 48 : 8379 08 00 | cmp qword ptr ds : rcx + 8 , 0 | | 74 33 | je amsi.7FFAE957C694 | 搜索模式将如下所示：...