BYOSI

BYOSI 以最简单的方式绕过 EDR：完全不触碰它们所挂钩的 API。 原理 我注意到，大多数 EDR 不会扫描脚本文件，只将它们视为纯文本文件。虽然这对它们来说可能是不幸的，但对我们而言却是一个可乘之机。 像驻留内存或线程注入这类炫酷的方法受到严格监控。如果没有由有效证书颁发机构签名的二进制文件，执行几乎不可能。 于是有了 BYOSI（自带脚本解释器）。每个脚本解释器都由其创建者签名，且所有证书均有效。在真实环境中测试后，结果令人惊讶：本仓库中一个经过高度签名的 PHP 脚本，不仅能在 CrowdStrike 和 Trellix 监控的系统上运行，还能建立外部连接而不触发任何 EDR...