EDRs

EDRs 该仓库包含在红队演练中可能有用的 EDR 相关信息。 patchsyscalldynamically64.c 这个概念验证程序会动态解析系统调用 ID，无需检查远程主机上运行的版本。为了获取磁盘上（未被篡改的）信息，会调用 CreateFileMapping 和 MapViewOfFile Windows API。然后解析 DLL 以获取数据，并用其修补正在运行的代码。 patchsyscall64.c 这个概念验证程序会修补代码中指定的系统调用 ID。随后使用硬编码的系统调用 ID 修补 DLL 的运行版本，并恢复到原始未修补状态。 getsyscall64.c 该工具用于获...