直接系统调用与间接系统调用：安全绕过EDR的新策略

直接系统调用与间接系统调用：安全绕过EDR的新策略

去发现同类优质开源项目:https://gitcode.com/

在网络安全的战场上，攻击者和红队成员不断寻找新的技术和策略来规避检测。一个热门话题便是直接系统调用（Direct Syscalls）及其新兴替代方案——间接系统调用（Indirect Syscalls）。本开源项目“Direct-Syscalls-vs-Indirect-Syscalls”深入探讨了这两种方法，并提供了一个证明概念（Proof of Concept），展示了如何利用间接系统调用来提升隐蔽性和系统合规性。

项目介绍

该项目旨在研究和对比直接系统调用和间接系统调用在Windows环境下的效果。它揭示了直接系统调用可能遇到的限制，特别是随着Endpoint Detection and Response (EDR)解决方案的发展，这些调用可能会触发异常行为并被检测到。通过转向间接系统调用，攻击者或研究人员可以更接近模拟常规操作行为，从而降低被检测的可能性。

项目技术分析

直接系统调用通常涉及在非ntdll.dll内存区域执行关键操作，这可能引发EER的警报。相比之下，间接系统调用允许在ntdll.dll的内存中执行系统调用和返回语句，符合Windows环境的标准操作模式。这种方法更加巧妙且不易引起怀疑，因为正常的Windows应用程序往往会遵循这一行为。

项目提供了代码示例和详细的技术解释，帮助读者理解如何实现这种转换，以及如何避免因不寻常的系统活动而触发防御机制。

项目及技术应用场景

这项技术对于红队操作、安全测试和恶意软件研究尤其有价值。它可以用于：

1. 在执行shellcode时减少被检测的概率。
2. 创建复杂的安全绕过方案，以避开先进的EDR工具。
3. 了解系统调用的工作原理，以及如何在恶意活动中应用这些知识。

项目特点

1. 实战导向：项目不仅理论讲解，还提供了实际代码，供开发者和研究人员进行测试和学习。
2. 持续更新：跟随操作系统和EDR解决方案的发展，项目将持续追踪最新的防御规避策略。
3. 社区支持：作者感谢和提及的一系列专家和资源，表明了这个项目背后有一个活跃的社区，不断推动安全研究的进步。

请注意，所有提供的内容仅供研究用途，不得用于非法活动。

要深入了解这个主题，可以查看作者的相关博客文章Direct Syscalls vs Indirect Syscalls，以及参考项目中的链接，进一步探索系统调用和Windows内核的知识。

在这个不断发展的领域里，“Direct-Syscalls-vs-Indirect-Syscalls”项目是一个宝贵的资源，对于那些寻求提升其攻防技能的人来说，它无疑是一个值得尝试和学习的宝库。

去发现同类优质开源项目:https://gitcode.com/