探索EDR的秘密：Probatorum EDR Userland Hook Checker

探索EDR的秘密：Probatorum EDR Userland Hook Checker

Probatorum-EDR-Userland-Hook-CheckerProject to check which Nt/Zw functions your local EDR is hooking项目地址:https://gitcode.com/gh_mirrors/pr/Probatorum-EDR-Userland-Hook-Checker

在当今的网络安全领域，终端检测与响应（EDR）系统是保护企业免受恶意软件和高级持续性威胁（APT）攻击的关键工具。然而，了解这些系统如何在底层操作，对于红队和蓝队成员来说都是至关重要的。今天，我们将介绍一个强大的工具——Probatorum EDR Userland Hook Checker，它能够揭示本地EDR系统对Nt/Zw函数的钩子情况。

项目介绍

Probatorum EDR Userland Hook Checker是一个开源工具，旨在检测和列出本地EDR系统钩住的Nt/Zw函数。这个工具由资深安全研究员SolomonSklash的大部分代码改进而来，它不仅能够帮助安全研究人员深入理解EDR的工作机制，还能在合法的红队/渗透测试任务中发挥重要作用。

项目技术分析

Probatorum通过检查Nt/Zw函数的前四个字节来判断函数是否被钩住。正常情况下，这些函数的前四个字节应为0x4c, 0x8B, 0xD1, 0xB8。如果这些字节被替换（例如被jmp指令或其他字节替换），则表明该函数已被钩住。此外，工具还能识别那些虽然显示为被钩住但实际上是重定向的函数。

项目及技术应用场景

Probatorum EDR Userland Hook Checker适用于以下场景：

• 红队/渗透测试：在合法的渗透测试活动中，帮助红队成员了解目标系统的防御机制，从而更有效地进行攻击模拟。
• 安全研究：为安全研究人员提供一个强大的工具，以深入分析和理解EDR系统的行为。
• 蓝队防御：帮助蓝队成员验证和优化其EDR系统的配置，确保其能够有效地防御潜在的威胁。

项目特点

• 开源免费：作为一个开源项目，Probatorum EDR Userland Hook Checker对所有人开放，无需任何费用。
• 易于使用：用户可以选择自行编译项目或直接运行预编译的64位Release版本，操作简单快捷。
• 高度兼容：经过测试，该工具在多个版本的Windows系统上都能正常运行，包括Windows 10。
• 详细输出：工具能够详细列出每个Nt/Zw函数的状态，无论是被钩住还是未被钩住，都能一目了然。

总之，Probatorum EDR Userland Hook Checker是一个强大且易用的工具，无论是对于安全研究人员还是红蓝队成员，都是一个不可或缺的利器。立即尝试，深入探索EDR的秘密，提升你的安全防护能力！

Probatorum-EDR-Userland-Hook-CheckerProject to check which Nt/Zw functions your local EDR is hooking项目地址:https://gitcode.com/gh_mirrors/pr/Probatorum-EDR-Userland-Hook-Checker