BestEdrOfTheMarket 开源项目教程

BestEdrOfTheMarket 开源项目教程

BestEdrOfTheMarketLittle AV/EDR bypassing lab for training & learning purposes项目地址:https://gitcode.com/gh_mirrors/be/BestEdrOfTheMarket

1、项目介绍

BestEdrOfTheMarket 是一个开源的端点检测与响应（EDR）项目，旨在作为理解和绕过EDR用户模式检测机制的测试平台。该项目由Xacone开发，主要用于培训和学习目的，帮助用户了解和实践EDR的绕过技术。

2、项目快速启动

环境准备

• 确保已安装Git和Visual Studio（或其他C++编译环境）。
• 克隆项目仓库到本地：

git clone https://github.com/Xacone/BestEdrOfTheMarket.git

编译项目

• 打开项目目录中的BestEdrOfTheMarket.sln文件。
• 在Visual Studio中选择合适的配置（如Release或Debug），然后点击“生成解决方案”。

运行示例

• 编译成功后，在Samples目录下找到示例程序并运行。例如：

BestEdrOfTheMarket.exe /stack /p C:\Samples\MediumLevelDropper.exe /yara /v

3、应用案例和最佳实践

案例一：低级Shellcode注入器检测

• 使用堆栈分析和YARA规则检测低级Shellcode注入器：

BestEdrOfTheMarket.exe /stack /p C:\Samples\MediumLevelDropper.exe /yara /v

案例二：早期鸟APC队列注入器检测

• 使用IAT钩子和YARA规则检测早期鸟APC队列注入器：

BestEdrOfTheMarket.exe /p C:\Users\1234Y\apc_injector\x64\Debug\apc_injector.exe /iat /yara

最佳实践

• 在实际应用中，建议将工具链接到自己的工件，并确保工件尽可能隐蔽。

4、典型生态项目

相关项目

• Hell's Hall: 一个用于间接系统调用检测的项目，由Maldev Academy维护。
• YARA: 一个用于模式匹配和恶意软件分析的工具，常与EDR项目结合使用。

社区资源

• GitHub仓库: BestEdrOfTheMarket
• MIT许可证: 项目采用MIT许可证，允许自由使用和分发。

通过以上模块，您可以全面了解和使用BestEdrOfTheMarket开源项目，希望本教程对您有所帮助。

BestEdrOfTheMarketLittle AV/EDR bypassing lab for training & learning purposes项目地址:https://gitcode.com/gh_mirrors/be/BestEdrOfTheMarket