BestEdrOfTheMarket 开源项目教程
1、项目介绍
BestEdrOfTheMarket 是一个开源的端点检测与响应(EDR)项目,旨在作为理解和绕过EDR用户模式检测机制的测试平台。该项目由Xacone开发,主要用于培训和学习目的,帮助用户了解和实践EDR的绕过技术。
2、项目快速启动
环境准备
- 确保已安装Git和Visual Studio(或其他C++编译环境)。
- 克隆项目仓库到本地:
git clone https://github.com/Xacone/BestEdrOfTheMarket.git
编译项目
- 打开项目目录中的
BestEdrOfTheMarket.sln
文件。 - 在Visual Studio中选择合适的配置(如Release或Debug),然后点击“生成解决方案”。
运行示例
- 编译成功后,在
Samples
目录下找到示例程序并运行。例如:
BestEdrOfTheMarket.exe /stack /p C:\Samples\MediumLevelDropper.exe /yara /v
3、应用案例和最佳实践
案例一:低级Shellcode注入器检测
- 使用堆栈分析和YARA规则检测低级Shellcode注入器:
BestEdrOfTheMarket.exe /stack /p C:\Samples\MediumLevelDropper.exe /yara /v
案例二:早期鸟APC队列注入器检测
- 使用IAT钩子和YARA规则检测早期鸟APC队列注入器:
BestEdrOfTheMarket.exe /p C:\Users\1234Y\apc_injector\x64\Debug\apc_injector.exe /iat /yara
最佳实践
- 在实际应用中,建议将工具链接到自己的工件,并确保工件尽可能隐蔽。
4、典型生态项目
相关项目
- Hell's Hall: 一个用于间接系统调用检测的项目,由Maldev Academy维护。
- YARA: 一个用于模式匹配和恶意软件分析的工具,常与EDR项目结合使用。
社区资源
- GitHub仓库: BestEdrOfTheMarket
- MIT许可证: 项目采用MIT许可证,允许自由使用和分发。
通过以上模块,您可以全面了解和使用BestEdrOfTheMarket开源项目,希望本教程对您有所帮助。