免杀！绕过EDR隐秘执行shellcode

0x01 工具介绍

Freeze.rs 是一个有效载荷创建工具，用于绕过 EDR 安全控制以隐秘方式执行 shellcode。Freeze.rs 利用多种技术，不仅可以删除 Userland EDR 挂钩，还可以以绕过其他端点监控控件的方式执行 shellcode。

关注【Hack分享吧】公众号，回复关键字【230508】获取下载链接

创建暂停进程

创建进程时，Ntdll.dll 是第一个加载的 DLL；这发生在加载任何 EDR DLL 之前。这意味着在加载 EDR 并开始挂钩和修改系统 DLL 的程序集之前会有一点延迟。查看 Ntdll.dll 中的 Windows 系统调用，我们可以看到还没有任何东西被挂钩。

如果我们创建一个处于挂起状态（及时冻结的进程）的进程，我们可以看到除了 Ntdll.dll 之外没有其他 DLL 被加载。您还可以看到没有加载任何 EDR DLL，这意味着位于 Ntdll.dll 中的系统调用未被修改。

0x02 工具使用

执行以下命令安装好rust环境，然后CS或MSF生成一个raw shellcode，最后用Freeze.rs进行免杀即可。

curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh

0x03 免杀效果