在 Windows 端点绕过 AV/EDR…

当需要在受 AV/EDR 保护的 Windows 主机上执行工具或 payload 时，按检测面逐层绕过 AMSI、ETW、ntdll hook 与签名检测。

适用场景

解决思路

1. 先做关联路由：若提权工具被 AV 拦截，加载 windows-privilege-escalation；若横向移动工具触发 EDR，加载 windows-lateral-movement；若 Rubeus/Mimikatz 被检测，加载 active-directory-kerberos-attacks；若做非二进制 AD 攻击（对 AV 不敏感），加载 active-directory-acl-abuse；需要详细 AMSI 绕过代码模式（内存补丁、反射）、PowerShell 专用 AMSI 绕过、.NET AMSI 绕过时，加载 AMSI_BYPASS_TECHNIQUES.md。
2. AMSI 绕过按类别选择：内存补丁（patch amsi.dll 中的 AmsiScanBuffer，风险中，进程级）、反射（通过 .NET 反射修改 AMSI init 标志，风险中，会话级）、字符串混淆（编码/拆分 AMSI 触发字符串，风险低，payload 级）、PowerShell 降级（强制 PS v2，无 AMSI，风险低，会话级）、CLM 绕过（逃逸 Constrained Language Mode，风险中，会话级）、COM 劫持（重定向 AMSI COM server，风险低，用户级）。
3. 快速 AMSI 绕过一行命令：若存在 .NET 2.0 则执行 powershell -Version 2 降级到无 AMSI 的 v2；或使用反射方式设置 amsiInitFailed = true，并对代码做混淆以避免静态检测（完整模式见 AMSI_BYPASS_TECHNIQUES.md）。
4. ETW 绕过：EDR 依赖 ETW 遥测，patch EtwEventWrite 可阻止 .NET 程序集加载事件。C# 做法为 GetModuleHandle("ntdll.dll") 取模块句柄，GetProcAddress 取 EtwEventWrite 地址，用 VirtualProtect(etwAddr, 1, 0x40, out oldProtect) 改为可写，Marshal.WriteByte(etwAddr, 0xC3) 写入 ret 指令，再 VirtualProtect 恢复原保护。
5. PowerShell ETW 绕过：通过 [Reflection.Assembly]::LoadWithPartialName('System.Management.Automation') 加载程序集，设置内部字段以禁用 ETW tracing（关闭 Script Block Logging 的 ETW provider）。
6. 内存加载 .NET 程序集：用 File.ReadAllBytes 读取工具字节（或从 URL 下载、从资源解密），调用 Assembly.Load(assemblyBytes)，再通过 assembly.EntryPoint.Invoke(null, new object[] { args }) 执行入口点。
7. 用 Donut 将 .NET 程序集转为 shellcode：donut -f tool.exe -o payload.bin -a 2 -c ToolNamespace.Program -m Main；带参数示例 donut -f Rubeus.exe -o rubeus.bin -a 2 -p "kerberoast /outfile:tgs.txt"；随后用任意注入技术（见进程注入部分）加载该 shellcode。
8. 使用 C2 框架的 execute-assembly：Cobalt Strike 用 execute-assembly /path/to/Rubeus.exe kerberoast；Sliver 用 execute-assembly /path/to/SharpHound.exe -c all；Havoc 用 dotnet inline-execute /path/to/tool.exe args。
9. shellcode 执行避免 CreateThread：用 VirtualAlloc(IntPtr.Zero, (uint)sc.Length, 0x3000, 0x40) 分配可执行内存，Marshal.Copy 写入 shellcode，然后用回调 API 而非 CreateThread 触发执行，例如 EnumWindows(addr, IntPtr.Zero)。可用回调 API 包括 EnumWindows、EnumChildWindows、EnumFonts、EnumDesktops、CertEnumSystemStore、EnumDateFormats，它们都接受可指向 shellcode 的函数指针。
10. 进程注入按 OPSEC 选择技术：CreateRemoteThread（OpenProcess、VirtualAllocEx、WriteProcessMemory、CreateRemoteThread，风险高，经典且被重点监控）；NtMapViewOfSection（NtCreateSection、NtMapViewOfSection，风险中，共享内存，较少见）；Process Hollowing（CreateProcess SUSPENDED、NtUnmapViewOfSection、WriteProcessMemory、ResumeThread，风险中，替换进程镜像）；Thread Hijacking（SuspendThread、SetThreadContext、ResumeThread，风险中，修改已有线程）；Early Bird（CreateProcess SUSPENDED、QueueUserAPC、ResumeThread，风险低-中，在主线程前执行 APC）；Phantom DLL Hollowing（映射 DLL section 后覆盖为 shellcode，风险低，使用合法 DLL 映射）；Module Stomping（LoadLibrary 后覆盖 .text 段，风险低，由合法 DLL 背书）；Transacted Hollowing（NtCreateTransaction、NtCreateSection，风险低，无可疑分配）。
11. CreateRemoteThread 基本模式：OpenProcess(0x001F0FFF, false, targetPid) 打开目标进程，VirtualAllocEx(hProcess, IntPtr.Zero, (uint)sc.Length, 0x3000, 0x40) 分配内存，WriteProcessMemory 写入 shellcode，最后 CreateRemoteThread(hProcess, IntPtr.Zero, 0, addr, IntPtr.Zero, 0, IntPtr.Zero) 执行。
12. Early Bird APC 注入：以 CREATE_SUSPENDED 调用 CreateProcess 创建挂起进程（如 C:\\Windows\\System32\\svchost.exe），用 VirtualAllocEx 分配内存并 WriteProcessMemory 写入 shellcode，用 QueueUserAPC(addr, pi.hThread, IntPtr.Zero) 向主线程排队 APC（在主入口点前执行），最后 ResumeThread(pi.hThread)。
13. 脱钩绕过 EDR 对 ntdll.dll 的 API hook：正常路径为用户代码 → ntdll.dll（被 hook）→ 内核，直接系统调用路径为用户代码 → syscall 指令 → 内核（绕过 hook）。工具选择：SysWhispers2/3（编译期 syscall stub，静态 syscall 号）、HellsGate（运行时解析 syscall 号，动态，更难检测）、HalosGate（从相邻未 hook 的 syscall 解析，处理部分 hook）、TartarusGate（扩展 HalosGate，解析更稳健）。
14. 使用干净 ntdll 副本：从磁盘读取 C:\\Windows\\System32\\ntdll.dll，或从 KnownDlls 读取 \\KnownDlls\\ntdll.dll，或创建牺牲进程读取其 ntdll；然后用干净副本覆盖被 hook 的 .text 段，从而移除 ntdll 中所有 EDR hook。
15. 使用间接系统调用：不要在自己代码中直接写 syscall 指令（可疑），而是跳转到 ntdll.dll 内部的 syscall 指令（合法位置），使栈上的返回地址指向 ntdll.dll 而非自己的代码。
16. payload 加密：优先用 AES（Aes.Create()，设置 Key/IV，用 CreateEncryptor().TransformFinalBlock 加密 shellcode）；也可用 XOR（简单快速，shellcode[i] ^= key[i % key.Length]）；或用 RC4（流密码，实现简单）。
17. 睡眠混淆：在 sleep 期间加密内存中的 shellcode 以规避内存扫描器。Ekko 用 ROP 链在睡眠期间加密堆/栈；Foliage 用基于 APC 的睡眠并加密内存；DeathSleep 在睡眠期间做线程注销。
18. 分阶段加载：Stage 1 为小型加密 loader（规避静态分析），Stage 2 在运行时下载真实 payload（加密），Stage 3 在内存中解密并执行。
19. 签名规避之字符串加密：避免明文 API 名、URL、工具名，使用加密字符串并在运行时解密，例如 string decrypted = Decrypt(encryptedApiName); IntPtr funcPtr = GetProcAddress(GetModuleHandle("kernel32.dll"), decrypted);。
20. 签名规避之 API 哈希：按哈希而非名称解析 API 以规避字符串检测，例如将 "VirtualAlloc" 哈希为 0x91AFCA54，再调用 GetProcAddressByHash(module, 0x91AFCA54)。
21. 签名规避之元数据清除：用 ConfuserEx / .NET Reactor / Obfuscar 剥离 .NET 元数据；移除 PE 元数据（时间戳、rich header、调试信息）；修改编译时间戳；剥离 PDB 路径。
22. C2 框架规避特性选择：Cobalt Strike 用 Malleable C2 profile、HTTP/S 流量整形、sleep jitter、PE 规避；Sliver 用多协议（mTLS、WireGuard、DNS）、无 stager、内置混淆；Havoc 用间接系统调用、睡眠混淆、模块践踏；Brute Ratel 用 Badger agent、syscall 规避、内置 ETW/AMSI 绕过。
23. 按决策树执行：若为 PowerShell payload，先做 AMSI 绕过（有 .NET 2.0 则 PS v2 降级，否则内存补丁 AmsiScanBuffer 或反射绕过），再处理 Script Block Logging（ETW 绕过），若处于 Constrained Language Mode 则做 CLM 绕过或改用 C#。
24. 若为 .NET 程序集（Rubeus、SharpHound 等）且直接执行被拦，依次尝试内存 Assembly.Load、用 Donut 转 shellcode、用 C2 execute-assembly；若仍被检测，则混淆程序集（ConfuserEx）、修改源码重编译，或在 CS 下改用 BOF（Beacon Object Files）。
25. 若需执行 shellcode：基础场景用 VirtualAlloc + 回调；需注入时按 OPSEC 选技术（低检测需求用 module stomping 或 phantom DLL，中等用 early bird APC 或 NtMapViewOfSection，快速粗糙用 CreateRemoteThread）；若内存扫描器检测到 payload，则加密 payload 仅在执行时解密，并使用 Ekko/Foliage 睡眠混淆。
26. 若 EDR hook 了 ntdll.dll：使用直接系统调用（SysWhispers3/HellsGate）、从磁盘/KnownDlls 取干净 ntdll 副本，或使用间接系统调用（返回到 ntdll 内指令）。
27. 若遭遇签名检测：已知工具签名则修改并重编译；字符串特征则做字符串加密/API 哈希；PE 元数据则剥离/修改；行为特征则改变执行流并加入垃圾代码。
28. 若所有本地规避均失败：改用 Living-off-the-Land（LOLBins）如 certutil、mshta、regsvr32；使用合法管理工具（PsExec、WMI、WinRM）；切换到无文件/纯内存技术。

适用边界 · 注意事项

• 仅限授权的红队/渗透测试与安全研究场景，禁止用于未授权攻击。
• 依赖特定 C2 框架（Cobalt Strike、Sliver、Havoc、Brute Ratel）或工具（Donut、ConfuserEx、SysWhispers 等）的功能需先具备相应工具或付费授权。
• 部分技术（如 PS v2 降级）依赖目标主机存在 .NET 2.0 等前置条件，不满足时不可用。