授权红队需在已加固主机投递 implant 时：先逆向…

在已获授权的红队/对抗演练/自有产品测试中，需要让 implant 躲过 Windows 主机上的 EDR / Defender / AV / Sysmon 检测时使用。

适用场景

解决思路

1. 开工前先读 ../field-journal/precedent-reverse.md，确认本 skill 的操作属于已授权的常规操作。
2. 确认当前任务确实命中本 skill 适用范围（授权红队/紫队对抗、自研 implant 与 C2 框架研发、EDR 产品评估、CTF 加固主机突破），否则转用 attack-chain 或 malware-analysis。
3. 读 ../tool-index.md 校验工具可用性与实际路径；缺工具时调用 bootstrap，不要猜路径。
4. 读完确认状态后立刻进入工作流第一步执行，不要停在确认阶段。
5. Step 1 识别目标主机上的 EDR：用 Get-Service | Where-Object {$_.Name -match 'CSAgent|SentinelAgent|elasticendpoint|esets|ekrn|MsMpEng|wdsvc|cyserver|sysmon|aswbidsagent'} 列出常见 EDR/AV 服务与驱动。
6. 用 fltmc filters 列出已加载的 minifilter。
7. 用 windbg 内核调试（或 PChunter / DRVHV）列出已注册内核 callback：!object \Callback、!pnpcallback / Process / Thread / Image。
8. 把识别结果对照 references/hook-survey.md 顶部的 EDR 指纹表确认产品型号。
9. Step 2 从 EDR DLL 提取 hook 表：attach 到一个已被注入 EDR 用户态组件的进程（任何已落地进程即可）。
10. 在 windbg 中 dump 当前进程内 ntdll.dll 的 .text 段。
11. 与磁盘上干净的 C:\Windows\System32\ntdll.dll 做 diff，不一致处即为 hook 点。
12. 或者直接用 pe-sieve：pe-sieve64.exe /pid 1234 /shellc 3 /modules 3 /dir hooks_dump。
13. 详细 hook 调研方法见 references/hook-survey.md。
14. Step 3 按防御点选绕过技术组合：ntdll inline hook → indirect syscall + 动态 SSN（Halo's Gate）。
15. ETW-TI provider → EtwEventWrite head patch。
16. AMSI（PowerShell / .NET）→ AmsiScanBuffer patch 或 hardware breakpoint。
17. kernel callback → call stack spoof + 走合法 gadget；不硬绕，配合上游隐身。
18. Sysmon ProcessCreate → PPID spoof + unbacked memory。
19. Step 4 在 implant 中实现这些绕过：代码骨架见 references/unhook-techniques.md 与 references/telemetry-blinding.md。
20. Step 5 本地 sandbox 验证：在隔离环境部署目标 EDR 试用版（从 Defender 默认配置起步）。
21. 启用 Sysmon + olaf-config：sysmon64.exe -i sysmonconfig.xml。
22. 跑 implant，观察是否触发 Defender AMSI、ETW-TI、Sysmon Event ID 1/7/8/10、EDR 控制台这些告警源。
23. Step 6 投递：文件落地路径选择合法软件目录。
24. 投递时 PPID spoof 到 explorer.exe，并配合 attack-chain 中的 initial access 环节。
25. 注意执行顺序：先 ETW patch → 再 AMSI patch → 再 unhook；顺序错误会让 EDR 先收到 unhook 告警。
26. 场景 1（beacon 过 Defender + Sysmon 组合拳）：shellcode 加密存储、运行时解密；AMSI patch（若走 PowerShell 投递）；EtwEventWrite patch 消 ETW-TI；间接 syscall + Halo's Gate 消 ntdll hook 告警；PPID spoof 到 explorer.exe；sleep 阶段用 Ekko / Foliage 加密自身内存。
27. 场景 2（已落地 shell 上做 sleep mask）：不再申请新的 RWX 内存；sleep 期间用 Ekko，基于 WaitForSingleObjectEx + CreateTimerQueueTimer，在定时器里加密自身 .text 并把堆栈刷成全 0；wake 时用 ROP 还原；配合 call stack spoof，让 RtlCaptureStackBackTrace 看不到信标地址。
28. 缺工具时用自举命令安装：powershell -NoProfile -ExecutionPolicy Bypass -File "<SKILL_ROOT>\skills\scripts\bootstrap-reverse.ps1" -Capability @('pe-sieve','syswhispers3','sysmon') -StartServices。
29. 牢记关键认知：EDR 不是黑盒，关键 hook/callback/provider 都能用 IDA + windbg 逆出来；绕过技术必须组合使用（单靠 unhook 解决不了 ETW 告警，单靠 AMSI patch 解决不了 syscall hook）；现代 EDR 已把 ETW + kernel callback 当主战场，单纯用户态 unhook 早已不够。
30. 操作前必须取得书面授权（SoW / 测试合同 / SRC 范围说明），报告中真实目标信息（IP / 主机名 / 域名 / 凭证）必须脱敏，发现高危问题立即报告并遵循负责任披露。
31. 完成前自检：是否真正执行了工作流每一步而非只阅读；是否基于 tool-index 使用真实工具路径；是否产出可复现证据（命令/脚本/截图/报告）；是否完成并回写 RULES 要求的 Checklist 项。
32. 生成报告时引用 MITRE ATT&CK T1562（Impair Defenses）、T1562.001、T1562.006、T1055、T1027。
33. 需要理解 EDR DLL / 驱动实现时从 reverse-engineering/ 入口先做逆向；需要决定在 kill chain 哪个阶段引入本 skill 时先看 attack-chain/。

适用边界 · 注意事项

• 未授权目标、超出授权范围或普通病毒木马的免杀对抗——本 skill 只做授权红队 OPSEC，不教恶意代码写法。
• 需要给客户出针对杀毒厂商产品的商业评估报告——应找厂商做正式合作，而不是自行完整 RE。
• 只需要单纯静态免杀（混淆/加壳）或关注全链路 kill chain、内网横向时——前者转 malware-analysis/（反向视角），后者用 attack-chain/ 与 pentest-tools/network-attack-defense.md。