windows-av-evasion

用途：该技能是一份 Windows 平台 AV/EDR 规避的攻击技术手册，用于在受保护主机上执行工具或载荷时选择绕过检测的路径。

主要能力：

1. AMSI 绕过：内存补丁 AmsiScanBuffer、.NET 反射修改初始化标志、字符串混淆、PowerShell v2 降级、CLM 绕过、COM 劫持。
2. ETW 绕过：补丁 EtwEventWrite 使其直接返回，或禁用脚本块日志。
3. .NET 程序集加载：内存 Assembly.Load、用 Donut 将 .NET EXE 转为 shellcode、通过 C2 的 execute-assembly 执行。
4. Shellcode 执行：VirtualAlloc 配合回调 API（如 EnumWindows）替代 CreateThread。
5. 进程注入：CreateRemoteThread、NtMapViewOfSection、进程镂空、线程劫持、Early Bird APC、Phantom DLL Hollowing、模块践踏、事务镂空，并标注各自检测风险。
6. 脱钩：直接系统调用（SysWhispers2/3、HellsGate、HalosGate、TartarusGate）、从磁盘或 KnownDlls 读取干净 ntdll 覆盖、间接系统调用。
7. 载荷加密与混淆：AES、XOR、RC4，以及 Ekko、Foliage、DeathSleep 等睡眠混淆与分阶段加载。
8. 签名规避：字符串加密、API 哈希、元数据剥离，以及 Cobalt Strike、Sliver、Havoc、Brute Ratel 的规避特性。

使用方式：按决策树判断场景——PowerShell 载荷先做 AMSI 绕过，.NET 程序集被拦截则改用内存加载或 Donut，需要注入则按 OPSEC 选择技术，EDR 挂钩 ntdll 则用直接/间接系统调用或干净 ntdll 副本，签名检测则改源码重编译或加密字符串。文档还建议在权限提升、横向移动、Kerberos 攻击等场景加载相关技能。

适用场景：红队与渗透测试中针对 Windows 端点防护的规避操作。

限制：资料未提供具体工具版本、授权要求、平台兼容性细节或效果验证数据；部分代码为示意片段，实际使用需自行验证。