用途：该技能资料用于红队行动中规划 EDR 绕过、研究 AV/EDR 规避技术、开发需在端点检测下存活的植入体，以及测试安全产品检测能力。资料首先区分 AV（静态签名匹配、有限行为监控）与 EDR（内核级持续监控、行为分析、异常检测与事后可见性）。
主要能力： 用户态脱钩：从磁盘或 KnownDlls 重新映射干净的 ntdll.dll，覆盖被挂钩的 .text 段；并指出内核回调（PsSetCreateProcessNotifyRoutine、ObRegisterCallbacks）无法仅靠用户态绕过，需 BYOVD 或 DKOM。 直接/间接系统调用：直接 syscall 跳过 ntdll，涉及 SSN 随 Windows 版本变化；间接 syscall 跳转到 ntdll 内的 syscall;ret；SSN 解析涉及 HellsGate、HalosGate、TartarusGate。 AMSI 绕过：将 AmsiScanBuffer 补丁为返回干净结果。 ETW 补丁：将 EtwEventWrite 首字节改为 ret。 PPID 欺骗：通过 PROC_THREAD_ATTRIBUTE_PARENT_PROCESS 使进程看似由 explorer.exe 派生。 进程注入：列出 CreateRemoteThread、Early Bird、模块践踏、幻影 DLL 空洞化、ThreadlessInject 等方式及隐蔽性对比。 休眠混淆：Sleep Masking、Ekko（定时器队列）、Zilean（APC）、DeathSleep（线程池）、Gargoyle（ROP 非可执行休眠）。 调用栈伪装：SilentMoonwalk 的帧指针欺骗、返回地址覆盖与合成帧。 现代 EDR 内部：Microsoft-Windows-Threat-Intelligence 内核级 ETW 无法从用户态补丁；内核回调类型清单；BYOVD 移除回调的已知易受攻击驱动（RTCore64.sys、dbutil_2_3.sys、gdrv.sys、ene.sys、WinRing0x64.sys）；微过滤器规避与直接解析 NTFS。 硬件断点挂钩：使用 DR0-DR3 与 VEH 替代 inline hook。
使用方式：资料以概念说明、C/汇编片段和技术清单呈现，未提供完整安装命令或可执行工具包。
限制：原文未提供收费、授权、版本兼容性或具体使用步骤等信息；部分内容在原文末尾被截断。仅限授权的安全测试与防御研究场景使用。