用途：检测 DLL 侧加载与搜索顺序劫持（MITRE T1574），即攻击者将恶意 DLL 放置到合法签名应用会加载的位置，从而借助可信进程执行恶意代码。适用于企业环境 DLL 劫持调查、EDR 告警（签名程序加载未签名 DLL）后的分析、APT 持久化狩猎、事件响应中识别被木马化的应用，以及威胁情报指向特定软件的侧加载活动时。
主要能力：识别侧加载目标（参考 LOLBAS、DLL-sideload 数据库）；监控 DLL 加载事件；检查 DLL 签名，标记签名程序加载的未签名或不可信 DLL；检测路径异常（Temp、AppData、Public 等非预期位置运行的可信程序）；哈希比对已知良好版本与威胁情报；关联宿主进程加载可疑 DLL 后的异常行为（网络连接、子进程）；记录并修复，隔离恶意 DLL、更新检测规则。
关键概念：T1574.002 DLL 侧加载、T1574.001 DLL 搜索顺序劫持、T1574.006 动态链接器劫持、T1574.008 搜索顺序劫持路径拦截；Windows DLL 加载优先级、侧加载、幻影 DLL、DLL 代理转发。
工具：Sysmon（Event ID 7 镜像加载）、CrowdStrike Falcon、Microsoft Defender for Endpoint、Process Monitor、DLL Export Viewer、Sigcheck、pe-sieve。
前置条件：具备 DLL 加载监控的 EDR、带哈希校验的 Sysmon Event ID 7、应用白名单或 DLL 完整性监控、合法应用与预期 DLL 路径的软件清单、代码签名验证能力。
常见场景：合法应用包装（将签名程序复制到临时目录并放置同名恶意 DLL）、幻影 DLL 利用、DLL 代理加载（恶意 version.dll 转发导出并在 DllMain 执行代码）、软件更新劫持。
输出格式：Hunt ID、Technique、Host Application、Sideloaded DLL、Expected DLL Path、DLL Signed、App Location、Host、Risk Level。
限制：资料未提供具体命令、脚本或配置示例，实际检测效果依赖 EDR/Sysmon 部署与软件基线质量。