用途：在已获授权的红队、Purple team、对抗演练或自有产品测试中，逆向防御方（EDR / Defender / AV）实现，再对目标主机投递 implant 并规避现代 EDR 检测。仅限合法授权范围，须先取得书面授权；禁止用于未授权目标或普通病毒木马免杀。
主要能力：识别目标主机 EDR 与加载的 minifilter、内核 callback；从被注入进程 dump ntdll .text 段并与磁盘干净副本 diff 提取 hook 表（或用 pe-sieve64.exe /pid 1234 /shellc 3 /modules 3 /dir hooks_dump）；按防御点选择绕法组合，如间接 syscall + 动态 SSN（Halo's Gate）、EtwEventWrite head patch、AmsiScanBuffer patch、call stack spoof、PPID spoof 等，并关注执行顺序（先 ETW patch，再 AMSI patch，再 unhook）。
使用方式：按六步工作流执行——识别 EDR、提 hook 表、选绕过组合、在 implant 中实现、本地隔离 sandbox 验证（可部署 Sysmon 并运行 sysmon64.exe -i sysmonconfig.xml 观察告警源）、最后投递。工具依赖含 pe-sieve、SysWhispers3、windbg/IDA、Sysmon + olaf 配置等；缺工具时按 bootstrap-reverse.ps1 自举，不猜路径。
适用场景：客户评估 SOC 与 EDR 真实检测能力、自研 implant/C2 框架测试、合规前提下的 EDR 产品检测覆盖评测、CTF 攻防演练 Windows 端突破。
限制：不适用于杀毒厂商商业评估报告、未授权目标免杀、普通恶意代码免杀；完整内核 callback 反向与具体报告细节资料暂未提供。报告需引用 MITRE ATT&CK T1562、T1562.001、T1562.006、T1055、T1027，并对真实目标信息脱敏。