从挂起进程内存中获取干净的ntdll副本，使用syscall绕过AV/EDR
简体中文说明 | English README
- 20220315：获取ntdll中syscall地址，然后调用。能够绕过对syscall指令执行的位置的检查
- 创建一个挂起的进程
- 获取ntdll的基址
- 从挂起的进程中获取ntdll内容复制到本进程
- 保存syscall的调用代码
- 执行syscall调用
- 下载仓库到本地
- 将需要syscall调用的函数写到
functions.txt文件中 - 执行
python3 NimSysCalls.py生成一个syscalls.nim文件 - 编译并执行，例子在
example.nim.
>> nim c -d:strip --opt:size -d:release -f -r example.nim
[*] Create process notepad.exe
[*] Read clean copy of ntdll from notepad.exe and kill the process
[*] Get export function from clean copy of ntdll
[*] Start create C:\Users\pw.log
[*] Syscall code: 85
[*] NtCreateFile return: 0
[*] Create file C:\Users\pw.log success
React
Typescript
Django
Laravel
Facebook
Microsoft
Google
Alibaba
D3
Tencent