后端
系统调用(syscall)
先知社区0 次浏览
Syscall用户态 API Hook 让 EDR 能动态审查 Windows API。多数 EDR 用 Inline Hook：在内存里插入 jmp，把执行流拐进 EDR 的 hooking.dll。研判当前 Windows API 不是恶意，就跳回 ntdll.dll，再 syscall 进内核；研判是恶意，就终止执行。要看真正的汇编和 SSN，必须去 ntdll.dll 文件里看函数。其他地
原文：https://xz.aliyun.com/news/92911上一篇CodeQL 复现 Struts OGNL 注入：Source/Sink 建模、误报剔除与路径验证下一篇泰坦军团推出 C32A1R2 显示器：1500R 曲面 VA，31.5" QHD 180Hz
