利用自定义堆栈进行 Shellcode 开发
# 利用自定义堆栈进行 Shellcode 开发技术详解
## 1. 概述
本文详细讲解如何利用回调函数和自定义堆栈技术开发绕过EDR检测的Shellcode。该技术基于BRC4作者提出的"间接系统调用已死，自定义调用堆栈长存"理念，通过修改堆栈调用关系来规避EDR的检测机制。
## 2. EDR检测原理
EDR通常通过以下方式检测恶意Shellcode：
1. **用户态Hook或ETW**：监控敏感API调用
2. **堆栈回溯**：检查返回地址是否合法
典型的堆栈检测模式：
`
2025-08-25 11:28:08
0