### 规避-1 AMSI 绕过 #### 1. 链路定位 - MITRE ATT&CK 战术阶段：TA0005 防御规避。 - 对应技术族：T1562.001 禁用/修改安全工具（AMSI）、T1027 混淆。 - 定位：在脚本执行前破坏 AMSI 扫描环节，使恶意脚本不被静态检出，规避能力，信息级。绕过成功后脚本执行升级为 RCE。 #### 2. 前置条件 - 已在目标进程内获得可写自身内存的执行上下文。 - 知道脚本引擎（PowerShell/VBA/JScript）已集成 AMSI。 - 理解 AMSI 是用户态 DLL 提供的扫描接口，非强制内核拦截。 #### 3. 技术原理 - AMSI 由 `amsi.dll` 提供，脚本引擎在把内容交给解释器前调用 `AmsiScanBuffer` 提交内存中的脚本串，扫描结果决定放行或拦截。 - 内存补丁（Patch）逻辑（不讲机器码）：在进程内存中定位 `AmsiScanBuffer` 入口，修改其前几条指令的分支走向，使函数对扫描结果直接返回"无威胁"类错误码而非真实判定。这是用户态内存改写，依赖对自身可执行页的写