ETW绕过使用方法详解：红队视角下的实战技巧与思路
大家好呀！今天咱们来聊一个在红队圈子里热度一直不减的话题——ETW绕过使用方法，说实话，我第一次接触ETW的时候，那真是一头雾水，踩了不知道多少个坑，后来慢慢摸索，总算搞明白了一些门道,今天就掏心窝子跟大家分享一下。
什么是ETW？为啥要绕过它？
ETW，全称Event Tracing for Windows，是微软搞的一套事件追踪机制，听起来好像人畜无害对吧？但实际上，它可是EDR（端点检测与响应）系统的重要数据来源之一，很多安全产品就是靠ETW来监控进程行为、API调用、.NET程序集加载等等。
换句话说，你作为一个红队选手，如果不了解ETW绕过使用方法，那基本上就是在EDR眼皮底下裸奔，分分钟被抓，哎呀,这可不是闹着玩的！
ETW绕过使用方法之核心思路
好，进入正题,ETW绕过使用方法其实说白了就几个大方向：
Patch ETW核心函数
最经典的做法就是直接对EtwEventWrite这个函数下手，这个函数是用户态ETW事件写入的入口，你把它的开头几个字节改成ret指令，那所有通过它上报的事件就全部哑火了，具体怎么做呢？一般是用VirtualProtect把内存改成可读写可执行，然后写入0xC3（x64下的ret）或者0xC2 0x14 0x00。
不过我得提醒一句啊，这种方法虽然简单粗暴，但现在很多EDR会检测EtwEventWrite的首字节是否被修改,所以你得配合其他手段一起用。
修改ETW Provider的注册表
Windows的ETW Provider信息存储在注册表里，路径大概是HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT，你可以通过修改这里来禁用某些Provider，但问题是，这需要管理员权限,而且重启之后可能会被恢复。
利用.NET反射绕过
针对.NET程序集加载的ETW监控（比如Microsoft-Windows-DotNETRuntime），你可以通过反射修改内部字段来阻止事件上报，这个在Cobalt Strike的execute-assembly场景下特别有用，具体代码网上有很多，核心就是找到EventProvider的m_enabled字段,把它设成0。
硬件断点法
这招比较高级，利用CPU的调试寄存器（DR0-DR7）在EtwEventWrite上下硬件断点，然后通过异常处理来跳过函数执行，优点是隐蔽性强，不改内存；缺点是实现复杂,而且一次只能下四个断点。
实战中需要注意的坑
讲真，ETW绕过使用方法看着简单,实战中坑可不少：
- 版本差异：Windows 10和Windows 11的ETW实现有差异，x86和x64也不一样,你得做好适配。
- 时序问题：有些EDR会在你patch之前就把关键事件订阅好了,你后patch可能已经晚了。
- 多层监控：现在很多EDR不光用ETW，还用内核回调、AMSI等等,你光绕过ETW是不够的。
我的个人建议
如果你是刚开始学ETW绕过使用方法，我建议从EtwEventWrite的patch入手，先把原理搞懂，然后逐步研究.NET层面的绕过，最后再考虑硬件断点这种高阶技巧，千万别一上来就追求花里胡哨,基础不牢地动山摇啊兄弟！
一定要在合法授权的环境下测试，别拿去干坏事,不然迟早进去踩缝纫机。
好了，今天就聊到这里，希望这篇关于ETW绕过使用方法的文章能帮到大家，有问题欢迎留言讨论,咱们下期再见！