Windows Offender：Reverse Engineering Windows Defender’s Antivirus Emulator

Black Hat 2018 - Windows Offender：逆向工程Windows Defender的反病毒仿真器.pdf

简介

背景

仿真技术简介

工具和过程（P30）

逆向工程

启动（P46）

CPU仿真（P49）

仪器化（P56）

Windows仿真和环境

使用模式环境

使用模式代码（P79）

用户与内核的相互作用

内核内部

AV仪器设备

漏洞研究

了解P0的弱点

通过滥用apicall绕过缓解措施

摸索

总结