freebufphpfilter技巧_若何运用EDRSilencer为特定进程添加WFP筛选器阻挡EDR出站流量

该工具受到了FireBlock项目的启示，可以利用WFP API并阻挡EDR代理向做事器端报告安全事宜。

功能先容

1、搜索已知正在运行的EDR进程，并添加WFP筛选器以屏蔽其出站流量；

2、为指定进程添加WFP筛选器；

3、移除该工具设置的所有WFP筛选器；

4、通过筛选器ID移除指定的WFP筛选器；

5、支持在C2中运行（通过内存中的PE实行模块）；

6、其他EDR掌握，当一个进程考试测验获取EDR进程的文件句柄时可谢绝其访问；

当前版本的EDRSilencer支持下列EDR产品：

Microsoft Defender for Endpoint

Microsoft Defender Antivirus

Elastic EDR

Trellix EDR

Qualys EDR

SentinelOne

Cylance

Cybereason

Carbon Black EDR

Carbon Black Cloud

Tanium

Palo Alto Networks Traps/Cortex XDR

FortiEDR

Cisco Secure Endpoint (Formerly Cisco AMP)

ESET Inspect

Harfanglab EDR

TrendMicro Apex One

Windows 10

Windows Server 2016

广大研究职员可以直策应用下列命令将该项目源码克隆至本地：

git clone https://github.com/netero1010/EDRSilencer.git代码编译

切换到项目目录中，利用下列命令即可完成工具代码的编译：

cd EDRSilencerx86_64-w64-mingw32-gcc EDRSilencer.c utils.c -o EDRSilencer.exe -lfwpuclnt工具利用

EDRSilencer.exe <blockedr/block/unblockall/unblock>工具利用样例

为所有检测到的EDR添加WFP筛选器以屏蔽IPv4和IPv6出站流量：

EDRSilencer.exe blockedr

为指定进程（须要供应进程完全路径）添加WFP筛选器以屏蔽IPv4和IPv6出站流量：

EDRSilencer.exe block "C:\Windows\System32\curl.exe"

移除该工具设置的全部WFP筛选器：

EDRSilencer.exe unblockall

通过筛选器IP移除一个指定的WFP筛选器：

EDRSilencer.exe unblock <filter id>工具运行截图

本项目的开拓与发布遵照MIT开源容许证协议。

EDRSilencer：https://github.com/netero1010/EDRSilencer

https://www.mdsec.co.uk/2023/09/nighthawk-0-2-6-three-wise-monkeys/