13、突破微软 Defender for Endpoint 防护：实战指南

突破微软 Defender for Endpoint 防护：实战指南

在当今数字化的时代，网络安全防护变得尤为重要。微软的 Defender for Endpoint（MDE）作为一款基于机器学习的反恶意软件解决方案，能够检测高级攻击，给攻击者带来了不小的挑战。本文将详细介绍如何绕过 MDE 的防护，获取目标系统的敏感信息。

1. 认识 MDE

MDE 由 MsSense.exe 进程启动，是微软下一代的 EDR 解决方案，其前身是 Windows Defender Advanced Threat Protection（ATP）。它主要通过收集系统事件并发送到微软的云平台进行分析，以检测和防范高级攻击。

2. 准备工作

为了测试绕过 MDE 的方法，我们需要在测试机上注册并安装 MDE 的试用版。具体步骤如下：
1. 访问 http://bit.ly/3s30FCS ，在微软网站上注册 MDE 试用版。
2. 由于 Windows 10 系统已预装 MDE 服务，安装过程只需几秒钟，但注册过程需要 24 小时。

3. 尝试绕过 MDE

我们的目标是获取 LSASS.exe 进程中存储的明文密码，Mimikatz 工具可以实现这一功能。但当我们执行 Invoke-Mimikatz.ps1 脚本时，MDE 会发出警报。

为了绕过检测，我们尝试对 Mimikatz 中的可疑函数名进行混淆处理，但效果并不理想。有时脚本仍会被标记为“凭证盗窃”，有时虽然未被检测到，但 AMSI 绕过命令会被标记。经过多次实验，我们发现对 AMSI 命令进行深度混淆后，不会被 MDE 标记，例如： <