Freeze 是一套用于利用挂起的进程、直接系统调用和替代执行方法绕过 EDR 的负载工具包
为了使用这种清理挂起的进程来从 Freeze 加载器中删除钩子,我们需要一种程序化查找和读取清理挂起的进程内存的方法。这就是地址空间布局随机化 (ASLR) 发挥作用的地方。ASLR 是一种防止堆栈内存损坏相关漏洞的安全机制。ASLR 会随机化进程内的地址空间,以确保所有内存映射对象、堆栈、堆和可执行程序本身都是唯一的。现在,事情变得有趣了,因为虽然 ASLR 起作用,但它对于位置独立代码 (如 DLL) 并不起作用。对于 DLL (特别是已知系统 DLL),地址空间在启动时会被随机化一次。这意味着我们不需要枚举远程进程信息,
暂无开放 Issues，或尚未同步最近议题。