文章总结： 本文解析Windows内核bindlinks特性，攻击者借此实现路径欺骗使EDR失明。文章详述File、Process与Silo三种攻击形态，对比BYOVD凸显其隐蔽性，给出重解析校验与监控控制面等防御建议。文末附大量免杀工具广告，拉低文章价值。 综合评分： 35 文章分类： 免杀,红队,软文广告,安全工具,终端安全
微软都没修的内核特性：bind links 让 EDR 对 Mimikatz 彻底失明，2026 免杀绕过进入「路径欺骗」时代
原创
星夜AI安全 星夜AI安全
星夜AI安全
2026年8月20日 13:35 吉林
在小说阅读器读本章
去阅读
EDR 把算力全砸在内存取证和行为关联上，却忽略了一个最根基的假设——文件路径等于文件内容。2026 年 Bitdefender 在 Ctrl-Alt-DECODE 研究中披露的 bind links 攻击链，正是对这个假设的降维打击：它不杀 EDR、不卸驱动、不 patch 内核，只是让安全产品「看见的路径」和「真正执行的文件」彻底分裂。
一、技术全貌：这是什么？
Bind links（绑定链接） 是 Windows 10 1803 起引入的一项合法内核级特性，由 minifilter 驱动 bindflt.sys 实现。它原本服务于 Windows Sandbox、Store 应用、Windows 容器——把一个「虚拟路径」透明地重定向到真实的系统位置，让隔离环境里的程序以为自己在访问宿主文件。
问题在于：攻击者拿到本地管理员后，可以反过来指挥 bindflt.sys，把一条系统信任的路径（比如 C:\Windows\System32\amsi.dll）在内存中重定向到攻击者控制的文件。原文件纹丝不动，磁盘上看干干净净，但进程加载的却是恶意内容。
🌈
关键点：重定向只存在于内存，不在磁盘落地，正常文件枚举看不见它，重启后自动消失。这与传统「EDR killer」依赖一个存在漏洞的驱动（BYOVD）完全不同——bind links 用的是系统自带的
bindflt.sys，零额外文件、零驱动落地。
Bitdefender 把这套手法归纳为三种递进形态：
| 形态 | 作用对象 | 欺骗效果 |
| — | — | — |
| File-Binding | DLL / 文件 | 让 AMSI、EDR 传感器 DLL 加载「无害版」 |
| Process-Binding | 可执行映像 | 让恶意 exe 以 winver.exe 等可信进程之名运行 |
| Silo-Binding | 隔离沙箱视图 | 在容器内跑恶意代码，容器外只看得到干净文件 |
二、为什么这个技术如此重要
过去三年红队的「免杀军备竞赛」一直在和 EDR 的文件落地检测与内存取证死磕：间接 syscall 绕 inline hook、堆栈欺骗伪装调用栈、RWX 狩猎复用既有可执行内存……这些都在「进程里搞出一块可疑内存」或「动 ntdll」的前提上打转。
Bind links 直接抽掉了更高一层的前提：路径可信。EDR 的主流判定逻辑是——「进程创建回调里报告的映像路径是 winver.exe，那它就是 winver.exe」。Bind links 让这个逻辑从根上失真。
把 bind links 和 BYOVD 对照，更能看清它的价值：
- BYOVD：需要找到一个存在漏洞的、带合法签名的驱动（如某网卡/主板厂商驱动），加载后抹掉 EDR 回调。供应链风险高、易被驱动黑名单拦截。
- Bind links：只调用系统自带的
bindflt.sys，没有任何新文件、没有任何可疑驱动。微软的驱动黑名单、HVCI 对它完全无效。
微软将问题评为低危，理由是「需要管理员权限」。但 Bitdefender 尖锐地反驳：勒索软件和 APT 在部署载荷前几乎必然先拿到管理员权限——这和业界对待 BYOVD 的态度理应一致，不能因为「要管理员」就放弃检测。Windows 10 RS4 之后的几乎所有企业机（含 Windows 11）在满足「本地管理员」条件后一律暴露。
三、技术原理解析
1. File-Binding：把 AMSI 变成「无害扫描器」
最经典的一招，是劫持 C:\Windows\System32\amsi.dll。PowerShell 在扫描脚本前会 LoadLibrary 加载 AMSI，调用 AmsiScanBuffer 等导出函数。攻击者建立一条从 amsi.dll 到自制 DLL 的 bind link——这个自制 DLL 导出同名函数，但每个函数都直接返回「干净」。
# 攻击链路（概念）
原始路径: C:\Windows\System32\amsi.dll (磁盘上仍是微软原版, 哈希不变)
bindflt 重定向: → C:\Users\admin\evil_amsi.dll (攻击者导出同名函数, 一律 return CLEAN)
PowerShell 加载 "amsi.dll" → 实际载入 evil_amsi.dll → AMSI 被静默中和
整个过程没有内存补丁、没有修改原文件、没有改进程内存权限。用户态 EDR 看到的 amsi.dll 路径依然是系统签名文件，哈希扫描返回绿色。同理可盲掉 EDR 自己的用户态传感器 DLL，或把伪造的取证产物（事件日志、注册表 hive）喂给调查工具。
2. Process-Binding：让恶意程序披上可信之名
把 File-Binding 的思路套到可执行映像上，就是 Process-Binding。例如建立 winver.exe → cmd.exe 的 bind link：
用户/系统启动 C:\Windows\System32\winver.exe
进程创建回调登记映像路径 = winver.exe (可信, 白名单放行)
实际在内存中执行的 backing file = cmd.exe (恶意)
EDR / Process Explorer / AppLocker 全部按 "winver.exe" 判定 → 放行
唯一缺口是：外部扫描器若重新打开该进程映像的底层文件对象并比对，可能发现不一致。但绝大多数依赖进程创建回调和映像路径的防御，到此已经失效。
3. Silo-Binding：制造两个平行世界（最先进）
Silo-Binding 借助 Windows silo（容器 / Sandbox 的隔离边界，拥有独立的文件系统视图、注册表、对象命名空间）把欺骗做到极致：
- 在 silo 内部建立一条 bind link，把可信路径重定向到恶意代码；
- 在 silo 外部再建立一条反向全局 link，把「恶意代码路径」重新指回干净文件。
结果：恶意代码在 silo 内以 tiworker.exe 等可信系统进程之名执行；而 silo 之外的一切安全工具（Sysmon、AppLocker、Windows Firewall、EDR 扫描器）打开同一路径时，看到的全是微软原版签名文件。Bitdefender 现场演示：通常一出现就被拦截的 Invoke-Mimikatz，伪装成 tiworker.exe 后成功绕过 EDR。
Silo 内视图: C:\Windows\System32\tiworker.exe --> C:\mal\mimikatz.exe (执行)
Silo 外视图: C:\mal\mimikatz.exe --> C:\Windows\System32\tiworker.exe (干净)
外部扫描器看到: tiworker.exe (签名通过) → Mimikatz 隐形
四、实战应用场景
- 后渗透 EDR 致盲：拿到管理员后，先用 File-Binding 中和 AMSI，再用 Silo-Binding 把 C2 载荷藏进可信进程，后续横向、凭据窃取全程不触发路径类告警。
- 勒索软件前置：勒索组织在加密前必然要干掉防护。Bind links 不依赖漏洞驱动，能绕过驱动黑名单，比 BYOVD 更隐蔽。
- 持久化与取证反制：把恶意 DLL 通过 bind link 挂到常驻系统组件上，磁盘取证找不到落地文件；配合伪造日志，干扰事件响应。
- Docker Desktop 提权：Bitdefender 额外发现——
docker-users组（非管理员）成员可利用 bind links 将权限提升至 SYSTEM。Docker 已更新文档警示：docker-users 成员可在宿主机提权至管理员。
五、防御对抗建议
Bitdefender 给出的核心建议只有一句话，却击中要害：不要只信任进程创建时报告的映像路径，每次重新打开文件时，都要复核底层文件对象。
具体落地：
- 重解析校验：安全产品对关键进程/ DLL，应在执行后周期性地通过文件对象重新打开底层 backing 文件，比对报告路径与真实路径是否一致。
- 监控 bindflt 控制面：对
bindflt.sys下发 shadow bind 的控制行为、非预期的 silo 创建做告警（尤其来自非容器场景的 silo）。 - 最小特权 + 受控管理员：收紧本地管理员分发，对
docker-users等高风险组单独审计。 - 不唯哈希/路径论：对 AMSI、EDR 传感器目录做完整性持续校验，而非仅依赖加载时的静态判定。
- 关注 24H2 缓解：Windows 24H2 引入的 veto 能拦截部分 bind links，但 Bitdefender 明确指出这只是部分修复——纵深防御仍需上述检测手段。
六、技术延伸阅读
- Bitdefender Ctrl-Alt-DECODE 研究（bind links 三形态 + Docker 提权）
- 技术分析：Windows Bind Link Attacks Bypass EDR Visibility（netcyberbase）
- Bitdefender Uncovers Windows Bind Link Technique That Evades EDR Detection（cysecurity.news）
- 实操拆解：Attackers Can Weaponize Windows Bind Links to Bypass EDR（windowsnews.ai）
🌈
一句话总结：当「路径即身份」这一底层信任被内核特性本身推翻，2026 年的免杀战场已经从「内存层」上升到了「文件系统语义层」。红队要的是让 EDR 永远看错文件，蓝队要的是永远复核底层文件——这场博弈，才刚刚开始。
圈子介绍
现任职于某头部网络安全企业攻防研究部，核心红队成员。2021-2023年间累计参与40+场国家级、行业级攻防实战演练，精通漏洞挖掘、红蓝对抗策略制定、恶意代码分析、内网横向渗透及应急响应等技术领域。在多次大型演练中，主导突破多个高防护目标网络，曾获”最佳攻击手””突出贡献个人”等荣誉。
已产出的安全工具及成果包括：
- 多款主流杀软通杀工具（兼容卡巴斯基、诺顿、瑞星、360等终端防护，无感知运行，突破多引擎联合检测）
- XXByPassBehinder v1.1 冰蝎免杀生成器（定制化冰蝎免杀工具，绕过主流终端防护与EDR动态检测，支持自定义载荷）
- 哥斯拉二开免杀定制版（二开优化，深度免杀，突破终端防护与EDR检测，适配多场景植入）
- NeoCS4.9终极版（高级免杀加载工具，强化载荷注入与进程劫持，适配多系统版本，无兼容问题）
- WinDump_免杀版（浏览器凭证窃取工具，支持Chrome/Edge/Firefox等主流浏览器，一键提取敏感数据，免杀过防护）_
- _DumpBrowser_V1_免杀版（浏览器凭证窃取工具，专攻浏览器密码、Cookie、历史记录提取，免杀性能拉满）
- fscan二开版（二开优化内网扫描工具，增强指纹精度、弱口令爆破与结果标准化输出，适配复杂内网）
- RingQ加载器二开版（二开优化免杀加载器，支持Shellcode内存执行，绕过各类终端防护与EDR检测）
- 多款免杀Webshell集合（覆盖PHP/JSP/ASPX，过主流WAF与终端防护，适配不同Web场景）
- 免杀360专属加载器（支持Shellcode内存执行，针对性绕过360全系防护检测，无感知运行）
- 一键Kill 火绒 defender 工具 HDKiller（包含源码）
- win11 一键kill 360工具 InjectKill（包含源码）
- win11 一键kill defender工具win11_df-killer（包含源码）
- 免杀火绒6.0内存防护加载器BypassMemLoader
- 单文件过360 免杀loader exe_bypass_360
- 单文件过火绒 df 免杀loader exe_bypass_df(包含源码)
- LNK钓鱼文件生成工具V1.0
- EXE捆绑启动器 v2.0
- 火绒6内存免杀加载器bypasshr6
- 火绒一键Kill专杀工具HRKiller
- Ring3 内存免杀工具Ring3bypasshr.exe
- win11 一键kill 360工具 Kill360_V2
- win11 一键kill 360工具 Kill360_V3.1
后续将不断更新到内部圈子中 欢迎加入圈子
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：星夜AI安全 星夜AI安全 星夜AI安全《微软都没修的内核特性：bind links 让 EDR 对 Mimikatz 彻底失明，2026 免杀绕过进入「路径欺骗」时代》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论