搭建CrowdStrike EDR免杀调试流水线

原创

老鑫安全
老鑫安全

老鑫安全

2026年8月6日 18:55
中国香港

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一、先问你一个问题

做红队的朋友，我问你一个问题。

你搞到一台 CrowdStrike 端点，传感器在线，实时判黑，一切正常。你准备测你打磨了三周的新 loader。

然后你忽然发现——没有云端控制台。

日志看不了。检测字符串看不了。触发规则看不了。

你心里咯噔一下：\"完了，这还怎么测？杀不杀、死在哪，我全看不见。\"

先别急着崩溃。我问你第二个问题：

那个控制台，真有你想象中那么重要吗？

二、控制台是什么？一个\"检测结果播报员\"

你以为没有控制台 = 盲测。

其实你是把自己的定位能力外包给了控制台，从来没想过自己能不能定位。

控制台给你的是什么？一个漂亮的界面，加一行日志：\"该进程因 XXX 规则被拦截。\"

然后呢？

然后你还是要回到代码里，改一个参数，重跑一遍，再看有没有死。

控制台告诉你的，永远只有\"结论\"——这个样本被杀了。

但你真正需要的是\"过程\"——我是调用哪个 API、在攻击链的哪一步翻的车？

三、控制台给不了你的，这六个环节说了算

注意，这六个环节的答案，没有一个来自控制台日志。全部来自你自己做的对照实验。

四、单变量测试：免杀调试的唯一科学方法

• • 想知道样本到底触发了EDR的哪一条规则
• • 想看到检测的具体严重程度和检测来源
• • 想在一套可复现的环境里反复测试，而不是靠“感觉”

很简单——每次只改一个参数：

• • 改加密算法，其他不变 → 看 EDR 反应
• • 改注入方式，其他不变 → 看 EDR 反应
• • 改 C2 通信协议，其他不变 → 看 EDR 反应

改到哪个参数，检测结果翻转了，凶手就是它。

不用把整个 loader 推翻重写，改那一个出问题的系统调用就够了。

这个方法的含金量，比\"毒/不毒\"的二元结果大了三个数量级。

但——这套方法论有个致命前提：可复现。

五、EDR 会记仇，你的测试环境必须\"失忆\"

你以为你能在同一台机器上，连着测十个样本？

天真了。EDR 是会记仇的：

• • 缓存检测结果
• • 维护本地神经模型
• • 对进程随时间持续打分

你在同一台机器上连跑几个样本，第二个样本的检测结果，可能根本不是因为你的代码，而是第一个样本把 EDR\"喂刁\"了。

这就是为什么测试必须可复现：每次跑完，回滚到干净快照，同一起跑线，只让一个变量在动。

六、Detonator：把免杀调试变成\"无聊的自动化\"

Detonator是什么？

Detonator是一个开源的EDR测试框架。它的核心逻辑很简单：

你提交样本 → Detonator控制端 → 发送到安装了EDR的虚拟机 → 执行 → 收集检测结果 → 返回报告

Detonator 支持：Defender、Defender for Endpoint、Elastic Defend、CrowdStrike、Fibratus、RedEdrd等主流EDR

第一步：准备环境

1. 1. 安装Detonator控制端（可装在任意Linux或Windows机器）

pip install uv uv venv source .venv/bin/activate uv pip install -r requirements.txt
2. 2. 准备测试虚拟机：安装Windows，装上CrowdStrike Falcon传感器，然后打一个干净快照
3. 3. 在虚拟机里安装DetonatorAgent：项目提供了自动化脚本 setup_detonator_windows.ps1

第二步：配置EDR对接

编辑 profiles_init.yaml，添加CrowdStrike配置：

crowdstrike-lab:
  type: Crowdstrike
  comment: 我的CrowdStrike测试环境
  port: 8080
  vm_ip: 192.168.1.100

第三步：开始测试

提交一个样本：

python -m detonatorcmd --profile crowdstrike-lab mimikatz.exe

输出会直接告诉你检测结果和触发的具体规则：

还想更真实？AutoIt 模式帮你打开资源管理器、模拟粘贴、按回车——连 Clickfix 式的攻击链路都能测。

七、所以，CrowdStrike 没有控制台，到底行不行？

现在回到你最关心的问题。

你的 CrowdStrike 端点没有云端控制台。这在以前是致命的——看不到日志，等于瞎测。

但你回过味来想想：控制台唯一能干的活，就是\"播报检测结果\"。而这个活儿，恰恰是可复现测试里最不需要的一环。

因为你要的不是\"它被杀了\"这句话，而是\"它在哪一步被杀的\"这个事实。

这个事实，靠的是：

1. 1. 传感器在线，实时判黑拦截——样本被杀，本地就观察得到；
2. 2. Detonator 一次一快照，干净环境重跑；
3. 3. 逐项改动、逐项重测——检测结果翻转的那一下，就是你的死点。

云端控制台负责\"看日志\"；可复现测试负责\"找死点\"。

你会发现，前者根本不是必需品。

如果你需要一台 CrowdStrike 端点来搭这套测试环境，我们提供：

各大 EDR 端点授权 Token
包括但不限于 SentinelOne、Trend Micro、CrowdStrike、等主流平台的合法测试授权，助你搭建真实的攻防演练环境。

八、总结一句话

没有云端控制台，不等于盲测。

你缺的不是日志，是一次一快照、一次一变量的可复现测试。

控制台给你\"结果\"，可复现测试给你\"原因\"。

而找到原因，才叫免杀调试。其他都是自嗨。

共勉。下次想问\"没控制台怎么看日志\"之前，先想想：你要的到底是日志，还是死点。