系统调用(syscall)
Syscall用户态 API Hook 让 EDR 能动态审查 Windows API。多数 EDR 用 Inline Hook：在内存里插入 jmp，把执行流拐进 EDR 的 hooking.dll。研判当前 Windows API 不是恶意，就跳回 ntdll.dll，再 syscall 进内核；研判是恶意，就终止执行。要看真正的汇编和 SSN，必须去 ntdll.dll 文件里看函数。其他地
Syscall用户态 API Hook 让 EDR 能动态审查 Windows API。多数 EDR 用 Inline Hook：在内存里插入 jmp，把执行流拐进 EDR 的 hooking.dll。研判当前 Windows API 不是恶意，就跳回 ntdll.dll，再 syscall 进内核；研判是恶意，就终止执行。要看真正的汇编和 SSN，必须去 ntdll.dll 文件里看函数。其他地