Obex - DLL 阻止

Obex 是一个 PoC 工具/技术，可用于阻止不需要的模块（例如 EDR 或监控库）在进程初始化期间或运行时被加载到新启动的进程中。

功能

• 在调试控制下，使用参数生成任意进程。
• 按名称阻止可配置的 DLL 列表。
• 同时适用于启动 DLL 和动态加载的 DLL（LoadLibrary*）。
• 使用纯 C 语言编写，无外部依赖。

使用方法

obex.exe "<command with args>" [dll1.dll,dll2.dll,...]

• 如果未提供 DLL 列表，则使用默认阻止列表（在撰写本文时仅为 amsi.dll）。
• DLL 名称不区分大小写。

工作原理

除了解析命令行参数外，该 PoC 还执行以下操作（大致概述）：

如需更深入的理解，请查看代码（显而易见）或在 discord 或 twitter 上联系我。

截图

该截图展示了 obex 使用默认阻止列表（仅 amsi.dll）生成 powershell.exe 的过程。 此外，你可以看到所生成进程的模块列表，以验证 amsi.dll 未被加载。