推荐开源项目：unDefender - 利用系统符号链接与NT路径的防御者克星

1. 项目介绍

unDefender 是一个由C++编写的创新工具，它基于@jonasLyk在Twitter上分享的一种技术思路。这个项目的主要目标是利用Windows操作系统内建的符号链接和NT路径来“解除”Windows Defender（即Microsoft Defender）的防护功能。当Defender的WdFilter驱动被其Tamper Protection特性重新加载时，unDefender 可以让另一个文件代替原版的WdFilter.sys映射到内存中，从而使Defender失去作用。

2. 项目技术分析

unDefender 的核心机制是对\Device\BootDevice的符号链接进行修改，这是一种巧妙地利用操作系统内部机制的方法。通过在卸载并重新加载WdFilter驱动的过程中插入合法但无效的替代文件，它可以成功规避Defender的保护措施。值得注意的是，这种方法并不涉及复杂的篡改或注入操作，而是依赖于系统的正常功能。

3. 项目及技术应用场景

unDefender 可能对那些需要暂时禁用Defender以便进行特定软件测试、开发或者系统维护的用户非常有用。例如，在安装可能被Defender误报为恶意的第三方应用程序，或是对系统进行低级调试等场景下，该项目可以提供临时解除防务的能力。

4. 项目特点

• 简单执行：只需要将unDefencer.exe与提供的legit.sys放在同一个目录下，然后在提升权限的命令行环境中运行unDefencer.exe即可。
• 跨版本兼容：已验证在Windows 10 20H2、21H1以及Windows 11上都能正常工作。
• 无侵入性：不依赖于注入或其他可能导致系统不稳定的技术，降低了潜在风险。
• 可逆操作：一旦不再需要，只需重启电脑或恢复原有的WdFilter.sys，Defender的功能就会恢复正常。

unDefender 提供了一种独特而高效的方式来规避Windows Defender，对于开发者和高级用户来说，这是一个值得一试的开源项目。但在使用前，请确保您了解其工作原理并理解可能的风险，因为这可能会削弱您的安全防护。