EvtMute使用手册

项目概述

EvtMute 是一款利用 YARA 规则来筛选和过滤 Windows 事件日志的工具。它主要针对安全研究者和渗透测试人员，提供了一种进攻性的方法来控制事件日志的报告。此工具包括核心组件 EvtMuteHook.dll，用于注入并动态管理过滤规则，以及辅助工具如 SharpEvtMute.exe 便于从远程或自动化环境操控过滤逻辑。

目录结构及介绍

以下是 EvtMute 项目的目录结构概览及其重要文件说明：

.
├── EvtMute            # 主要脚本或程序入口
│   ├── EvtMuteHook.dll  # 核心库，实现日志过滤功能
│   └── ...
├── EvtMuteBin         # 可能包含二进制工具和资源
│   └── ...
├── SharpEvtMute       # C# 程序集，用于管理过滤规则
│   └── SharpEvtMute.exe
├── YaraFilters        # 存放YARA规则的目录
│   └── 示例规则.yar    # 示例或预定义的YARA规则文件
├── README.md          # 项目的主要说明文档
└── LICENSE            # 许可证信息

• EvtMuteHook.dll: 包含核心逻辑，注入到Windows事件服务后，负责应用和更新事件过滤。
• SharpEvtMute.exe: 提供用户界面或API，便于非侵入式地管理过滤规则，支持通过命令行交互。
• YaraFilters: 存有YARA规则文件，用于定义哪些事件应该被过滤掉或允许。

项目的启动文件介绍

• SharpEvtMute.exe: 这是项目的关键执行文件，用于交互和管理过滤逻辑。无需直接启动 EvtMuteHook.dll，而是通过此程序注入dll到目标进程中，并且控制过滤规则的加载和修改。

  使用方式示例：

  SharpEvtMute.exe --Inject     # 注入hook到事件服务
  SharpEvtMute.exe --Filter "your_yara_rule" # 应用YARA过滤规则
  

项目的配置文件介绍

虽然 EvtMute 直接依赖于YARA规则作为其“配置”，并没有传统意义上的配置文件。但是，你可以将YARA规则视为一种动态配置，这些规则存储在YARA规则文件中（通常位于YaraFilters目录）。每个YARA规则文件都是一个配置单元，决定了哪些事件会被处理。

• YARA规则: 在实际操作中，你可能需要手工创建或编辑YARA规则文件来定制过滤行为。这些规则可以简单，如仅基于事件类型；也可以复杂，涉及到特定的事件属性或字符串匹配。

  一个基础的规则示例：

  rule disable { condition: true }
  

  更复杂的规则可能涉及多个条件和字符串检查，例如防止特定进程（如lsass.exe）的事件被记录。

总结，EvtMute的配置灵活性体现在动态更新的YARA规则上，而非传统的文本配置文件。通过管理这些YARA规则，用户能够灵活地控制Windows事件日志的报告内容。