EvtMute 使用教程

1. 项目介绍

EvtMute 是一个开源工具，允许用户使用 YARA 规则对 Windows 事件日志进行筛选和过滤。通过 EvtMute，用户可以动态地应用过滤器，从而控制哪些事件会被报告给 Windows 事件日志系统。这个工具特别适用于需要对事件日志进行攻击性操作的场景，例如在渗透测试或安全研究中。

2. 项目快速启动

2.1 安装

首先，克隆 EvtMute 项目到本地：

git clone https://github.com/bats3c/EvtMute.git

2.2 使用

EvtMute 的核心功能包含在 EvtMuteHook.dll 中。以下是一些基本的使用步骤：

2.2.1 注入钩子

使用 SharpEvtMute.exe 注入钩子到事件服务中：

SharpEvtMute.exe --Inject

2.2.2 添加过滤器

注入钩子后，可以添加过滤器。例如，禁用所有事件日志记录：

SharpEvtMute.exe --Filter "rule disable [ condition: true ]"

2.2.3 复杂过滤器

对于更复杂的过滤器，可以使用 Base64 编码的 YARA 规则。例如，阻止 Sysmon 报告与 lsass 内存转储相关的事件：

base64 -w 0 YaraFilters/lsassdump.yar | echo $(</dev/stdin)
SharpEvtMute.exe --Encoded "base64_encoded_rule"

3. 应用案例和最佳实践

3.1 禁用系统范围内的事件日志记录

在某些情况下，可能需要禁用整个系统的事件日志记录。通过 EvtMute，可以轻松实现这一点：

SharpEvtMute.exe --Inject
SharpEvtMute.exe --Filter "rule disable [ condition: true ]"

3.2 动态更新过滤器

EvtMute 允许用户在不重新注入钩子的情况下动态更新过滤器。这对于需要频繁更改过滤规则的场景非常有用。

SharpEvtMute.exe --Filter "new_rule"

4. 典型生态项目

4.1 Sysmon

Sysmon 是一个强大的系统监控工具，常用于监控和记录系统活动。EvtMute 可以与 Sysmon 结合使用，通过过滤特定事件来减少日志的噪音。

4.2 Cobalt Strike

Cobalt Strike 是一个广泛使用的渗透测试工具。EvtMute 可以与 Cobalt Strike 结合，通过过滤事件日志来减少被检测到的风险。

4.3 Shad0w

Shad0w 是一个轻量级的 C2 框架。EvtMute 可以与 Shad0w 结合，通过手动注入 EvtMuteHook.dll 来实现更隐蔽的操作。

通过以上步骤，您可以快速上手并使用 EvtMute 进行 Windows 事件日志的筛选和过滤。