终端防御规避技术-2.函数挂钩DLL

EDR 用户态主要靠 Hook ntdll!Nt* 拿遥测；绕过核心是“不走被 Hook 的 ntdll”，检测核心是“内存完整性 + 调用栈 + 内核回调”。