一篇博客,双重视角。不止带你用 x64dbg 追踪 CreateThread 从用户态到内核的完整调用链,更从红队免杀角度,揭示为何恶意软件偏爱直接调用 ntdll 和 syscall 来绕过 EDR/AV 的 API 钩子。理解 Windows …