EDR 如何识别反射式加载器？从内存、调用栈到行为检测

EDR 可通过 API 行为、调用栈、内存映射和内核遥测发现反射式加载器，反射式加载并不意味着不可见。文章结合 Crystal Palace 相关研究，梳理反射式加载器的工作原理与检测难点，并给出防守方可关注的关键证据。