0x1 技术点
PaloAlto Traps（EDR解决方案）基于行为封锁和标记许多黑客工具。
0x2 绕过方法
最简单的解决方案就是禁用内置实用程序，即; Cytool。Cytool是一个集成命令行界面（CLI），Cytool位于端点上的C:Program FilesPalo Alto NetworksTraps文件夹中。
2.1 难点
禁用服务（Cyvrfsfd）会有超级用户密码。
2.2 解决方法
使用fltMC.exe unload Cyvrfsfd这条命令后就可以禁用Cytool。之后运行任何攻击性工具，也不会有任何警报/阻止。
先决条件是FLTMC.exe需要提升命令提示符（CMD或PowerShell）为管理员权限。
0x3 参考
https://www.c0d3xpl0it.com/2019/01/bypassing-paloalto-traps-edr-solution.html
https://twitter.com/carlos_perez