写在前面

在逆向工程中为了防止破解者调试软件，通常都会在软件中采用一些反调试技术来防破解。下面就是一些在逆向工程中常见的反调试技巧与示例。

BeingDebuged

利用调试器加载程序时调试器会通过CreateProcess（）创建调试进程，同时会创建调试内核对象并保存在当前线程环境块的DbgSsReserved[1]字段中，此时此线程就不同于普通线程了（一般称为调试器线程）。接着CreateProcess（）会判断是否有调试器，无则直接返回，有则调用PspCreateProcess()，此函数会根据DbgSsReserved[1]字段设置创建进程的EPROCESS的DebugPort字段，这样此被创建进程就可以称为被调试进程。接着PspCreateProcess（）会调用MmCreatePeb（），此函数会根据EPROCESS的Debugport字段设置PEB的BeingDebuged字段。（无调试器时其值为0）

我们可以直接通过内联汇编来访问BeingDebuged字段，也可以通过IsDebuggerPresent（）这个API来得到此字段的值。下面是示例程序。

int main(int argc, char *argv[])

{

	DWORD	dwBeingDebuged;

	TCHAR	szTest[]	= TEXT("已检测到调试器！");

	TCHAR	szSuccess[]	= TEXT("运行正常！");

  	dwBeingDebuged		= IsDebuggerPresent();

	if(0 != dwBeingDebuged)

	{

		MessageBox(NULL, szTest, NULL, MB_OK);

		ExitProcess(NULL);

	}

	MessageBox(NULL, szSuccess, NULL, MB_OK);

	return 0;

}

NtGlobalFlag

当BeingDebuged被设为“TRUE”后程序会将PEB的NtGlobalFlag设置0x70h标志。我们通过内联汇编检测进程环境快的NtGlobalFlag字段。

int main(int argc, char *argv[])

{

	DWORD	dwNtGlobalFlag;

	TCHAR	szTest[]	= TEXT("已检测到调试器！");

	TCHAR	szSuccess[]	= TEXT("运行正常！");

  	dwNtGlobalFlag		= _AntiDebug();

	if(0 != dwNtGlobalFlag)

	{

		MessageBox(NULL, szTest, NULL, MB_OK);

		ExitProcess(NULL);

	}

	MessageBox(NULL, szSuccess, NULL, MB_OK);

	return 0;

}

DWORD _AntiDebug()

{

	_asm{

	mov eax,fs:[0x30]

	mov eax,[eax + 0x68]

	and eax,0x70

	}

}

ProcessHeap的Flags和ForceFlags

当NtGlobalFlag字段被设置0x70标志后，其会改变PEB的字段ProcessHeap所指向的Flags和ForceFlags的值。

对于x86平台而言Flags和ForceFlags偏移地址分别是相对于ProcessHeap指向地址的0x40和0x44处。当程序未被调试器调试时Flags的值应包含0x00000002标志，ForceFlags的值应为0，下面是通过内联汇编检测二者的值。

int main(int argc, char *argv[])

{

	DWORD	dwReturn;

	TCHAR	szTest[]	= TEXT("已检测到调试器！");

	TCHAR	szSuccess[]	= TEXT("运行正常！");

  dwReturn			= _AntiDebug();

	if(0 != dwReturn)

	{

		MessageBox(NULL, szTest, NULL, MB_OK);

		ExitProcess(NULL);

	}

	MessageBox(NULL, szSuccess, NULL, MB_OK);

	return 0;

}

DWORD _AntiDebug()

{

	_asm{

	push ebx

	mov eax,fs:[0x30]

	mov eax,[eax + 0x18]

	mov ebx,dword ptr [eax + 0x40]

	and ebx,0x00000002

	cmp ebx,0

	je	end0

	mov ebx,dword ptr [eax + 0x44]

	cmp ebx,0

	jne end0

	xor eax,eax

	jmp end

end0:

	mov eax,1

end:

	pop ebx

	}

}

Heap Magic

当进程被调试器调试时其进程堆会被一些特殊的标记填充，这些特殊标记分别是0xABABABAB , 0xBAADF00D , 0xFEEEFEEE。

通过从进程堆中创建内存块来获得进程堆的起始地址，然后通过对整个进程堆双字遍历来计算这些标志的数量。（如果大于10则证明进程被调试器调试了）

int main(int argc, char *argv[])

{

	DWORD	dwNum = 0;

	PDWORD	pHeap;

	TCHAR	szTest[]	= TEXT("已检测到调试器！");

	TCHAR	szSuccess[]	= TEXT("运行正常！");

	pHeap = (DWORD*)HeapAlloc(GetProcessHeap(), NULL, 0x100);	//通过在自己的进程默认堆中申请内存得到堆中内存的地址，（还可以通过PEB的LDR_MODULE字段中得到这些标志）

	_try{

	for(;;){						        //检测Heap Magic标志。

		switch(*pHeap++){

		case 0xABABABAB:

		case 0xBAADF00D:

		case 0xFEEEFEEE:

			dwNum++;

			break;

		}

	      }

	}

	_except(EXCEPTION_EXECUTE_HANDLER){

		if(dwNum > 10)

		{

			MessageBox(NULL, szTest, NULL, MB_OK);

			ExitProcess(NULL);

		}

	}

	MessageBox(NULL, szSuccess, NULL, MB_OK);

	return 0;

}

ProcessDebugPort

如果进程被调试则进程会通过一个调试端口与调试子系统通信，进而与调试器通信。我们可以通过CheckRemoteDebuggerPresent（）来检测调试端口是否存在ProcessDebugPort实际就是PEB的DebugPort字段。同时CheckRemoteDebuggerPresent（）不仅可以检测自身是否存在调试端口，还可以检测其他进程是否存在调试端口。

int main(int argc, char *argv[])

{

	BOOL	bDebuggerPresent;

	TCHAR	szTest[]	= TEXT("已检测到调试器！");

	TCHAR	szSuccess[]	= TEXT("运行正常！");

  	CheckRemoteDebuggerPresent(GetCurrentProcess(), &bDebuggerPresent);

	if(TRUE == bDebuggerPresent)

	{

		MessageBox(NULL, szTest, NULL, MB_OK);

		ExitProcess(NULL);

	}

	MessageBox(NULL, szSuccess, NULL, MB_OK);

	return 0;

}

实际CheckRemoteDebuggerPresent（）函数内部是通过调用NtQueryInformationProcess（）来检测进程是否存在调试端口的，所以我们也可以直接通过动态调用NtQueryInformationProcess（）来检测是否存在调试端口。

typedef NTSTATUS(NTAPI  *pfnNtQueryInformationProcess)(						//typedef后可以掩饰复合类型

	_In_      HANDLE           ProcessHandle,

        _In_      UINT             ProcessInformationClass,

        _Out_     PVOID            ProcessInformation,

        _In_      ULONG            ProcessInformationLength,

        _Out_opt_ PULONG           ReturnLength

	);

//表示检测进程的调试端口

UINT ProcessDebugPort = 7;	      												

int main(int argc, char *argv[])

{

	TCHAR		szTest[]	= TEXT("已检测到调试器！");

	TCHAR		szSuccess[]	= TEXT("运行正常！");

	DWORD		dwDebuggerPresent = 0;

	NTSTATUS	stNtstatus;

	pfnNtQueryInformationProcess NtQueryInformationProcess = (pfnNtQueryInformationProcess)GetProcAddress(LoadLibrary(TEXT("ntdll.dll")), TEXT("NtQueryInformationProcess"));

  	stNtstatus = NtQueryInformationProcess(

		GetCurrentProcess(),

		ProcessDebugPort,

		&dwDebuggerPresent,

		sizeof(DWORD),

		NULL);

	if(0 != dwDebuggerPresent && stNtstatus == 0x00000000)

	{

		MessageBox(NULL, szTest, NULL, MB_OK);

		ExitProcess(NULL);

	}

	MessageBox(NULL, szSuccess, NULL, MB_OK);

	return 0;

}

ProcessDebugObjectHandle

如果进程被调试会创建一个调试内核对象，通过NtQueryInformationProcess（）可以检测是否存在调试内核对象句柄。

typedef NTSTATUS(NTAPI  *pfnNtQueryInformationProcess)(

    _In_      HANDLE           ProcessHandle,

    _In_      UINT             ProcessInformationClass,

    _Out_     PVOID            ProcessInformation,

    _In_      ULONG            ProcessInformationLength,

    _Out_opt_ PULONG           ReturnLength

);

UINT ProcessDebugObjectHandle = 0x1E;

int main(int argc, char* argv[])

{

	HANDLE		hDebugHandle;

	NTSTATUS	stNtstatus;

	pfnNtQueryInformationProcess NtQueryInformationProcess;

	NtQueryInformationProcess = (pfnNtQueryInformationProcess)GetProcAddress(LoadLibrary(TEXT("ntdll.dll")), TEXT("NtQueryInformationProcess"));

	stNtstatus = NtQueryInformationProcess(

		GetCurrentProcess(),

		ProcessDebugObjectHandle,

		&hDebugHandle,

		sizeof(HANDLE),

		NULL);

	if(0x00000000 == stNtstatus && NULL != isDebuggerPresent)

	{

		MessageBox(NULL, TEXT("已检测到调试器！"),NULL, MB_OK);

		ExitProcess(NULL);

	}

	MessageBox(NULL, TEXT("程序正常运行！"), NULL, MB_OK);

	return 0;

}

ProcessDebugFlags

当进程被调试时其进程内核对象EPROCESS的NoDebugInherit字段会被置空，调用NtQueryInformationProcess可以检测此字段的值。

typedef NTSTATUS(NTAPI  *pfnNtQueryInformationProcess)(

	_In_      HANDLE           ProcessHandle,

    _In_      UINT             ProcessInformationClass,

    _Out_     PVOID            ProcessInformation,

    _In_      ULONG            ProcessInformationLength,

    _Out_opt_ PULONG           ReturnLength

);

UINT ProcessDebugFlags = 0x1F;

int main(int argc, char* argv[])

{

	ULONG		DebugFlags;

	NTSTATUS	stNtstatus;

	pfnNtQueryInformationProcess NtQueryInformationProcess;

	NtQueryInformationProcess = (pfnNtQueryInformationProcess)GetProcAddress(LoadLibrary(TEXT("ntdll.dll")), TEXT("NtQueryInformationProcess"));

	stNtstatus = NtQueryInformationProcess(

		GetCurrentProcess(),

		ProcessDebugFlags,

		&DebugFlags,

		sizeof(ULONG),

		NULL);

	if(0x00000000 == stNtstatus && NULL == DebugFlags)

	{

		MessageBox(NULL, TEXT("已检测到调试器！"),NULL, MB_OK);

		ExitProcess(NULL);

	}

	MessageBox(NULL, TEXT("程序正常运行！"), NULL, MB_OK);

	return 0;

}

ProcessBasicInformation

调用NtQuertyInformationProcess检测ProcessBasicInformation得到一个数据结构。通过这个数据结构可以得到进程ID，进一步通过PID创建进程快照得到父进程的PID从而进一步得到父进程的用户名。通过判断父进程的用户名是不是调试器而进行反调试。

#include <Windows.h>

#include <winternl.h>

#include <TlHelp32.h>

typedef NTSTATUS(NTAPI  *pfnNtQueryInformationProcess)(

	_In_      HANDLE           ProcessHandle,

    _In_      UINT             ProcessInformationClass,

    _Out_     PVOID            ProcessInformation,

    _In_      ULONG            ProcessInformationLength,

    _Out_opt_ PULONG           ReturnLength

);

const UINT uProcessBasicInformation = 0;

DWORD GetParentPID(DWORD dwPid);

BOOL GetExeNameByPID(char * szExeName, DWORD dwPid);

int main(int argc, char* argv[])

{

	char 		szExeName[256] = {0};

	DWORD		dwParent;

	NTSTATUS	stNtstatus;

	pfnNtQueryInformationProcess NtQueryInformationProcess;

	PROCESS_BASIC_INFORMATION stProcessBasicInformation;							

	NtQueryInformationProcess = (pfnNtQueryInformationProcess)GetProcAddress(LoadLibrary(TEXT("ntdll.dll")), TEXT("NtQueryInformationProcess"));

	stNtstatus = NtQueryInformationProcess(

		GetCurrentProcess(),

		uProcessBasicInformation,

		&stProcessBasicInformation,

		sizeof(PROCESS_BASIC_INFORMATION),

		NULL);

	dwParent = GetParentPID(stProcessBasicInformation.UniqueProcessId);

	GetExeNameByPID(szExeName, dwParent);

	if(0x00000000 == stNtstatus && (lstrcmp(szExeName, "explorer.exe") && lstrcmp(szExeName, "cmd.exe") && lstrcmp(szExeName, "services.exe")))

	{

		MessageBox(NULL, TEXT("已检测到调试器！"),NULL, MB_OK);

		ExitProcess(NULL);

	}

	MessageBox(NULL, TEXT("程序正常运行！"), NULL, MB_OK);

	return 0;

}

//获取父进程的PID

DWORD GetParentPID(DWORD dwPid)

{

	HANDLE hProcessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);

	PROCESSENTRY32 pe32;

	pe32.dwSize = sizeof(PROCESSENTRY32);

	if(hProcessSnap == INVALID_HANDLE_VALUE)

	{

		CloseHandle(hProcessSnap);

		return 0;

	}

	if(!Process32First(hProcessSnap, &pe32))

	{

		CloseHandle(hProcessSnap);

		return 0;

	}

	do{

		if(pe32.th32ProcessID == dwPid)

			break;

	}while(Process32Next(hProcessSnap, &pe32));

	return pe32.th32ParentProcessID;

}

//获取对应PID进程的程序名称

BOOL GetExeNameByPID(char szExeName[], DWORD dwPid)

{

	HANDLE hProcessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);

	PROCESSENTRY32 pe32;

	pe32.dwSize = sizeof(PROCESSENTRY32);

	if(hProcessSnap == INVALID_HANDLE_VALUE)

	{

		CloseHandle(hProcessSnap);

		return 0;

	}

	if(!Process32First(hProcessSnap, &pe32))

	{

		CloseHandle(hProcessSnap);

		return 0;

	}

	do{

		if(pe32.th32ProcessID == dwPid)

		{

			lstrcpy(szExeName, pe32.szExeFile);

			break;

		}

	}while(Process32Next(hProcessSnap, &pe32));

	return 1;

}

HideFromDebugger

被调试进程通过调试端口DebugPort与调试子系统通信进一步与调试器通信。如果我们能将DebugPort清除就可以阻止进程与调试器通信达到反调试的目的，但是DebugPort一旦被创建就无法被在设置，所以我们这种思路走不通。

我们发现进程如果产生异常，其会检测ETHREAD的HideFromDebugger成员是否为“FALSE”,如果是就会向当前进程的调试端口发送调试事件消息（为"TRUE"表示该异常对用户调试器不可见）。我们可以通过ZwSetInformationThread（）设置HideFromDebugger字段的值为TRUE从而令用户调试器接收不到调试事件，达到反调试的目的。

#include <winternl.h>

typedef NTSTATUS (NTAPI *pfnZwSetInformationThread)(

	_In_ HANDLE ThreadHandle,

	_In_ UINT	ThreadInformationClass,

	_In_ PVOID	ThreadInformation,

	_In_ ULONG	ThreadInformationLength

	);

UINT uThreadHideFromDebugger = 0x11;

int main(int argc, char * argv[])

{

	NTSTATUS stNtstatus;

	pfnZwSetInformationThread ZwSetInformationThread;

	ZwSetInformationThread = (pfnZwSetInformationThread)GetProcAddress(LoadLibrary(TEXT("ntdll.dll")), TEXT("ZwSetInformationThread"));

	ZwSetInformationThread(

		GetCurrentThread(),

		uThreadHideFromDebugger,

		0,

		0);

	return 0;

}

NtCreateThreadEx

通过CreateThread( )的时候利用THREAD_CREATE_FLAGS_HIDE_FROM_DEBUGGER标志，则在创建该线程时，它将对调试器隐藏。

//通过CreateThread( )的时候利用THREAD_CREATE_FLAGS_HIDE_FROM_DEBUGGER标志，则在创建该线程时，它将对调试器隐藏。

//#include <Windows.h>

typedef NTSTATUS(NTAPI* pfnNtCreateThreadEx) (

    _Out_    PHANDLE              ThreadHandle,

    _In_     ACCESS_MASK          DesiredAccess,

    _In_opt_ PVOID		  ObjectAttributes,		//POBJECT_ATTRIBUTES

    _In_     HANDLE               ProcessHandle,

    _In_     PVOID                StartRoutine,

    _In_opt_ PVOID                Argument,

    _In_     ULONG                CreateFlags,

    _In_opt_ ULONG_PTR            ZeroBits,

    _In_opt_ SIZE_T               StackSize,

    _In_opt_ SIZE_T               MaximumStackSize,

    _In_opt_ PVOID                AttributeList

);

void ThreadProc();

int main(int argc, char* argv[])

{

	HANDLE hThread;

	pfnNtCreateThreadEx NtCreateThreadEx;

	NtCreateThreadEx = (pfnNtCreateThreadEx)GetProcAddress(LoadLibrary(TEXT("ntdll.dll")), TEXT("NtCreateThreadEx"));

	NtCreateThreadEx(

		&hThread,

		0x1FFFFF,

		NULL,

		GetCurrentProcess(),

		(LPTHREAD_START_ROUTINE)ThreadProc,

		NULL,

		0x00000004,					//直接执行并且对调试器隐藏THREAD_CREATE_FLAGS_HIDE_FROM_DEBUGGER

		NULL,

		NULL,

		NULL,

		NULL

		);

	WaitForSingleObject(hThread,INFINITE);

	int n = GetLastError();

	return 0;

}

//线程回调函数

void ThreadProc()

{

	MessageBox(NULL, TEXT("我是一个新线程！"), NULL, MB_OK);

}

参考资料：看雪学院《加密解密》

张银奎《软件调试》

https://www.apriorit.com/dev-blog/367-anti-reverse-engineering-protection-techniques-to-use-before-releasing-software

Windows反调试技术（上）的更多相关文章

Windows 反调试技术——OpenProcess 权限过滤 - ObRegisterCallback
转载: https://blog.xpnsec.com/anti-debug-openprocess/ 看雪翻译:https://bbs.pediy.com/thread-223857.htm 本周我 ...
Windows反调试技术（下）
OD的DBGHELP模块检测DBGHELP模块,此模块是用来加载调试符号的,所以一般加载此模块的进程的进程就是调试器.绕过方法也很简单,将DBGHELP.DLL改名. #include <Wi ...
反调试技术常用API，用来对付检测od和自动退出程序
在调试一些病毒程序的时候,可能会碰到一些反调试技术,也就是说,被调试的程序可以检测到自己是否被调试器附加了,如果探知自己正在被调试,肯定是有人试图反汇编啦之类的方法破解自己.为了了解如何破解反调试技术 ...
基于TLS的反调试技术
TLS(Thread Local Storage 线程局部存储) 一个进程中的每个线程在访问同一个线程局部存储时,访问到的都是独立的绑定于该线程的数据块.在PEB(进程环境块)中TLS存储槽共64个( ...
Windows Kernel Way 1：Windows内核调试技术
掌握Windows内核调试技术是学习与研究Windows内核的基础,调试Windows内核的方式大致分为两种: (1)通过Windbg工具在Windows系统运行之初连接到Windows内核,连接成功 ...
Linux下的反调试技术
Linux下的反调试技术 2014年01月30日 ⁄ 综合 ⁄ 共 2669字 ⁄ 字号小中大 ⁄ 评论关闭转自 http://wangcong.org/blog/archives/310 ...
Delphi_OD_代码_调试_Delphi反调试技术(以OD为例附核心原代码) （转）
1.程序窗口[chuang kou]句柄[ju bing]检测原理:用FindWindow函数[han shu]查找[cha zhao]具有相同窗口[chuang kou]类名和标题的窗口[chuan ...
Delphi_OD_代码_调试_Delphi反调试技术(以OD为例附核心原代码)
1.程序窗口[chuang kou]句柄[ju bing]检测原理:用FindWindow函数[han shu]查找[cha zhao]具有相同窗口[chuang kou]类名和标题的窗口[chuan ...
反调试技术（Delphi版）
1.程序窗口句柄检测原理:用FindWindow函数查找具有相同窗口类名和标题的窗口,如果找到就说明有OD在运行//****************************************** ...

随机推荐

python graphviz的使用(画图工具)
参考文章1 参考文章2 一.graphviz安装及配置 graphviz实际上是一个绘图工具,可以根据dot脚本画出树形图等. 1.windows安装安装graphviz软件:https://gra ...
Fishing Master HDU - 6709
题目链接:https://vjudge.net/problem/HDU-6709 题意:给出n条鱼的抓捕时间k和煮鱼时间a[i],你要在最短时间把所有鱼都煮了.(注意你只有一口锅) 思路:首先我们必须 ...
Swagger3注解使用
这里只简单的说一下swagger的传值,返回值时注解的使用演示.相关注解及说明见其他文章接收参数方式1 我们常规接收参数,可以使用一个类,类里面把属性作为接收的参数,使用注解对属性进行说明.但是这种 ...
A. 【例题1】数字反转
题目解析字符串的基础操作,注意判断零即可 #include <bits/stdc++.h> using namespace std; int i; char c[15]; int mai ...
AI数学基础之:确定图灵机和非确定图灵机
目录简介图灵机图灵机的缺点等效图灵机确定图灵机非确定图灵机简介图灵机是由艾伦·麦席森·图灵在1936年描述的一种抽象机器,它是人们使用纸笔进行数学运算的过程的抽象,它肯定了计算机实现的 ...
Java后端部署以及与Android通信注意事项
1 概述本文列举了一些Android+后端Java通信/部署时的问题以及注意事项,覆盖的问题包括但不限于安全组.数据库.路径等,如果各位读者的Android端不能正常访问Java后端,希望这里的解决 ...
kubernetes CRD
官方文档:https://kubernetes.io/docs/tasks/extend-kubernetes/custom-resources/custom-resource-definitions ...
（二） LDAP 安装
LDAP 安装参考:https://blog.51cto.com/bigboss/2341986
Borrowers UVA - 230
I mean your borrowers of books - those mutilators of collections, spoilers of the symmetry of shel ...
FusionInsight MRS：你的大数据“管家”
摘要:4月24日-26日,HDC.Cloud2021在深圳大学城成功举办,华为云FusionInsight MRS云原生数据湖带来最懂行的大数据解决方案,为政企客户提供湖仓一体.云原生的大数据解决方案 ...

Windows反调试技术（上）