反调试技巧总结-原理和实现.pdf

《反调试技巧总结-原理和实现.pdf》由会员分享，可在线阅读，更多相关《反调试技巧总结-原理和实现.pdf（40页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。

1、反调试技巧总结-原理和实现-2008.8.7 shellwolf 一、前言前段学习反调试和vc，写了 antidebug-tester，经常会收到message希望交流或索要实现代码，我都没有回复。其实代码已经在编程版提供了1 个版本，另其多是 vc 内嵌 asm写的，对 cracker而言，只要反下就知道了。我想代码其实意义不是很大，重要的是理解和运用。做个简单的总结，说明下实现原理和实现方法。也算回复了那些给我发Message 的朋友。部分代码和参考资料来源：1、hawking 2、Angeljyt 3、http:/ 4、看雪学院5、Peter Ferrie 我将反调试技巧按行为分为两大类

2、，一类为检测，另一类为攻击，每类中按操作对象又分了五个小类：1、通用调试器包括所有调试器的通用检测方法2、特定调试器包括 OD、IDA 等调试器，也包括相关插件，也包括虚拟环境3、断点包括内存断点、普通断点、硬件断点检测4、单步和跟踪主要针对单步跟踪调试5、补丁包括文件补丁和内存补丁反调试函数前缀检测攻击通用调试器FD_ AD_ 特定调试器FS_ AS_ 断点FB_ AB_ 单步和跟踪FT_ AT_ 补丁FP_ AP_ 声明：1、本文多数都是摘录和翻译，我只是重新组合并翻译，不会有人告侵权吧。里面多是按自己的理解来说明，可能有理解错误，或有更好的实现方法，希望大家帮忙指出错误。2、我并没有总结

3、完全，上面的部分分类目前还只有很少的函数甚至空白，等待大家和我一起来完善和补充。我坚信如果有扎实的基础知识，丰富的想像力，灵活的运用，就会创造出更多的属于自己的反调试。而最强的反调试，通常都是自己创造的，而不是来自别人的代码。二、查找-通用调试器(FD_)函数列表如下，后面会依次说明，需事先说明的是，这些反调试手段多数已家喻户晓，目前有效的不多，多数已可以通过OD 的插件顺利通过，如果你想验证它们的有效性，请关闭OD 的所有反反调试插件：boolFD_IsDebuggerPresent();boolFD_PEB_BeingDebuggedFlag();boolFD_PEB_NtGlobalFl

4、ags();boolFD_Heap_HeapFlags();boolFD_Heap_ForceFlags();boolFD_Heap_Tail();boolFD_CheckRemoteDebuggerPresent();boolFD_NtQueryInfoProc_DbgPort();boolFD_NtQueryInfoProc_DbgObjHandle();boolFD_NtQueryInfoProc_DbgFlags();boolFD_NtQueryInfoProc_SysKrlDbgInfo();boolFD_SeDebugPrivilege();boolFD_Parent_Proces

5、s();boolFD_DebugObject_NtQueryObject();boolFD_Find_Debugger_Window();boolFD_Find_Debugger_Process();boolFD_Find_Device_Driver();boolFD_Exception_Closehandle();boolFD_Exception_Int3();boolFD_Exception_Popf();boolFD_OutputDebugString();boolFD_TEB_check_in_Vista();boolFD_check_StartupInfo();boolFD_Pare

6、nt_Process1();boolFD_Exception_Instruction_count();boolFD_INT_2d();2.1 FD_IsDebuggerPresent()对调试器来说，IsDebuggerPresent 是臭名昭著的恶意函数。不多说了，它是个检测调试的api 函数。实现更简单，只要调用IsDebuggerPresent 就可以了。在调用它之前，可以加如下代码，以用来检测是否在函数头有普通断点，或是否被钩挂。/check softbreakif(*(BYTE*)Func_addr=0 xcc)returntrue;/check hookif(*(BYTE*)Fun

7、c_addr!=0 x64)returntrue;2.2 FD_PEB_BeingDebuggedFlag 我们知道，如果程序处于调试器中，那么在PEB 结构中有个beingDegug 标志会被设置，直接读取它就可判断是否在调试器中。实际上IsDebuggerPresent 就是这么干的。_asm mov eax,fs:30h;EAX=TEB.ProcessEnvironmentBlock inc eax inc eax mov eax,eax 文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1

8、B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V1

9、0W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编

10、码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H

11、3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2

12、C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9

13、H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8

14、U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1and eax,0 x000000ff;AL=PEB.BeingDebugged test eax,eax jne rt_label jmp rf_label 2.3 FD_PEB_NtGlobalFlags PEB 中还有其它FLAG 表明了调试器的存在，如NtGlobalFlags。它位于 PEB 环境中偏移为0

15、 x68 的位置，默认情况下该值为0，在 win2k 和其后的windows 平台下，如果在调试中，它会被设置为一个特定的值。使用该标志来判断是否被调试并不可靠（如在winnt 中），但这种方法却也很常用。这个标志由下面几个标志组成：*_HEAP_ENABLE_TAIL_CHECK(0 x10)*_HEAP_ENABLE_FREE_CHECK(0 x20)*_HEAP_V ALIDA TE_PARAMETERS(0 x40)检测 NtGlobalFlags 的方法如下，这个方法在ExeCryptor 中使用过。_asm mov eax,fs:30h mov eax,eax+68h and ea

16、x,0 x70 test eax,eax jne rt_label jmp rf_label 2.4 FD_Heap_HeapFlags()同样，调试器也会在堆中留下痕迹，你可以使用kernel32_GetProcessHeap()函数，如果你不希望使用api 函数（以免暴露），则可以直接在PEB 中寻找。同样的，使用HeapFlags 和后面提到的ForceFlags 来检测调试器也不是非常可靠，但却很常用。这个域由一组标志组成，正常情况下，该值应为2。_asm mov eax,fs:30h mov eax,eax+18h;PEB.ProcessHeap mov eax,eax+0ch;PE

17、B.ProcessHeap.Flagscmp eax,2 jne rt_label jmp rf_label 2.5 FD_Heap_ForceFlags 进程堆里另外一个标志，ForceFlags，它也由一组标志组成，正常情况下，该值应为0。_asm 文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:

18、CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q

19、10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6

20、 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5

21、G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8

22、 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6

23、T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W

24、1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1mov eax,fs:30h mov eax,eax+18h;PEB.ProcessHeap mov eax,eax+10h;PEB.ProcessHeap.ForceFlags test eax,eax jne rt_label jmp rf_label 2.6 FD_Heap_Tail 如果处于调试中，堆尾部也会留下痕迹。标志 HEAP_TAIL_CHECKING_ENABLED 将会在分 配 的 堆 块 尾 部 生 成 两 个0 xABABABAB。如 果 需 要 额 外 的 字 节 来 填 充 堆 尾

25、，HEAP_FREE_CHECKING_ENABLED标志则会生成0 xFEEEFEEE。据说 Themida 使用过这个反调试_asm mov eax,buff;get unused_bytes movzx ecx,byte ptr eax-2 movzx edx,word ptr eax-8;size sub eax,ecx lea edi,edx*8+eax mov al,0abh mov cl,8 repe sca*je rt_label jmp rf_label 2.7 FD_CheckRemoteDebuggerPresent CheckRemoteDebuggerPresent

26、是另一个检测调试的api，只是可惜它似乎只能在winxp sp1 版本 以 后 使 用。它 主 要 是 用 来查 询 一 个 在winnt时 就 有 的 一 个 数 值，其 内 部 会 调 用NtQueryInformationProcess()，我是这样实现的：FARPROC Func_addr;HMODULE hModule=GetModuleHandle(kernel32.dll);if(hModule=INV ALID_HANDLE_VALUE)returnfalse;(FARPROC&)Func_addr=GetProcAddress(hModule,CheckRemoteDebug

27、gerPresent);if(Func_addr!=NULL)_asm push eax;push esp;文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T

28、1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1

29、文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:C

30、Y1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q1

31、0B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6

32、HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G

33、7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1push 0 xffffffff;call Func_add

34、r;test eax,eax;je rf_label;pop eax;test eax,eax je rf_label;jmp rt_label;2.8 FD_NtQueryInfoProc_DbgPort 使用 ntdll_NtQueryInformationProcess()来查询 ProcessDebugPort 可以用来检测反调试。如果进程被调试，其返回值应为0 xffffffff。下面的代码应该是从pediy 里 copy 过来的，时间太长，不记得是哪位兄弟的代码了。HMODULE hModule=GetModuleHandle(ntdll.dll);ZW_QUERY_INFORMA

35、TION_PROCESS ZwQueryInformationProcess;ZwQueryInformationProcess=(ZW_QUERY_INFORMATION_PROCESS)GetProcAddress(hModule,ZwQueryInformationProcess);if(ZwQueryInformationProcess=NULL)returnfalse;PROCESS_DEBUG_PORT_INFO ProcessInfo;if(STATUS_SUCCESS!=ZwQueryInformationProcess(GetCurrentProcess(),ProcessD

36、ebugPort,&ProcessInfo,sizeof(ProcessInfo),NULL)returnfalse;elseif(ProcessInfo.DebugPort)returntrue;elsereturnfalse;2.9 FD_NtQueryInfoProc_DbgObjHandle 在 winxp 中引入了 debug object.当一个调试活动开始，一个debug object被创建，同也相应产生了一个句柄。使用为公开的ProcessDebugObjectHandle 类，可以查询这个句柄的数值。代码可能还是从pediy 里复制的，不记得了。HMODULE hModule

37、=GetModuleHandle(ntdll.dll);ZW_QUERY_INFORMATION_PROCESS ZwQueryInformationProcess;ZwQueryInformationProcess=(ZW_QUERY_INFORMATION_PROCESS)GetProcAddress(hModule,ZwQueryInformationProcess);if(ZwQueryInformationProcess=NULL)returnfalse;_PROCESS_DEBUG_OBJECTHANDLE_INFO ProcessInfo;文档编码:CY1H3Q10B2C6 HW

38、9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B

39、8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG

40、1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V

41、10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档

42、编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1

43、H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B

44、2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1if(STATUS_SUCCESS!=ZwQueryInformationProcess(GetCurrentProcess(),(PROCESS_INFO_CLASS)0 x0000001e,&Proces

45、sInfo,sizeof(ProcessInfo),NULL)returnfalse;elseif(ProcessInfo.ObjectHandle)returntrue;elsereturnfalse;2.10 FD_NtQueryInfoProc_DbgFlags();同样的未公开的ProcessDebugFlags类，当调试器存在时，它会返回false。HMODULE hModule=GetModuleHandle(ntdll.dll);ZW_QUERY_INFORMATION_PROCESS ZwQueryInformationProcess;ZwQueryInformationPro

46、cess=(ZW_QUERY_INFORMATION_PROCESS)GetProcAddress(hModule,ZwQueryInformationProcess);if(ZwQueryInformationProcess=NULL)returnfalse;_PROCESS_DEBUG_FLAGS_INFO ProcessInfo;if(STATUS_SUCCESS!=ZwQueryInformationProcess(GetCurrentProcess(),(PROCESS_INFO_CLASS)0 x0000001f,&ProcessInfo,sizeof(ProcessInfo),N

47、ULL)returnfalse;elseif(ProcessInfo.Debugflags)returnfalse;elsereturntrue;2.11 FD_NtQueryInfoProc_SysKrlDbgInfo()这个方法估计对大家用处不大，SystemKernelDebuggerInformation类同样可以用来识别调试器，只是可惜在windows 下无效，据称可以用在reactOS 中。HMODULE hModule=GetModuleHandle(ntdll.dll);ZW_QUERY_SYSTEM_INFORMATION ZwQuerySystemInformation;Z

48、wQuerySystemInformation=(ZW_QUERY_SYSTEM_INFORMATION)GetProcAddress(hModule,ZwQuerySystemInformation);if(ZwQuerySystemInformation=NULL)returnfalse;SYSTEM_KERNEL_DEBUGGER_INFORMATION Info;if(STATUS_SUCCESS=ZwQuerySystemInformation(SystemKernelDebuggerInformation,&Info,sizeof(Info),NULL)if(Info.Debugg

49、erEnabled)文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V

50、10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档编码:CY1H3Q10B2C6 HW9H5G7B8U8 ZG1B6T1V10W1文档