2024年3月13日发(作者：)
调试技巧总结-原理和实现
-------------------------------------------------------------------------------
------------------------
2008.8.7 shellwolf
一、 前言
前段学习反调试和vc，写了antidebug-tester，经常会收到message希望交流或索要实现
代码，我都没有回复。其实代码已经在编程版提供了1个版本，另其多是vc内嵌asm写的，
对cracker而言，只要反下就知道了。我想代码其实意义不是很大，重要的是理解和运用。
做个简单的总结，说明下实现原理和实现方法。也算回复了那些给我发Message的朋友。
部分代码和参考资料来源：
1、<<脱壳的艺术>> hawking
2、<
3、
4、<<软件加密技术内幕>> 看雪学院
5、<
我将反调试技巧按行为分为两大类，一类为检测，另一类为攻击，每类中按操作对象又分了
五个小类：
1、 通用调试器 包括所有调试器的通用检测方法
2、 特定调试器 包括OD、IDA等调试器，也包括相关插件，也包括虚拟环境
3、 断点 包括内存断点、普通断点、硬件断点检测
4、 单步和跟踪 主要针对单步跟踪调试
5、 补丁 包括文件补丁和内存补丁
反调试函数前缀
检测 攻击
通用调试器 FD_ AD_
特定调试器 FS_ AS_
断点 FB_ AB_
单步和跟踪 FT_ AT_
补丁 FP_ AP_
声明：
1、本文多数都是摘录和翻译，我只是重新组合并翻译，不会有人告侵权吧。里面多是按自
己的理解来说明，可能有理解错误，或有更好的实现方法，希望大家帮忙指出错误。
2、我并没有总结完全，上面的部分分类目前还只有很少的函数甚至空白，等待大家和我一
起来完善和补充。我坚信如果有扎实的基础知识，丰富的想像力，灵活的运用，就会创造出
更多的属于自己的反调试。而最强的反调试，通常都是自己创造的，而不是来自别人的代码。
二、 查找-通用调试器(FD_)
函数列表如下，后面会依次说明，需事先说明的是，这些反调试手段多数已家喻户晓，目前
有效的不多，多数已可以通过OD的插件顺利通过，如果你想验证它们的有效性，请关闭OD
的所有反反调试插件：
bool FD_IsDebuggerPresent();
bool FD_PEB_BeingDebuggedFlag();
bool FD_PEB_NtGlobalFlags();
bool FD_Heap_HeapFlags();
bool FD_Heap_ForceFlags();
bool FD_Heap_Tail();
bool FD_CheckRemoteDebuggerPresent();
bool FD_NtQueryInfoProc_DbgPort();
bool FD_NtQueryInfoProc_DbgObjHandle();
bool FD_NtQueryInfoProc_DbgFlags();
bool FD_NtQueryInfoProc_SysKrlDbgInfo();
bool FD_SeDebugPrivilege();
bool FD_Parent_Process();
bool FD_DebugObject_NtQueryObject();
bool FD_Find_Debugger_Window();
bool FD_Find_Debugger_Process();
bool FD_Find_Device_Driver();
bool FD_Exception_Closehandle();
bool FD_Exception_Int3();
bool FD_Exception_Popf();
bool FD_OutputDebugString();
bool FD_TEB_check_in_Vista();
bool FD_check_StartupInfo();
bool FD_Parent_Process1();
bool FD_Exception_Instruction_count();
bool FD_INT_2d();
2.1 FD_IsDebuggerPresent()
对调试器来说，IsDebuggerPresent是臭名昭著的恶意函数。不多说了，它是个检测调试的
api函数。实现更简单，只要调用IsDebuggerPresent就可以了。在调用它之前，可以加如
下代码，以用来检测是否在函数头有普通断点，或是否被钩挂。
//check softbreak
if(*(BYTE*)Func_addr==0xcc)
return true;
//check hook
if(*(BYTE*)Func_addr!=0x64)
return true;
2.2 FD_PEB_BeingDebuggedFlag
我们知道，如果程序处于调试器中，那么在PEB结构中有个beingDegug标志会被设置，直
接读取它就可判断是否在调试器中。实际上IsDebuggerPresent就是这么干的。
__asm
{
mov eax, fs:[30h] ;EAX = sEnvironmentBlock
inc eax
inc eax
发布评论