反调试——1——开始反调试

前面的文章可以算是反调试的一些铺垫了，现在算是正式开始。

调试器的工作流程

调试器调试分两种情况，一种是附加进程，一种是通过可执行程序来创建进程调试。

创建进程：

通过CreateProcess并设置为DEBUG_PROCESS模式来启动。

BOOL CreateProcessA(
  LPCSTR                lpApplicationName,
  LPSTR                 lpCommandLine,
  LPSECURITY_ATTRIBUTES lpProcessAttributes,
  LPSECURITY_ATTRIBUTES lpThreadAttributes,
  BOOL                  bInheritHandles,
  DWORD                 dwCreationFlags,
  LPVOID                lpEnvironment,
  LPCSTR                lpCurrentDirectory,
  LPSTARTUPINFOA        lpStartupInfo,
  LPPROCESS_INFORMATION lpProcessInformation
);

 

附加进程：

通过调用DebugActiveProcess函数来附加进程。

在进程被调试时，进程执行的一些操作会以事件的方式通知给调试器。。

当有事件需要通知调试器时，操作系统会挂起进程所有线程，然后把事件发送给调试器。

调试器通过WaitForDebugEvent来等待事件。

BOOL WaitForDebugEvent(
  LPDEBUG_EVENT lpDebugEvent,   //操作系统传递给调试器的事件
  DWORD         dwMilliseconds  //等待时间
);

 

程序被调试的特征

调试程序时，调试器会对被调试程序的程序设置标志。

 

 

标志	描述	位置	函数
BeginDebugged	被创建/附加进程都会被设置为1	PEB+02偏移处	IsDebuggerPresent()
NtGlobalFlag	创建进程会被设置为0x70，但是以附加进程设置时该值不会发生变化	PEB+0x68处	没有API
ProcessDebugPort	程序处于调试状态下可以获取调试端口，通过该端口也可以判断是否被调试。	无	checkRemoteDebugPresent

代码实现简单的反调试：

#include<Windows.h>
#include<iostream>
using namespace std;
​
void testBeginDebugged()
{
    if (IsDebuggerPresent())
    {
        MessageBoxA(0, "BeginDebugged验证失败，程序被调试", 0, 0);
    }
    else
    {
        MessageBoxA(0, "BeginDebugged验证正常", 0, 0);
    }
}
void testNtGlobalFlag()
{
    DWORD IsDebug = 1;
    __asm
    {
        push eax
        mov eax,fs:[0x30]
        mov eax,[eax+0x68]      
        mov IsDebug,eax
        pop eax
    }
    if (IsDebug == 0x70)
    {
        MessageBoxA(0, "NtGlobalFlag验证失败，程序被调试", 0, 0);
    }
    else
    {
        MessageBoxA(0, "NtGlobalFlag验证正常", 0, 0);
    }
}
void testProcessDebugPort()
{
    BOOL IsDebug = FALSE;
    CheckRemoteDebuggerPresent(GetCurrentProcess(), &IsDebug);
    if(IsDebug == TRUE)
    {
        MessageBoxA(0, "ProcessDebugPort验证失败，程序被调试", 0, 0);
    }
    else
    {
        MessageBoxA(0, "ProcessDebugPort验证正常，程序未被调试", 0, 0);
​
    }
}
​
​
int main()
{
    cout << "Welcome" << endl;
    testBeginDebugged();
    testNtGlobalFlag();
    testProcessDebugPort();
​
    return 0;
}

通过xdbg反汇编来分析下：

testBeginDebugged()

 

 

这个是我们自己写的void testBeginDebugged()函数，然后通过该函数查看IsDebuggerPresent函数：

 

 

就很明显的可以看到了这个就是一个简答的赋值语句，将fs:[30]也就是PEB偏移0x2的内容作为返回值赋值给eax。

 

 

testNtGlobalFlag()

 

 

这里就很明显了，因为本来就是我们自己写的汇编代码，哈哈。

 

testProcessDebugPort()

 

 

这个函数跟我们源代码比较一下可以看到有一个比较重要的函数CheckRemoteDebuggerPresent:

 

 

 

 

通过这样一层一层解析下来，其实也还是很明确了。它最后是调用了一个比较关键的NtQueryInformationProcess查询进行信息的一个API，这个是NtDll里面的:

 

 

 

标签：开始,MessageBoxA,eax,IsDebug,进程,调试,调试器
来源： https://www.cnblogs.com/Sna1lGo/p/15200930.html