静态反调试技术

1. 查看PEB.BeingDebugged的值

  • IsDebuggerPresent()的实现方式,如果该值为1,则表示当前进程被调试。

2. PEB.Ldr(PEB+0xC)(仅限在WindowsXP系统,之后的系统无法使用,且以附加形式将无法在堆内存中出现上述标识)

  • 调试进程时,其堆内存会出现一些奇怪的标志,表示它正处于被调试状态。最醒目的是,未使用的堆内存区域全部填充着0xEEFEEEFE,这证明该进程正在被调试。
    PEB.Ldr指向_PEB_LDR_DATA结构体的指针,而_PEB_LDR_DATA结构体结构体又恰好在堆内存中创建,所以扫描该区域是否存在0xEEFEEEFE区域即可判断。
  • 破解方法:将相关0xEEFEEEFE区域全部覆盖为NULL即可。

3.PEB.Process Heap(PEB+0x18)(仅限在WindowsXP系统,且以附加形式将无法在堆内存中出现上述特征)

  • PEB.Process Heap成员既可以直接从PEB结构体获取,也可以从GetProcessHeap()API获取。

  • HEAP(PEB+0x18)地址(黄色方框)为0x00790000


  • 我们访问0x00790000
    进程正常运行(非调试运行)时,Heap.Flags成员(+0xC)的值为0x2,Heap.ForceFlags成员(+0x10)的值为0x0.
    进程处于被调试状态时,这些值也会随之改变。比较这些值即可判断。

  • 破解方法:将Heap.Flags与Heap.ForceFlags的值分别重新设置为2与0即可。

4. NtGlobalFalg(PEB+0x68)(将运行中的进程附加到调试器的时候,NtGlobalFalg值不变)

调试进程时,PEB.NtGlobalFalg成员(+0x68)的值会被设置为0x70.所以,检测该成员的值即可判断进程是否处于被调试阶段.
NtGlobalFalg 0x70是由下列的flags值进行位或(bit OR)运算的结果

FLG_HEAP_ENABLE_TAIL_CHECK(0X10)
FLG_HEAP_ENABLE_FREE_CHECK(0X20)
FLG_HEAP_VALIDATE_PARAMETERS(0X40)

  • 破解方法:设置PEB.NtGlobalFalg为0即可。

5.NtQueryInformationProcess()系列

函数原型

__kernel_entry NTSTATUS NtQueryInformationProcess(
  IN HANDLE           ProcessHandle,
  IN PROCESSINFOCLASS ProcessInformationClass,
  OUT PVOID           ProcessInformation,
  IN ULONG            ProcessInformationLength,
  OUT PULONG          ReturnLength
);

ProcessInformationClass为enum类型。其中,与调试器探测有关的成员为

  • ProcessDebugPort(0x7)
  • ProcessDebugObjectHandle(0x1E)
  • ProcessDebugFlags(0x1F)
ProcessDebugPort(0x7)
  • 进程处于非调试阶段时,dwDebugPort的值为0,处于调试阶段,则为0xFFFFFFFF
    例如
DWORD dwDebugPort=0;
pNtQueryInformationProcess(GetCurrentProcess(), ProcessDebugPort, &dwDebugPort, sizeof(dwDebugPort), NULL);
  • 即CheckRemoteDebuggerPresent()函数的实现方法,该函数还可以检测其他进程是否处于被调试状态。
ProcessDebugObjectHandle(0x1E)
  • 如果进程处于被调试状态,则调试对象句柄存在,反之,该句柄值为NULL
    例如
HANDLE hDebugObject = NULL;
pNtQueryInformationProcess(GetCurrentProcess(),(PROCESSINFOCLASS)30 , &hDebugObject, sizeof(hDebugObject), NULL);
  • 我在目前(2018.12.26)的API文档头文件中的ProcessInformationClass成员中找不到此值,故直接写入30作为参数。当然,也可以自己声明好PROCESSINFOCLASS。
ProcessDebugFlags(0x1F)

函数的第二个参数设置为ProcessDebugFlags(0x1F)后,调用函数后,通过第三个参数即可获取调试标志的值。如果为0,则进程处于被调试状态;若为1,则进程处于非调试状态。

BOOL bDebugFlag = TRUE;
    pNtQueryInformationProcess(GetCurrentProcess(),
                               ProcessDebugFlags,
                               &bDebugFlag,
                               sizeof(bDebugFlag),
                               NULL);
    printf("NtQueryInformationProcess(ProcessDebugFlags) = 0x%X\n", bDebugFlag);
    if( bDebugFlag == 0x0  )  printf("  => Debugging!!!\n\n");
    else                      printf("  => Not debugging...\n\n");

注意,此处BOOL为大写,即与int等价(如果用了bool,会导致结果错误)

6.NtQuerySystemInformation()

API文档
函数原型

__kernel_entry NTSTATUS NtQuerySystemInformation(
  IN SYSTEM_INFORMATION_CLASS SystemInformationClass,
  OUT PVOID                   SystemInformation,
  IN ULONG                    SystemInformationLength,
  OUT PULONG                  ReturnLength
);
  • SystemInformationClass是枚举类型,其成员SystemKernelDebuggerInformation的值为0x23
  • 向函数第一个参数传入0x23,通过获取的第二个参数SystemInformation结构体的DebuggerEnabled和DebuggerInfo的值即可判断。
  • 注:当前(2018.12.26)的API文档中没有了SystemInformation结构体的定义,官方说明NtQuerySystemInformation可能将在未来的Windows版本中发生改变。
  • 破解方法:windows7中在命令行窗口(管理员模式)执行bcdedit /debug off即可。

7. NtQueryObject()

系统中的调试器调试进程的时候,会创建一个调试对象类型的内核对象。检测该对象是否存在即可判断是否有进程正在被调试。

8. ZwSetInformationThread()

  • 通过设置当前线程的信息来将自身从调试器中分离出来。
  • 原理:隐藏当前线程,使调试器无法再收到该线程的调试事件。

9.DebugActiveProcessStop()

用于分离调试器和被调试进程。

推荐阅读更多精彩内容