1. 查看PEB.BeingDebugged的值
- 即
IsDebuggerPresent()的实现方式，如果该值为1，则表示当前进程被调试。
2. PEB.Ldr(PEB+0xC)（仅限在WindowsXP系统，之后的系统无法使用，且以附加形式将无法在堆内存中出现上述标识）
- 调试进程时，其堆内存会出现一些奇怪的标志，表示它正处于被调试状态。最醒目的是，未使用的堆内存区域全部填充着0xEEFEEEFE,这证明该进程正在被调试。
PEB.Ldr指向_PEB_LDR_DATA结构体的指针，而_PEB_LDR_DATA结构体结构体又恰好在堆内存中创建，所以扫描该区域是否存在0xEEFEEEFE区域即可判断。 - 破解方法：将相关0xEEFEEEFE区域全部覆盖为NULL即可。
3.PEB.Process Heap(PEB+0x18)（仅限在WindowsXP系统，且以附加形式将无法在堆内存中出现上述特征）
PEB.Process Heap成员既可以直接从PEB结构体获取，也可以从GetProcessHeap()API获取。
-
HEAP(PEB+0x18)地址(黄色方框)为0x00790000
-
我们访问0x00790000
进程正常运行(非调试运行)时，Heap.Flags成员（+0xC）的值为0x2,Heap.ForceFlags成员(+0x10)的值为0x0.
进程处于被调试状态时，这些值也会随之改变。比较这些值即可判断。
破解方法：将Heap.Flags与Heap.ForceFlags的值分别重新设置为2与0即可。
4. NtGlobalFalg(PEB+0x68)(将运行中的进程附加到调试器的时候，NtGlobalFalg值不变)
调试进程时，PEB.NtGlobalFalg成员(+0x68)的值会被设置为0x70.所以，检测该成员的值即可判断进程是否处于被调试阶段.
NtGlobalFalg 0x70是由下列的flags值进行位或(bit OR)运算的结果
FLG_HEAP_ENABLE_TAIL_CHECK(0X10)
FLG_HEAP_ENABLE_FREE_CHECK(0X20)
FLG_HEAP_VALIDATE_PARAMETERS(0X40)
- 破解方法：设置
PEB.NtGlobalFalg为0即可。
5.NtQueryInformationProcess()系列
__kernel_entry NTSTATUS NtQueryInformationProcess(
IN HANDLE ProcessHandle,
IN PROCESSINFOCLASS ProcessInformationClass,
OUT PVOID ProcessInformation,
IN ULONG ProcessInformationLength,
OUT PULONG ReturnLength
);
ProcessInformationClass为enum类型。其中，与调试器探测有关的成员为
- ProcessDebugPort(0x7)
- ProcessDebugObjectHandle(0x1E)
- ProcessDebugFlags(0x1F)
ProcessDebugPort(0x7)
- 进程处于非调试阶段时，dwDebugPort的值为0，处于调试阶段，则为0xFFFFFFFF
例如
DWORD dwDebugPort=0;
pNtQueryInformationProcess(GetCurrentProcess(), ProcessDebugPort, &dwDebugPort, sizeof(dwDebugPort), NULL);
- 即CheckRemoteDebuggerPresent()函数的实现方法，该函数还可以检测其他进程是否处于被调试状态。
ProcessDebugObjectHandle(0x1E)
- 如果进程处于被调试状态，则调试对象句柄存在，反之，该句柄值为NULL
例如
HANDLE hDebugObject = NULL;
pNtQueryInformationProcess(GetCurrentProcess(),(PROCESSINFOCLASS)30 , &hDebugObject, sizeof(hDebugObject), NULL);
- 我在目前(2018.12.26)的API文档头文件中的ProcessInformationClass成员中找不到此值，故直接写入30作为参数。当然，也可以自己声明好PROCESSINFOCLASS。
ProcessDebugFlags(0x1F)
函数的第二个参数设置为ProcessDebugFlags(0x1F)后，调用函数后，通过第三个参数即可获取调试标志的值。如果为0，则进程处于被调试状态;若为1,则进程处于非调试状态。
BOOL bDebugFlag = TRUE;
pNtQueryInformationProcess(GetCurrentProcess(),
ProcessDebugFlags,
&bDebugFlag,
sizeof(bDebugFlag),
NULL);
printf("NtQueryInformationProcess(ProcessDebugFlags) = 0x%X\n", bDebugFlag);
if( bDebugFlag == 0x0 ) printf(" => Debugging!!!\n\n");
else printf(" => Not debugging...\n\n");
注意，此处BOOL为大写，即与int等价（如果用了bool，会导致结果错误）
6.NtQuerySystemInformation()
API文档
函数原型
__kernel_entry NTSTATUS NtQuerySystemInformation(
IN SYSTEM_INFORMATION_CLASS SystemInformationClass,
OUT PVOID SystemInformation,
IN ULONG SystemInformationLength,
OUT PULONG ReturnLength
);
- SystemInformationClass是枚举类型，其成员SystemKernelDebuggerInformation的值为0x23
- 向函数第一个参数传入0x23，通过获取的第二个参数SystemInformation结构体的DebuggerEnabled和DebuggerInfo的值即可判断。
- 注：当前(2018.12.26)的API文档中没有了SystemInformation结构体的定义，官方说明NtQuerySystemInformation可能将在未来的Windows版本中发生改变。
- 破解方法：windows7中在命令行窗口(管理员模式)执行
bcdedit /debug off即可。
7. NtQueryObject()
系统中的调试器调试进程的时候，会创建一个调试对象类型的内核对象。检测该对象是否存在即可判断是否有进程正在被调试。
8. ZwSetInformationThread()
- 通过设置当前线程的信息来将自身从调试器中分离出来。
- 原理:隐藏当前线程，使调试器无法再收到该线程的调试事件。
9.DebugActiveProcessStop()
用于分离调试器和被调试进程。
