原理
第 0x2d(45) 号中断处理函数是 KiDebugService,执行Int 2dh指令时,进程如果没有处于被调试状态,将会抛出异常,如果在被调试状态则能够正常执行。我们可以利用这一点检测调试器的存在。
如果有调试器,调试器就会接管这个 int 2dh 产生的异常从而不走我们设置的异常回调处理函数,当然如果调试器选择不接管这个异常我们是无法检测出调试器的,所以这是一种比较低级的反调试手段。
代码
int2d_x64.asm:
- 首先创建一个.cpp 文件,改下后缀为 .asm
- 找到这个asm 文件右键 - 属性,设置成如下:
命令行:ml64 /Fo $(IntDir)%(fileName).obj /c %(fileName).asm
输出:$(IntDir)%(fileName).obj
- 最后填入代码:
.code
__int2d proc
int 2dh
nop
ret
__int2d endp
end
Test.cpp:
// Test_Console_1.cpp : 此文件包含 "main" 函数。程序执行将在此处开始并结束。
//
#include <iostream>
#include <Windows.h>
using namespace std;
extern "C" void __int2d();
BOOL isDebugger = TRUE;
// 我们的异常接管函数
static LONG CALLBACK VectoredHandler(_In_ PEXCEPTION_POINTERS ExceptionInfo){
isDebugger = FALSE;
// 如果引发异常的是一个断点
if (ExceptionInfo->ExceptionRecord->ExceptionCode == EXCEPTION_BREAKPOINT){
// 忽略该异常,继续执行
return EXCEPTION_CONTINUE_EXECUTION;
}
// 继续向上一层 seh 查找异常处理方法
return EXCEPTION_CONTINUE_SEARCH;
}
int main()
{
// 注册 veh,1代表第一个被调用(非零都是第一个被调用)
PVOID Handle = AddVectoredExceptionHandler(1, VectoredHandler);
// 使用 int 2dh 触发异常
__int2d();
// 删除 veh
RemoveVectoredExceptionHandler(Handle);
// 判断调试器
if (isDebugger == TRUE) {
cout << "发现调试器" << endl;
}
else {
cout << "没有调试器" << endl;
}
main_end:
getchar();
return 0;
}
效果图
vs 调试:
正常启动:
同理 int3 反调试代码:
// Test_Console_1.cpp : 此文件包含 "main" 函数。程序执行将在此处开始并结束。
//
#include <iostream>
#include <Windows.h>
using namespace std;
BOOL isDebugger = TRUE;
// 我们的异常回调处理函数
LONG CALLBACK VectoredHandler(_In_ PEXCEPTION_POINTERS ExceptionInfo) {
isDebugger = FALSE;
// 如果这个异常属于断点异常
if (ExceptionInfo->ExceptionRecord->ExceptionCode == EXCEPTION_BREAKPOINT) {
// 因为 int3 属于陷阱异常,中断完成后要回到产生异常的下一条指令(否则会一直产生 int3 陷入死循环)
#ifdef _WIN64
ExceptionInfo->ContextRecord->Rip++;
#else
ExceptionInfo->ContextRecord->Eip++;
#endif
// 忽略异常继续执行
return EXCEPTION_CONTINUE_EXECUTION;
}
// 继续向上一层 seh 查找异常处理方式
return EXCEPTION_CONTINUE_SEARCH;
}
int main()
{
// 注册 veh
PVOID Handle = AddVectoredExceptionHandler(1, VectoredHandler);
// 手动触发异常
__debugbreak();
// 删除 veh
RemoveVectoredExceptionHandler(Handle);
// 判断调试器
if (isDebugger == TRUE) {
cout << "发现调试器!" << endl;
}
else {
cout << "没有调试器" << endl;
}
getchar();
return 0;
}