网络靶场实战-反调试技术(下）

最新推荐文章于 2025-04-17 16:46:39 发布

Pachimker

最新推荐文章于 2025-04-17 16:46:39 发布

阅读量1k

点赞数 12

分类专栏：安全开发安全研究网络靶场文章标签：安全性测试

本文链接：https://blog.csdn.net/We8__/article/details/137741727

版权

本文详细介绍了Windows系统中的六种反调试技术，包括NtSetInformationThread的ThreadHideFromDebugger、SeDebugPrivilege权限检查、时间差检测、父进程检测、NtYieldExecution的线程切换和DbgUiRemoteBreakin的漏洞利用。这些技术有助于保护程序免受调试和逆向工程攻击。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

前言

是一种防止逆向的方案。逆向人员如果遇到复杂的代码混淆，有时会使用调试器动态分析代码逻辑简化分析流程。例如恶意软件通常会被安全研究人员、反病毒厂商和其他安全专业人员分析和调试，以了解其行为和功能，并开发相应的安全措施来保护系统，这时，恶意软件开发人员就会使用反调试技术阻碍逆向人员的分析，以达到增加自己恶意代码的存活时间。此外，安全人员也需要了解反调试技术，当遇到反调试代码时，可以使用相对应的反反调试。在反调试技术上中，我们介绍了9种常见的反调试方法，本篇继续介绍6种方式。

反调试

1.NtSetInformationThread

NtSetInformationThread 是 Windows 操作系统提供的一个函数，用于设置线程的信息，该函数通常用来设置线程的优先级，此外通过设置不同的 ThreadInformationClass 参数，可以实现隐藏线程、禁止调试、设置调试状态等操作，从而增加程序的安全性和防御性，该函数原型与枚举信息如下。

__kernel_entry NTSYSCALLAPI NTSTATUS NtSetInformationThread(
  [in] HANDLE ThreadHandle,
  [in] THREADINFOCLASS ThreadInformationClass,
  [in] PVOID ThreadInformation,
  [in] ULONG ThreadInformationLength
);

typedef enum _THREADINFOCLASS {
  ThreadBasicInformation,
  ThreadTimes,
  ThreadPriority,
  ThreadBasePriority,
  ThreadAffinityMask,
  ThreadImpersonationToken,
  ThreadDescriptorTableEntry,
  ThreadEnableAlignmentFaultFixup,
  ThreadEventPair_Reusable,
  ThreadQuerySetWin32StartAddress,
  ThreadZeroTlsCell,
  ThreadPerformanceCount,
  ThreadAmILastThread,
  ThreadIdealProcessor,
  ThreadPriorityBoost,
  ThreadSetTlsArrayAddress,
  ThreadIsIoPending,
  ThreadHideFromDebugger,
  ThreadBreakOnTermination,
  MaxThreadInfoClass
} THREADINFOCLASS;

NtSetInformationThread通过ThreadInformationClass中ThreadHideFromDebugger来反调试是 NtSetInformationThread 函数的一个参数，用于将当前线程隐藏起来，使得调试器无法对其进行调试。这个参数的作用是防止调试器附加到被隐藏的线程上进行调试操作。

当线程被隐藏后，调试器无法访问和控制该线程的执行。这可以用作一种