利用PEB结构体实现反调试

最新推荐文章于 2023-11-21 20:00:42 发布

hanseys

最新推荐文章于 2023-11-21 20:00:42 发布

阅读量1.3k

点赞数 1

文章标签： HEAP

PEB(Process Environment Block, 进程环境块) 是存放进程信息的结构体，尺寸非常大，我们首先看看PEB 结构体：

typedef struct _PEB { // Size: 0x1D8

000h UCHAR InheritedAddressSpace;

001h UCHAR ReadImageFileExecOptions;

002h UCHAR BeingDebugged; //Debug 运行标志

003h UCHAR SpareBool;

004h HANDLE Mutant;

008h HINSTANCE ImageBaseAddress; // 程序加载的基地址

00Ch struct _PEB_LDR_DATA *Ldr //Ptr32 _PEB_LDR_DATA

010h struct _RTL_USER_PROCESS_PARAMETERS *ProcessParameters;

014h ULONG SubSystemData;

018h HANDLE ProcessHeap;

01Ch KSPIN_LOCK FastPebLock;

020h ULONG FastPebLockRoutine;

024h ULONG FastPebUnlockRoutine;

028h ULONG EnvironmentUpdateCount;

02Ch ULONG KernelCallbackTable;

030h LARGE_INTEGER SystemReserved;

038h struct _PEB_FREE_BLOCK *FreeList

03Ch ULONG TlsExpansionCounter;

040h ULONG TlsBitmap;

044h LARGE_INTEGER TlsBitmapBits;

04Ch ULONG ReadOnlySharedMemoryBase;

050h ULONG ReadOnlySharedMemoryHeap;

054h ULONG ReadOnlyStaticServerData;

058h ULONG AnsiCodePageData;

05Ch ULONG OemCodePageData;

060h ULONG UnicodeCaseTableData;

064h ULONG NumberOfProcessors;

068h LARGE_INTEGER NtGlobalFlag; // Address of a local copy

070h LARGE_INTEGER CriticalSectionTimeout;

078h ULONG HeapSegmentReserve;

07Ch ULONG HeapSegmentCommit;

080h ULONG HeapDeCommitTotalFreeThreshold;

084h ULONG HeapDeCommitFreeBlockThreshold;

088h ULONG NumberOfHeaps;

08Ch ULONG MaximumNumberOfHeaps;

090h ULONG ProcessHeaps;

094h ULONG GdiSharedHandleTable;

098h ULONG ProcessStarterHelper;

09Ch ULONG GdiDCAttributeList;

0A0h KSPIN_LOCK LoaderLock;

0A4h ULONG OSMajorVersion;

0A8h ULONG OSMinorVersion;

0ACh USHORT OSBuildNumber;

0AEh USHORT OSCSDVersion;

0B0h ULONG OSPlatformId;

0B4h ULONG ImageSubsystem;

0B8h ULONG ImageSubsystemMajorVersion;

0BCh ULONG ImageSubsystemMinorVersion;

0C0h ULONG ImageProcessAffinityMask;

0C4h ULONG GdiHandleBuffer[0x22];

14Ch ULONG PostProcessInitRoutine;

150h ULONG TlsExpansionBitmap;

154h UCHAR TlsExpansionBitmapBits[0x80];

1D4h ULONG SessionId;

} PEB, *PPEB;

其中与反调试技术密切相关的成员如下所示：

002h UCHAR BeingDebugged;

00Ch struct _PEB_LDR_DATA *Ldr;

018h HANDLE ProcessHeap;

068h LARGE_INTEGER NtGlobalFlag;

接下来分别讲解以上4 个PEB 成员。

1 ：BeingDebugged 。

当进程处于调试状态时，BeingDebugged 的值会被设置为1 ，进程在非调试状态下运行时，其值被设置为0 。所以我们可以通过判断这个成员的值来决定我们程序的运行流程。测试代码如下：

int main()

{

charresult=0;

__asm

{

moveax,fs:[0x30];// 获取PEB 的地址。

moval,BYTE PTR [eax+2];

movresult,al;// 得到BeingDebugged 成员的值。

}

if(result==1)

printf("isdebugging\n");

else

printf("notdebugging\n");

system("pause");// 为了观察方便，添加的。

return0;

}

2 ：Ldr 。

调试进程时，其堆内存就会出现一些特殊的标识，表示它正处于被调试状态。这些标识中最醒目的是在未使用的堆内存区域中填充着OxFEEEFEEE 。我们利用这一特征即可判断进程是否处于被调试状态。PEB.Ldr 成员指向一个_PEB_LDR_DATA 结构体，而这个结构体就是在堆内存区域中创建的，所以我们可以扫描该区域来判断进程是否处于调试状态下。测试代码如下：

int main()

{

LPBYTEpLdr;

DWORDpLdrSig[4]={0xEEFEEEFE,0xEEFEEEFE,0xEEFEEEFE,0xEEFEEEFE};

__asm

{

moveax,fs:[0x30]; //PEB 地址

moveax,[eax+0xC];//Ldr

movpLdr,eax;

}

__try

{

while(1)

{

if(!memcmp(pLdr,pLdrSig,sizeof(pLdrSig)))

{

printf("is debuggig\n");

break;

}

else

{

pLdr++;

}

__except(EXCEPTION_EXECUTE_HANDLER)

{

printf("notdebugging\n");

}

system("pause");

return0;

}

3 ：ProcessHeap

ProcessHeap 是指向 HEAP 结构体的指针，在 HEAP 结构体中的两个成员 Flags 和 Force Flags ，它们的偏移分别为 0xC 和 0x10 ，进程运行正常时， Heap.Flags 的成员值为 0x2,HEAP.ForceFlags 成员的值为 0x0 。进程处于调试状态时，这些值会发生变化。测试代码如下：（只测试了 ForceFlags 成员的值，测试 Flags 成员的值的方法是一样的）。整理发布香樟

int main()

{

intresult=0;

__asm

{

moveax,fs:[0x30]; //PEB 地址

moveax,[eax+0x18];//ProcessHeap 成员

moveax,[eax+0x10];//ForceFlags 成员

movresult,eax;

}

if(result!=0)

printf("isdebugging\n");