手工躲过IsDebugPresent的检测

最新推荐文章于 2022-07-30 15:49:01 发布
最新推荐文章于 2022-07-30 15:49:01 发布
阅读量4.2k 收藏 1
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/jeffreyzhuang/article/details/5294996
版权

当遇到某些壳或某个线程检测调试器时会比较郁闷。

OllyDBG有专门的插件，但不知怎么的在我的计算机上一只不好使。对于IsDebugPresent的检测方法有手工的方法

首先，查看FS寄存器，跳转到FS[0],查看FS[30]单元，这个DWORD是一个地址，Follow进去，第三个字节就是指有没有附加调试器

改成0就好了

JeffreyZhuang
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
【CTF-Reverse】IDA动态调试，反调试技术
WdIg-2023的博客
06-27 2898
在本专栏前两篇文章中，带领大家讲解了逆向加密算法，AES,TEA,RC4，Base64加密算法，并带领大家识别各种密码算法特征，这一篇文章来带领大家学习在逆向过程中的动态调试：IDA动态调试，反调试技术。
PEB一进程环境块
最新发布
a7331077的博客
12-20 351
里面存的＿PEB＿LDR＿DATA结构体指针。其中该结构中有＿LIST＿ENTRY结构（是个双向链表，连接process中所有加载dll）。即：GetModuleHandle传入NULL返回的地址。相关api:IsDebugPresent();进程通过该字段可查到加载到该进程中dll的信息。这个偏移里面存ImageBase（进程）该字段在调试进程时可能会出现特定信息。FS：【30】十2中存放该标志。检测是否调试，0假，1真。
反调试学习——IsDebuggerPresent
weixin_41693985的博客
05-31 1251
IsDebuggerPresent ***IsDebuggerPresent***的作用是检测自身进程是否处于调试状态，如果进程没有运行在调试器环境中，函数返回0；如果调试附加了进程，函数返回一个非零值。 写了个小程序试验绕过： 绕过目前我自己有两种思路： 1.在判断处做改变 2.在 IsDebuggerPresent做改变 代码如下： if (IsDebuggerPresent()) { MessageBox(TEXT("有调试器在调试！")); } else { MessageBox(T
OD定位IsDebuggerPresent检测地址
二狗子的Blog
01-09 1255
编写个小程序，调用IsDebuggerPresent来检测调试器是否存在 2.打开原版汉化OD并附加到程序里，这里不能使用第三方OD，因为第三方OD集成了许多插件，有一定强度的反调试功能。 附加后，OD自动在模块入口处断下。 3.Ctrl+F9，执行到返回，程序跑起来之后再按Ctrl+N，调出来查看程序用了哪些模块命令。 找到了，这个程序调用了IsDebuggerPresent。 4.右...
反调试技术- IsDebuggerPresent，原理 与 反反调试
desword-- 技术，杂文。
07-25 6516
IsDebuggerPresent 这个函数可以用在程序中，检测当前程序是否正在被调试，从而执行退出等行为，达到反调试的作用。 1、IsDebuggerPresent 这个函数从汇编的角度看，就是一下三句代码。下面依次来分析这三句代码的原理。 75593789 K> 64:A1 18000000 mov eax, dword ptr fs:[18] 7559378F
反调试——IsDebuggerPresent
一个热爱逆向，喜爱学习、分享的猿。
10-14 639
IsDebuggerPresent查询进程环境块(PEB)中的IsDebugged标志。如果进程没有运行在调试器环境中，函数返回0；如果调试附加了进程，函数返回一个非零值。 直接调用实现： BOOL CheckDebug() { return IsDebuggerPresent(); } 看到过的一种函数动态调用实现： BOOL CheckDebug() { HANDLE hKernel32 = NULL; DWORD d
逆向入门-反调试
AppWhite_Star的博客
07-30 2177
逆向基础-反调试专题
Win32下常见反调试技术
HexRain的专栏
12-17 4904
1 探索内存差异 跟到的一个IceSword用户层程序中的一个反调试代码： （跟Kernel32!IsDebuggerPresent函数的实现方法一致） mov     eax, dword ptr fs:[18]     当前进程TEB->Ptr32 _NT_TIB mov     eax, dword ptr [eax+30]     eax+30h是peb的地址 movzx
通过IsDebuggerPesent讲解windows PEB进程环境块结构
赫的BLOG
06-05 2666
首先介绍PEB和TEB概念： PEB（Process Environment Block，进程环境块）存放进程信息，每个进程都有自己的PEB信息。位于用户地址空间。 TEB（Thread Environment Block，线程环境块）系统在此TEB中保存频繁使用的线程相关的数据。位于用户地址空间，在比 PEB 所在地址低的地方。进程中的每个线程都有自己的一个TEB。 写一个使用Is
详解反调试技术
houjingyi的博客
10-14 3万+
反调试技术，恶意代码用它识别是否被调试，或者让调试器失效。恶意代码编写者意识到分析人员经常使用调试器来观察恶意代码的操作，因此他们使用反调试技术尽可能地延长恶意代码的分析时间。为了阻止调试器的分析，当恶意代码意识到自己被调试时，它们可能改变正常的执行路径或者修改自身程序让自己崩溃，从而增加调试时间和复杂度。很多种反调试技术可以达到反调试效果。这里介绍当前常用的几种反调试技术，同时也会介绍一些逃避反
反调试/反汇编技术、TEB/PEB部分说明
qq_18811919的博客
02-05 1457
反调试技术 WindowsAPI ISDebuggerPresent 查询PEB进程环境块中的ISDebugged标志 CheckRemoteDebuggerPresent 类似于IsDebuggerPresent函数，但是也可以检查其他进程 NtQueryInfomationProcess 提取一个给定进程的信息，第一个参数是进程句柄，第二个参数告诉我们它需要提取的进程信息类型，参数设置为ProcessDebugPort将会告诉你这个句柄标识的进程是否被调试 手动检查数据结构 （1）检查BeingDebu
反调试——CheckRemoteDebuggerPresent
一个热爱逆向，喜爱学习、分享的猿。
10-21 1052
原理：查询进程环境块(PEB)中的IsDebugged标志。 如果进程没有运行在调试器环境中，函数返回0；如果调试附加了进程，函数返回一个非零值。 它不仅可以探测系统其他进程是否被调试，通过传递自身进程句柄还可以探测自身是否被调试。 检测函数样例： BOOL CheckDebug() { BOOL ret; CheckRemoteDebuggerPresent(GetCurrentProcess(), &ret); return ret; }
Check Debugger Present
free2o的专栏
12-12 1790
#include "AntiDebug.h" #include #include #include #include #include "thread.h" #include #if 0 Windows allow you to call the CreateProcess function with CREATE_SUSPENDED flag, that tells the
isDebugEnabled作用
热门推荐
water Wang
09-07 6万+
早上写了日志级别，然后想起在使用的时候经常用isDebugEnabled，一鼓作气。彻底弄懂它； 现象if (logger.isDebugEnabled()) { logger.debug(message); }作用 ： 进行预先判断，提升系统性能举个栗子：logger.debug("The money is " + getTotalMoney());  假设我们的日志级别设置为info,那
java debuglog_Java LogWriter.isDebug方法代码示例
weixin_39853131的博客
02-23 126
import org.pentaho.di.core.logging.LogWriter; //导入方法依赖的package包/类private void connectRep(LogWriter log,String realrepName, String realusername, String realpassword) throws Exception{this.repsinfo = ne...
isDebugEnabled 、isInfoEnabled 为什么要使用
iteye_17650的博客
08-24 1583
以前一直不明白为什么在输出日志前必须使用： if (log.isDebugEnabled())？？？ 在看下面的解释之前，我先说明下，对于打印的信息没有字符拼接或者对象（说白了没有tostring的方法调用），如果打印的信息是固定字符串的话，就加上面的判断和不加其实意义是一样的（更说白了，就是节省log.debug(***)中***部分向字符串的装换。下面是一位网友写的，他说明了比较纤细，我摘...
logger.isDebugEnabled()的作用
broucetrong的博客
12-07 2万+
logger.isDebugEnabled()的作用
逆向分析之定位算法的一些经验
w4y2'blog
08-23 1861
当开始逆向分析一个300M的图像处理软件的一个功能时，才发现之前玩逆向都是小打小闹，一个多月的奋斗，终于搞定了。很希望遇到问题，因为这样才能学到新的东西，事实上确实遇到了不少问题，也学到了很多经验。 之前的逆向都是直接扔到OD就开始调试，而现在知道在虚拟机里运行，因为这么大的软件不是一两个小时就可以搞完的，在虚拟机里直接快照拍摄，就像游戏存档一样，这样可以避免每次运行软件的注册激活，避免重复之前
文件包含漏洞手工检测方式
07-20
文件包含漏洞是一种常见的Web漏洞，攻击者可以通过该漏洞包含恶意文件或执行任意代码。以下是一些手工检测文件包含漏洞的方式： 1. 目录遍历攻击：尝试使用特殊字符（如../）来尝试遍历目录，查看是否可以访问系统文件或其他敏感文件。 2. 参数注入：在URL或请求参数中尝试注入特殊字符（如../、%00等），看是否可以绕过文件包含的限制，并包含其他文件。 3. 文件包含测试：尝试访问存在文件包含漏洞的页面，并在参数中使用特殊字符（如../、../../../../etc/passwd等）来尝试包含其他文件。观察返回的内容是否泄露了敏感信息或执行了恶意代码。 4. 错误信息披露：观察错误页面或异常信息是否泄露了文件路径或其他敏感信息，通过这些信息来判断是否存在文件包含漏洞。 5. 文件类型限制绕过：尝试绕过文件类型限制或验证，上传恶意文件并尝试通过文件包含漏洞执行。 请注意，在手工检测文件包含漏洞时，需要获得合法授权，并遵守法律和道德规范。最好在安全测试环境中进行测试，并及时报告漏洞给相关责任人进行修复。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值