NtGlobalFlag

最新推荐文章于 2024-04-14 12:35:32 发布

想要养只猫

最新推荐文章于 2024-04-14 12:35:32 发布

阅读量1.2k

点赞数 1

分类专栏：杂记文章标签：反调试

本文链接：https://blog.csdn.net/liuhw4598/article/details/78453870

版权

本文介绍了如何使用NtGlobalFlag进行反调试。在32位系统中，NtGlobalFlag位于PEB的0x68位置，调试器附加后会设置特定标志。通过调试器如OD，可以观察到该位置的值变化。清除这个标志，程序可以被正常调试。

摘要由CSDN通过智能技术生成

简单的 NtGlobalFlag 反调试程序：

#include "stdafx.h"
#include <windows.h>

#define NAKED __declspec(naked)

NAKED BOOL Detect32()
{
    __asm
    {
        push ebp;
        mov ebp, esp;
        pushad;

        mov eax, fs:[30h];
        mov al, [eax + 68h];
        and al, 70h;
        cmp al, 70h;
        je being_debugged;
        popad;
        mov eax, 0;
        jmp being_debugged + 6

        being_debugged:
        popad;
        mov eax, 1;
        leave;
        retn;

    }
}