siphre

前言网上看到16年unlimit安全小组的反调试文章，写得非常详细还公布了源代码，遂研读了一下。为了看懂断点扫描反调试的那一节，我也把之前一直没弄明白的ELF文件格式弄明白了些。软件断点检测原理先说断点检测反调试的原理——“软件断点通过改写目标地址的头几字节为breakpoint指令，只需要遍历so中可执行segment，查找是否出现breakpoint指令“，如果出现breakpoi...

wchan/proc/[pid]/wchan显示进程sleep时，kernel当前运行的函数。调试状态下,wchan文件会显示ptrace_stop。cmdline/proc/[pid]/cmdline文件存放进程的命令内容。使用GDB这类的调试器时，调试会fork一个子进程，然后执行ELF程序。此时，ELF文件就可以通过getppid()获取父进程pid,然后检测cmdline...