Linux反调试小记（三）

最新推荐文章于 2024-09-19 06:48:34 发布

人而已

最新推荐文章于 2024-09-19 06:48:34 发布

阅读量1.2k

点赞数

分类专栏： # Linux反调试 C语言

本文链接：https://blog.csdn.net/qq_39387233/article/details/117186430

版权

本文是Linux反调试系列的第三部分，探讨了通过检查进程运行状态、设置程序运行最大时间和检测进程打开的filedescriptor来判断是否被调试的方法。当进程被调试时，状态会变为tracing stop，TracerPid非零；程序运行时间过长可能表明调试；而进程继承的fd数量过多可能是由gdb启动。这些技术在CTF比赛和安全防护中有应用。

摘要由CSDN通过智能技术生成

接着上面的文章，继续讨论关于Linux的反调试技术。

七：检查进程运行状态

调试器可以通过attach到某个已有进程的方法进行调试。这种情况下，被调试进程的父进程便不是调试器了。
在这种情况下，我们可以通过直接检查进程的运行状态来判断是否被调试。而这里使用到的依然是/proc文件系统。具体地，我们检查/proc/self/status文件。
当由非调试状态转变为调试状态时，进程状态由sleeping变为tracing stop，TracerPid也由0变为非0的数，即调试器的PID。由此，我们便可通过检查status文件中TracerPid的值来判断是否有正在被调试。

值得注意的是，/proc目录下包含了进程的大量信息。我们在这里是读取status文件，此外，也可通过/proc/self/stat文件来获得进程相关信息，包括运行状态。

#include <signal.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <unistd.h>
#include <fcntl.h>
#include <signal.h>
#include <dirent.h>
#include <sys/ptrace.h>
#include <sys/types.h>
#include <sys/stat.h>

void UseProcStatus()
{
  const char *needle = "TracerPid:";
  size_t nl = strlen(needle);
  char buf1[512];
  FILE* fin;
  int tpid;

  memset(buf1, 0,