反调试与反反调试相关学习记录

已于 2023-07-07 10:51:17 修改
阅读量173 收藏 1
点赞数
分类专栏： 学习感悟 文章标签： 学习 网络安全 安全
于 2023-07-07 10:43:12 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_45844442/article/details/131579288
版权

文章目录


最近刚看到一个分析反调试与反反调试比较细的文章，在最后我会把相关的文章链接发出来，当然看这些也就只是了解下反调试的一些小小细节，如果要想深入钻研反调试需要将所有调试状态与非调试状态的区别全部研究透。以下是我总结的主要内容相关的API：
1. IsDebuggerPresent
2. CheckRemoteDebuggerPresent
3. KdDisableDebugger
4. DbgUiRemoteBreakin

接下来我们就围绕着上面这几个API进行分析并总结其相关的反调试与反反调试

IsDebuggerPresent

反调试

这个函数是利用的PEB结构中的BeingDebugged成员进行检测
调试：BeingDebugged为1
非调试：BeingDebugged为0

ntdll!_PEB
   +0x000 InheritedAddressSpace : UChar
   +0x001 ReadImageFileExecOptions : UChar
   +0x002 BeingDebugged    : UChar
   +0x003 SpareBool        : UChar
   +0x004 Mutant           : Ptr32 Void
   +0x008 ImageBaseAddress : Ptr32 Void
   +0x00c Ldr              : Ptr32 _PEB_LDR_DATA
   +0x010 ProcessParameters : Ptr32 _RTL_USER_PROCESS_PARAMETERS
   +0x014 SubSystemData    : Ptr32 Void
   +0x018 ProcessHeap      : Ptr32 Void
   +0x01c FastPebLock      : Ptr32 _RTL_CRITICAL_SECTION
   +0x020 FastPebLockRoutine : Ptr32 Void
   +0x024 FastPebUnlockRoutine : Ptr32 Void
   +0x028 EnvironmentUpdateCount : Uint4B
   +0x02c KernelCallbackTable : Ptr32 Void
   +0x030 SystemReserved   : [1] Uint4B
   +0x034 AtlThunkSListPtr32 : Uint4B
   +0x038 FreeList         : Ptr32 _PEB_FREE_BLOCK
   +0x03c TlsExpansionCounter : Uint4B
   +0x040 TlsBitmap        : Ptr32 Void
   +0x044 TlsBitmapBits    : [2] Uint4B
   +0x04c ReadOnlySharedMemoryBase : Ptr32 Void
   +0x050 ReadOnlySharedMemoryHeap : Ptr32 Void
   +0x054 ReadOnlyStaticServerData : Ptr32 Ptr32 Void
   +0x058 AnsiCodePageData : Ptr32 Void
   +0x05c OemCodePageData  : Ptr32 Void
   +0x060 UnicodeCaseTableData : Ptr32 Void
   +0x064 NumberOfProcessors : Uint4B
   +0x068 NtGlobalFlag     : Uint4B
   +0x070 CriticalSectionTimeout : _LARGE_INTEGER
   +0x078 HeapSegmentReserve : Uint4B
   +0x07c HeapSegmentCommit : Uint4B
   +0x080 HeapDeCommitTotalFreeThreshold : Uint4B
   +0x084 HeapDeCommitFreeBlockThreshold : Uint4B
   +0x088 NumberOfHeaps    : Uint4B
   +0x08c MaximumNumberOfHeaps : Uint4B
   +0x090 ProcessHeaps     : Ptr32 Ptr32 Void
   +0x094 GdiSharedHandleTable : Ptr32 Void
   +0x098 ProcessStarterHelper : Ptr32 Void
   +0x09c GdiDCAttributeList : Uint4B
   +0x0a0 LoaderLock       : Ptr32 Void
   +0x0a4 OSMajorVersion   : Uint4B
   +0x0a8 OSMinorVersion   : Uint4B
   +0x0ac OSBuildNumber    : Uint2B
   +0x0ae OSCSDVersion     : Uint2B
   +0x0b0 OSPlatformId     : Uint4B
   +0x0b4 ImageSubsystem   : Uint4B
   +0x0b8 ImageSubsystemMajorVersion : Uint4B
   +0x0bc ImageSubsystemMinorVersion : Uint4B
   +0x0c0 ImageProcessAffinityMask : Uint4B
   +0x0c4 GdiHandleBuffer  : [34] Uint4B
   +0x14c PostProcessInitRoutine : Ptr32     void 
   +0x150 TlsExpansionBitmap : Ptr32 Void
   +0x154 TlsExpansionBitmapBits : [32] Uint4B
   +0x1d4 SessionId        : Uint4B
   +0x1d8 AppCompatFlags   : _ULARGE_INTEGER
   +0x1e0 AppCompatFlagsUser : _ULARGE_INTEGER
   +0x1e8 pShimData        : Ptr32 Void
   +0x1ec AppCompatInfo    : Ptr32 Void
   +0x1f0 CSDVersion       : _UNICODE_STRING
   +0x1f8 ActivationContextData : Ptr32 Void
   +0x1fc ProcessAssemblyStorageMap : Ptr32 Void
   +0x200 SystemDefaultActivationContextData : Ptr32 Void
   +0x204 SystemAssemblyStorageMap : Ptr32 Void
   +0x208 MinimumStackCommit : Uint4B

反反调试

虽然这个API只是判断BeingDebugged，但是在调试状态下NtGlobalFlag会被修改，所以要将这两个都清0

方法：通过NtQueryInformationProcess获取到目标进程的PEB结构，然后修改上面的两个成员

CheckRemoteDebuggerPresent

反调试

内部调用了ntdll!NtQueryInformationProcess来检测EPROCESS的DebugPort成员
调试：DebugPort为0xFFFFFFFF
非调试：DebugPort为0

ntdll!_EPROCESS
   +0x000 Pcb              : _KPROCESS
   +0x06c ProcessLock      : _EX_PUSH_LOCK
   +0x070 CreateTime       : _LARGE_INTEGER
   +0x078 ExitTime         : _LARGE_INTEGER
   +0x080 RundownProtect   : _EX_RUNDOWN_REF
   +0x084 UniqueProcessId  : Ptr32 Void
   +0x088 ActiveProcessLinks : _LIST_ENTRY
   +0x090 QuotaUsage       : [3] Uint4B
   +0x09c QuotaPeak        : [3] Uint4B
   +0x0a8 CommitCharge     : Uint4B
   +0x0ac PeakVirtualSize  : Uint4B
   +0x0b0 VirtualSize      : Uint4B
   +0x0b4 SessionProcessLinks : _LIST_ENTRY
   +0x0bc DebugPort        : Ptr32 Void
   +0x0c0 ExceptionPort    : Ptr32 Void
   +0x0c4 ObjectTable      : Ptr32 _HANDLE_TABLE
   +0x0c8 Token            : _EX_FAST_REF
   +0x0cc WorkingSetLock   : _FAST_MUTEX
   +0x0ec WorkingSetPage   : Uint4B
   +0x0f0 AddressCreationLock : _FAST_MUTEX
   +0x110 HyperSpaceLock   : Uint4B
   +0x114 ForkInProgress   : Ptr32 _ETHREAD
   +0x118 HardwareTrigger  : Uint4B
   +0x11c VadRoot          : Ptr32 Void
   +0x120 VadHint          : Ptr32 Void
   +0x124 CloneRoot        : Ptr32 Void
   +0x128 NumberOfPrivatePages : Uint4B
   +0x12c NumberOfLockedPages : Uint4B
   +0x130 Win32Process     : Ptr32 Void
   +0x134 Job              : Ptr32 _EJOB
   +0x138 SectionObject    : Ptr32 Void
   +0x13c SectionBaseAddress : Ptr32 Void
   +0x140 QuotaBlock       : Ptr32 _EPROCESS_QUOTA_BLOCK
   +0x144 WorkingSetWatch  : Ptr32 _PAGEFAULT_HISTORY
   +0x148 Win32WindowStation : Ptr32 Void
   +0x14c InheritedFromUniqueProcessId : Ptr32 Void
   +0x150 LdtInformation   : Ptr32 Void
   +0x154 VadFreeHint      : Ptr32 Void
   +0x158 VdmObjects       : Ptr32 Void
   +0x15c DeviceMap        : Ptr32 Void
   +0x160 PhysicalVadList  : _LIST_ENTRY
   +0x168 PageDirectoryPte : _HARDWARE_PTE_X86
   +0x168 Filler           : Uint8B
   +0x170 Session          : Ptr32 Void
   +0x174 ImageFileName    : [16] UChar
   +0x184 JobLinks         : _LIST_ENTRY
   +0x18c LockedPagesList  : Ptr32 Void
   +0x190 ThreadListHead   : _LIST_ENTRY
   +0x198 SecurityPort     : Ptr32 Void
   +0x19c PaeTop           : Ptr32 Void
   +0x1a0 ActiveThreads    : Uint4B
   +0x1a4 GrantedAccess    : Uint4B
   +0x1a8 DefaultHardErrorProcessing : Uint4B
   +0x1ac LastThreadExitStatus : Int4B
   +0x1b0 Peb              : Ptr32 _PEB
   +0x1b4 PrefetchTrace    : _EX_FAST_REF
   +0x1b8 ReadOperationCount : _LARGE_INTEGER
   +0x1c0 WriteOperationCount : _LARGE_INTEGER
   +0x1c8 OtherOperationCount : _LARGE_INTEGER
   +0x1d0 ReadTransferCount : _LARGE_INTEGER
   +0x1d8 WriteTransferCount : _LARGE_INTEGER
   +0x1e0 OtherTransferCount : _LARGE_INTEGER
   +0x1e8 CommitChargeLimit : Uint4B
   +0x1ec CommitChargePeak : Uint4B
   +0x1f0 AweInfo          : Ptr32 Void
   +0x1f4 SeAuditProcessCreationInfo : _SE_AUDIT_PROCESS_CREATION_INFO
   +0x1f8 Vm               : _MMSUPPORT
   +0x238 LastFaultCount   : Uint4B
   +0x23c ModifiedPageCount : Uint4B
   +0x240 NumberOfVads     : Uint4B
   +0x244 JobStatus        : Uint4B
   +0x248 Flags            : Uint4B
   +0x248 CreateReported   : Pos 0, 1 Bit
   +0x248 NoDebugInherit   : Pos 1, 1 Bit
   +0x248 ProcessExiting   : Pos 2, 1 Bit
   +0x248 ProcessDelete    : Pos 3, 1 Bit
   +0x248 Wow64SplitPages  : Pos 4, 1 Bit
   +0x248 VmDeleted        : Pos 5, 1 Bit
   +0x248 OutswapEnabled   : Pos 6, 1 Bit
   +0x248 Outswapped       : Pos 7, 1 Bit
   +0x248 ForkFailed       : Pos 8, 1 Bit
   +0x248 HasPhysicalVad   : Pos 9, 1 Bit
   +0x248 AddressSpaceInitialized : Pos 10, 2 Bits
   +0x248 SetTimerResolution : Pos 12, 1 Bit
   +0x248 BreakOnTermination : Pos 13, 1 Bit
   +0x248 SessionCreationUnderway : Pos 14, 1 Bit
   +0x248 WriteWatch       : Pos 15, 1 Bit
   +0x248 ProcessInSession : Pos 16, 1 Bit
   +0x248 OverrideAddressSpace : Pos 17, 1 Bit
   +0x248 HasAddressSpace  : Pos 18, 1 Bit
   +0x248 LaunchPrefetched : Pos 19, 1 Bit
   +0x248 InjectInpageErrors : Pos 20, 1 Bit
   +0x248 VmTopDown        : Pos 21, 1 Bit
   +0x248 Unused3          : Pos 22, 1 Bit
   +0x248 Unused4          : Pos 23, 1 Bit
   +0x248 VdmAllowed       : Pos 24, 1 Bit
   +0x248 Unused           : Pos 25, 5 Bits
   +0x248 Unused1          : Pos 30, 1 Bit
   +0x248 Unused2          : Pos 31, 1 Bit
   +0x24c ExitStatus       : Int4B
   +0x250 NextPageColor    : Uint2B
   +0x252 SubSystemMinorVersion : UChar
   +0x253 SubSystemMajorVersion : UChar
   +0x252 SubSystemVersion : Uint2B
   +0x254 PriorityClass    : UChar
   +0x255 WorkingSetAcquiredUnsafe : UChar
   +0x258 Cookie           : Uint4B

反反调试

知道了是在检查EPROCESS的DebugPort成员，所以可以通过驱动直接修改这个值(注意要开个线程不断的修改)，当然也可以直接在三环HOOK直接返回这个成员函数的第二个参数为0（参考资料中用的就是这种）

KdDisableDebugger

反调试

直接利用这个内核函数分离与调试器之间的联系，

反反调试

原理如下图，在Windows中调试状态会为几个变量赋值，而这个函数就是用来检测这几个变量的（变量已在图中标出），感兴趣的可以继续往下分析
在这里插入图片描述

DbgUiRemoteBreakin

反调试

这个其实并不难，就是调试的时候会主动调用这个API进行断下来让调试器接管，所以因为调试过程中用到了这个函数所以就可以进行HOOK直接ExitProcess

反反调试

就是将目标进程的这个函数修复成原来的（代码可以参考第一个链接作者给出的）

总结

除了以上的方式外，修改EPROCESS的flags或者_OBJECT_HEADER中的Flags等等，各种方法其实本质就是对整个系统中所出现调试状态与非调试状态的区别，然后加以利用判断出其是非调试还是调试状态

参考资料

https://blog.csdn.net/sanqiuai/category_11260253.html
https://zhuanlan.zhihu.com/p/468211214

mi-key
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
安卓逆向学习笔记之定制ART，绕过所有反调试.docx
04-13
安卓逆向学习笔记之定制ART，绕过所有反调试.docx
S09-shiro550反序列学习1
08-03
前言环境搭建1. 参考文章：Shiro 反序列化记录Shiro RememberMe 1.2.4 反序列化导致的命令执行漏洞2. 远程调试：tomcat 启动修
Windows平台反调试技术学习
q2919761440的博客
01-19 850
前俩天的学习记录Windows上面的反调试学习，主要是参考《恶意代码实战分析》和《加密与解密》里面的，给每个小技术都写了程序示例，自己编译反调试了一遍。Windows反调试。
oracle反调试,Win7 x86内核调试与TP反调试的研究
weixin_39988331的博客
04-14 327
本文在Win7 x86下的分析，在虚拟机中以/DEBUG模式启动TP游戏，系统会自动重启。0x01 内核调试全局变量根据软件调试第十八章，windows启动过程中会调用两次KdInitSystem()函数第一次调用KdInitSystem分别会初始化如下变量1.KdPitchDebugger : Boolean 用来表示是否显示的抑制内核调试， 当启动项中包含 /NODEBUG选项时，这个变量会被...
Android签名验证与反调试机制的对抗技术
道阻且长，行则将至。
10-29 2088
文章目录前言签名验证1.1 签名机制1.2 签名验签1.3 签名绕过反反调试2.1 tracerPid检测2.2 进程名称检测2.3 关键文件检测2.4 调试端口检测2.5 ptrace值检测2.6 时间差异检测2.7 内置函数检测2.8 调试断点检测总结 前言 Android 的 APK 文件为了防止被篡改和重打包，经常会做签名校验来保证自身完整性，当程序被篡改后将提示用户或者直接退出运行。同时有些 APP 为了防止被攻击者动态调试和分析，还做了反调试机制。本文来学习记录下 Android 签名验证机制与
android+反调试+方案,Android反调试笔记
weixin_36401794的博客
05-25 511
1)代码执行时间检测通过取系统时间，检测关键代码执行耗时，检测单步调试，类似函数有：time,gettimeofday,clock_gettime.也可以直接使用汇编指令RDTSC读取，但测试ARM64有兼容问题。time_t t1, t2;time (&t1);/* Parts of Important Codes */time (&t2);if (t2 - t1 > 2)...
学习笔记-Frida反调试思路和hook native
人饭子的博客
11-11 2048
用户代码 native hook Frida反调试与反反调试基本思路(Java层API,Native层API,Syscall) 六月题的Frida反调试的实现以及 Native函数的Java hook以及主动调用 静态注册函数参数，返回值打印和替换 0x1 反调试 17种的so的反调试，同样适用于frida，另外三种的话是 1. 遍历连接手机所有端口发送D-bus消息，如果返回”REJEC...
网络靶场实战-反调试技术(上）
蛇矛实验室
04-14 894
反调试技术，是一种防止逆向的方案。逆向人员如果遇到复杂的代码混淆，有时会使用调试器动态分析代码逻辑简化分析流程。例如恶意软件通常会被安全研究人员、反病毒厂商和其他安全专业人员分析和调试，以了解其行为和功能，并开发相应的安全措施来保护系统，这时，恶意软件开发人员就会使用反调试技术阻碍逆向人员的分析，以达到增加自己恶意代码的存活时间。此外，安全人员也需要了解反调试技术，当遇到反调试代码时，可以使用相对应的反反调试。
书籍学习|基于SprinBoot+vue的书籍学习平台(源码+数据库+文档)
JIngJaneIL的博客
05-28 1204
首先,论文一开始便是清楚的论述了平台的研究内容。其次,剖析平台需求分析,弄明白“做什么”,分析包括业务分析和业务流程的分析以及用例分析,更进一步明确平台的需求。然后在明白了平台的需求基础上需要进一步地设计平台,主要包罗软件架构模式、整体功能模块、数据库设计。本项目软件架构选择B/S模式和java技术，总体功能模块运用自顶向下的分层思想。再然后就是实现平台并进行代码编写实现功能。论文的最后章节总结一下自己完成本论文和开发本项目的心得和总结。通过书籍学习平台将会使书籍学习各个方面的工作效率带来实质性的提升。
学习整理 docker
wonder_dog的博客
05-31 227
nexus。
前端技术入门学习：探索数字世界的奇幻之旅
qwertyhn_0024的博客
05-27 229
HTML定义了网页的结构和内容，CSS负责样式和布局，而JavaScript则实现了网页的交互功能。对于初学者来说，前端技术既是一个充满魅力的新世界，也是一个充满挑战与困惑的领域。本文将引导您从四个方面、五个方面、六个方面和七个方面深入理解前端技术，开启您的学习之旅。在这个过程中，我们需要不断探索、学习和实践，才能逐步掌握这门技艺的精髓。同时，我们也需要保持敏锐的洞察力和开放的心态，不断适应和应对前端技术领域的变化和发展。同时，随着人工智能、大数据等新技术的不断涌现，前端技术也将面临更多的挑战和机遇。
超大功率光伏并网逆变器学习(三相) 一
最新发布
我的博客
05-31 320
1.超大功率用的IGBT开关频率通常很低,比如6KHz。2.线电压和相电压的关系。
Android学习之ION memory manager
我的博客
05-28 1058
ion_device是miscdevice的封装，buffers是存放ion_buffer对象的根结点，heaps为存放ion_heap对象的列表，custom_ioctl为自定义的操作函数，clients为客户端根结点。每一种类型的memory都对应一个ion_heap类型的对象，ion_heap的对象存放在dev中，内存的类型存放做type中，ops为内存的操作函数指针。ION 模块是可扩展的（API都是统一的），支持各种形式的内存分配方式，可以表述不同的硬件资源和他们的一些限制。
视觉语言大模型llava学习
csuzhaoqinghui的博客
05-31 381
ViLBERT（Vision-and-Language BERT）是一个专为处理视觉和语言信息而设计的模型，通过双流结构分别处理图像和文本输入，然后在顶层通过共注意力机制（Co-Attention）将两种信息结合起来。与ViLBERT类似，它使用单一的Transformer模型来同时处理视觉和语言信息，通过将图像的区域特征与相应的文字描述一起编码，实现了对图像和文本的联合理解。视觉语言模型的不断发展正在推动人工智能领域向更高层次的理解和创造能力迈进，为创建更智能、更互动的系统打开新的可能性。
强化学习——学习笔记
qq_52302919的博客
05-27 1431
强化学习问题通常可以建模为一个马尔可夫决策过程，包括以下几个要素：1、状态集合 (State Set)：S；2、动作集合 (Action Set)：A；Ps′∣saPs′∣sa，描述在状态s下执行动作a后转移到状态s′s^′s′的概率；Rsas′Rsas′，描述在状态s 下执行动作a并转移到状态s′后获得的奖励。πa∣sπ (a∣s)πa∣s，描述智能体在状态s下选择动作a 的概率。
柳州市哪里有学编程的最好：探索编程学习的最佳选择
liyrbtqe_66w的博客
05-30 434
然而，面对市场上琳琅满目的编程培训机构，如何选择最适合自己的学习场所，却成为了一个令人困惑的难题。本文将从四个方面、五个方面、六个方面和七个方面，深入剖析柳州市编程学习的最佳选择，帮助您在众多选项中找到最适合自己的编程学习之路。这包括线上的课程平台、线下的培训机构以及高校的相关专业等。柳州市的编程学习机构各具特色，有的注重实战项目经验，有的强调基础理论学习，还有的则提供个性化的定制课程。通过深入了解各机构的特色与优势，并结合自身的需求和兴趣进行选择，相信您一定能在柳州市找到最佳的编程学习之路。
FFMPEG学习笔记(一): 提取视频的纯音频及无声视频
源的博客
05-27 354
c:a libmp3lame：指定音频编解码器为 libmp3lame，这是 FFmpeg 中用于编码 MP3 文件的编解码器。output.mp4：指定输出文件，这里是 output.mp4，将会是一个没有音频的视频文件。output.mp3：指定输出文件名，这里 output.mp3 将会是提取出的音频文件。-i input.mp4：指定输入文件，input.mp4 是你的视频文件。-an：-an 是 -audio 的简写，后面不跟参数表示禁用音频。-vn：表示禁用视频，只提取音频。
开利网络参加广州数据交易所学习活动
KLWL_2022的博客
05-31 166
学习内容提现了数字时代企业数字化转型的核之心“发掘数据价值，驱动高速发展”，交易中心组织大家学习如何紧跟国家政策、把握数据资产发展趋势、用好企业数据、做到数据资产增值！开利网络做为南沙广州数据交易所的会员参加了由“广东三会”组织的“数据资产”相关学习活动。（下图为开利董事长付立军先生在签到）4. 基础性：在数字经济时代，成为重要的基础资源，对推动科技创新、经济发展、提升管理效率等方面都有着关键作用。数据要素的合理开发、利用和流通，对于促进产业升级、提升企业竞争力、推动经济高质量发展具有重要意义。
windows 反调试
05-16
Windows反调试是指一种技术手段，用于防止黑客或者其他人对应用程序进行调试，从而保护程序的安全性。反调试技术可以通过检测调试器的存在或者修改调试器的行为来达到防御的目的。 常见的反调试技术包括以下几种： 1. 检测调试器的存在，如检查进程名、PID、系统调用等信息。 2. 检测调试器的行为，如检测调试器是否设置断点、单步执行等。 3. 修改调试器的行为，如修改内存中的代码，欺骗调试器的检测。 需要注意的是，反调试技术并不能完全保证程序的安全性，因为黑客和攻击者也会针对这些技术进行攻击。因此，在设计应用程序时，还需要采取其他措施来保护程序的安全性。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值