反调试

反调试

1. IsDebuggerPresent()   该函数读取当前进程的PEB里BeingDebugged的值用于判断自己是否处于调试状态

BOOL

APIENTRY

IsDebuggerPresent(VOID)

{

    return NtCurrentPeb()->BeingDebugged;

}

 

x86下用windbg查看PEB结构

可知在PEB偏移0x002处获得BeingDebugged    

kd>  dt _PEB

nt!_PEB

   +0x000 InheritedAddressSpace : UChar

   +0x001 ReadImageFileExecOptions : UChar

   +0x002 BeingDebugged    : UChar

   +0x003 BitField         : UChar

   +0x003 ImageUsesLargePages : Pos 0, 1 Bit

   +0x003 IsProtectedProcess : Pos 1, 1 Bit

   +0x003 IsLegacyProcess  : Pos 2, 1 Bit

   +0x003 IsImageDynamicallyRelocated : Pos 3, 1 Bit

   +0x003 SkipPatchingUser32Forwarders : Pos 4, 1 Bit

   +0x003 SpareBits        : Pos 5, 3 Bits

   +0x004 Mutant           : Ptr32 Void

   +0x008 ImageBaseAddress : Ptr32 Void

   +0x00c Ldr              : Ptr32 _PEB_LDR_DATA

   +0x010 ProcessParameters : Ptr32 _RTL_USER_PROCESS_PARAMETERS

   +0x014 SubSystemData    : Ptr32 Void

   +0x018 ProcessHeap      : Ptr32 Void

   ......

PEB（进程环境块）结构体存储在TEB（线程环境块）中，

TEB结构如下

kd> dt _teb

nt!_TEB

   +0x000 NtTib            : _NT_TIB

   +0x01c EnvironmentPointer : Ptr32 Void

   +0x020 ClientId         : _CLIENT_ID

   +0x028 ActiveRpcHandle  : Ptr32 Void

   +0x02c ThreadLocalStoragePointer : Ptr32 Void

   +0x030 ProcessEnvironmentBlock : Ptr32 _PEB

   +0x034 LastErrorValue   : Uint4B

   +0x038 CountOfOwnedCriticalSections : Uint4B

   +0x03c CsrClientThread  : Ptr32 Void

   +0x040 Win32ThreadInfo  : Ptr32 Void

   +0x044 User32Reserved   : [26] Uint4B

   +0x0ac UserReserved     : [5] Uint4B

   +0x0c0 WOW32Reserved    : Ptr32 Void

   ......

其中_NT_TIB结构如下

kd> dt _NT_TIB

nt!_NT_TIB

   +0x000 ExceptionList    : Ptr32 _EXCEPTION_REGISTRATION_RECORD

   +0x004 StackBase        : Ptr32 Void

   +0x008 StackLimit       : Ptr32 Void

   +0x00c SubSystemTib     : Ptr32 Void

   +0x010 FiberData        : Ptr32 Void

   +0x010 Version          : Uint4B

   +0x014 ArbitraryUserPointer : Ptr32 Void

   +0x018 Self             : Ptr32 _NT_TIB

......

  其中+0x018 Self 是一个指向TIB的指针.同时也是TEB结构体的首地址

FS段寄存器中 地址FS：0指向当前线程TEB。

当我们需要TEB地址时，可以利用 mov eax， fs:[0x18]得到。且从上文可知在TEB偏移0x30处得到PEB地址。

固可以通过fs:[30h}获得当前进程的PEB。

BOOL IsDebuggerPresentPEB()

{

#if defined (ENV64BIT)

PPEB pPeb = (PPEB)__readgsqword(0x60);

 

#elif defined(ENV32BIT)

PPEB pPeb = (PPEB)__readfsdword(0x30);

 

#endif

 

if (pPeb->BeingDebugged == 1)

return TRUE;

else

return FALSE;

}

内联汇编版本

BOOL MYIsDebuggerPresent()

｛

      __asm{

            mov eax， fs:[0x30]

              movz eax， byte ptr [eax+]

}

｝

 

 

   

2. __readgsqword(0x60)得到指向PEB64的指针，__readfsdword(0x30)得到指向PEB32的指针，pPeb->BeingDebugged .

3. CheckRemoteDebuggerPresent(GetCurrentProcess(), &bIsDbgPresent)

4. BOOL HeapFlags()，64位下，得到指向PEB的地址加上0x30的偏移得到pProcessHeap，由于pHeapFlags在不同版本的操作系统中位置不一，需要IsWindowsVistaOrGreater()判断大概版本，高于VISTA的版本pProcessHeap解星号加上0x70的偏移得到pHeapFlags，低于高于VISTA的版本pProcessHeap解星号加上0x14的偏移得到pHeapFlags
32位下，得到指向PEB的地址加上0x18的偏移得到pProcessHeap，由于pHeapFlags在不同版本的操作系统中位置不一，需要IsWindowsVistaOrGreater()判断大概版本，高于VISTA的版本pProcessHeap解星号加上0x40的偏移得到pHeapFlags，低于VISTA的版本pProcessHeap解星号加上0x0C的偏移得到pHeapFlags。判断*pHeapFlags > 2 是否为真

5. __readgsqword(0x30)得到TEB64指针.*(DWORD64*)(_teb64 + 0x60)得到PEB64结构体，PEB64取偏移0xBC得到NTGlobalFlag。
__readfsdword(0x18)得到TEB32指针.*(DWORD64*)(_teb32 + 0x30)得到PEB32结构体，PEB32取偏移0x68得到NTGlobalFlag
假如是wow64下的__readfsdword(0x18)得到TEB64指针.*(DWORD64*)(_teb64 + 0x60)得到PEB64结构体，PEB64取偏移0xBC得到NTGlobalFlag当进程被调试时，NTGlobalFlag会被置为FLG_HEAP_ENABLE_TAIL_CHECK (0x10), FLG_HEAP_ENABLE_FREE_CHECK(0x20), 和 FLG_HEAP_VALIDATE_PARAMETERS(0x40)即0x70

6. BOOL HeapForceFlags()，64位下，得到指向PEB的地址加上0x30的偏移得到pProcessHeap，由于pHeapForceFlags在不同版本的操作系统中位置不一，需要IsWindowsVistaOrGreater()判断大概版本，高于VISTA的版本pProcessHeap解星号加上0x74的偏移得到pHeapFlags，低于高于VISTA的版本pProcessHeap解星号加上0x18的偏移得到pHeapFlags
32位下，得到指向PEB的地址加上0x18的偏移得到pProcessHeap，由于pHeapForceFlags在不同版本的操作系统中位置不一，需要IsWindowsVistaOrGreater()判断大概版本，高于VISTA的版本pProcessHeap解星号加上0x44的偏移得到pHeapForceFlags，低于VISTA的版本pProcessHeap解星号加上0x10的偏移得到pHeapFlags。判断*pHeapFlags > 2 是否为真

7. 通过LoadLibrary  得到ntdll的句柄hNtdll，通过GetProcAddress从ntdll模块中得到NtQueryInformationProcess  const int ProcessDbgPort = 7;
NtQueryInfoProcess(GetCurrentProcess(),
 ProcessDbgPort, 
&IsRemotePresent, 
dProcessInformationLength, 
NULL) 当IsRemotePresent不等于0时 进程被调试

8. 通过LoadLibrary  得到ntdll的句柄hNtdll，通过GetProcAddress从ntdll模块中得到NtQueryInformationProcess  const int ProcessDebugFlags =  0x1f;
NtQueryInfoProcess(GetCurrentProcess(),
 ProcessDebugFlags,
 &NoDebugInherit, 
sizeof(DWORD), 
NULL);NoDebugInherit精确等于0时，被调试

9. 通过LoadLibrary  得到ntdll的句柄hNtdll，通过GetProcAddress从ntdll模块中得到NtQueryInformationProcess  const int ProcessDebugObjectHandle =  0x1e;NtQueryInfoProcess(GetCurrentProcess(), ProcessDebugObjectHandle, &hDebugObject, dProcessInformationLength, NULL);hDebugObject不为空

10. 通过GetProcAddress从ntdll模块中得到NtSetInformationThread将ThreadInformationClass设置为0x11(ThreadHideFromDebugger)，用于隐藏调试器中的线程，调用之后调试器与该线程不再关联  NtSetInformationThread(GetCurrentThread(), ThreadHideFromDebugger, NULL, 0);当函数成功时，被调试

11. CloseHandle_InvalideHandle()当进程被调试时，调用CloseHandle并传入无效句柄，会得到一个STATUS_INVALID_HANDLE的异常，函数返回TRUE。__try ｛NtClose_((HANDLE)0x99999999);}__except (EXCEPTION_EXECUTE_HANDLER) {return TRUE;}

12. UnhandledExcepFilterTest () 设置一个SetUnhandledExceptionFilter。然后利用RaiseException提出一个异常交给异常处理机制 由于没有设置相应的异常处理程序 当进程被调试时，会通知进程的调试器，而不会调用UnhandledExceptionFilter

13. OutputDebugStringAPI（），只在XP或2000中适用。OutputDebugString()用于输出字符串给调试器显示。若GetLastError被置为Val，说明调试器与进程关联。

14. HardwareBreakpoints()，初始化PCONTEXT ctx，将ctx->ContextFlags = CONTEXT_DEBUG_REGISTERS。通过GetThreadContext(GetCurrentThread(), ctx)得到寄存器信息，硬件断点，用Dr0-Dr7七个寄存器控制。Dr1-Dr3存放了断点地址，若有一个寄存器存放了断点地址说明 被调试

15. SoftwareBreakpoints(),NOTE this check might not work on x64 because of alignment 0xCC bytes.软件断点 INT 3在32位下被编译成0xCC，建立两个函数A B，在B中调用A。计算A B地址之间的偏移，将A强制类型转换成PUCHAR型放置在变量v1中， 两个函数地址之间的偏移为长度 以字节为单位查询是否存在0xCC  

16. Interrupt_0x2d()，利AddVectoredExceptionHandler()注册一个定向的情况处理，__int2d()是一个用asm写的函数，利用指令 int 2dh测试进程是否被调试，当进程没有关联调试器，会返回一个异常，进入我们设置的定向情况处理。无需手动将Rip或Eip++

17. Interrupt_3()，利AddVectoredExceptionHandler()注册一个定向的情况处理，__debugbreak() Microsoft专用将在代码中引起断点，并在其中提示用户运行调试程序。当进程没有关联调试器，会返回一个异常，当情况为异常断点时需要我们手动将Rip或Eip++

18. MemoryBreakpoints_PageGuard(),动态分配大小为SystemInfo.dwPageSize的一块内存，并将0xC3（ret）写入内存中，最后将这块内存VirtualProtect属性置为PAGE_EXECUTE_READWRITE | PAGE_GUARD（可读写，页面保护）。以函数的形式调用这块内存的首地址，观察是否抛出异常。线程试图访问具备PAGE_GUARD属性的内存。该内存可以被访问，但同时EXCEPTION_GUARD_PAGE异常会被抛出 ，此时进程没有被调试。、

19. CanOpenCsrss()，当进程被调试且被提权到administrator时，该进程可以打开Csrss进程

20. NtYieldExecutionAPI()

21. NtQueryObject_ObjectTypeInformation（）

22. NtQueryObject_ObjectAllTypesInformation（）

23. SetHandleInformatiom_ProtectedHandle(),创建了一个互斥体对象，利用SetHandleInformation将我们互斥体对象句柄标志改为HANDLE_FLAG_PROTECT_FROM_CLOSE，最后关闭句柄，会抛出异常HANDLE_FLAG_PROTECT_FROM_CLOSE

转载于:https://www.cnblogs.com/Crisczy/p/7575521.html