TLS反调式浅谈

最新推荐文章于 2023-08-22 21:59:55 发布

小鱼吃大鱼ni

最新推荐文章于 2023-08-22 21:59:55 发布

阅读量212

点赞数

分类专栏： CTF 文章标签： c语言

本文链接：https://blog.csdn.net/weixin_44711063/article/details/115337459

版权

CTF 专栏收录该内容

2 篇文章 0 订阅

订阅专栏

本文介绍了如何利用TLS（Thread Local Storage）在进程启动时执行回调函数，防止多线程资源争用，并展示了在DLL加载时执行特定操作如弹窗，以及可能的反调试应用。通过设置TLS回调函数并利用NTAPI，可以在DLL被加载时执行自定义逻辑，如禁用内核调试。

摘要由CSDN通过智能技术生成

TLS，局部线程存储。先于OEP执行，可防止多线程争用资源，现常用于反调试
在这里插入图片描述
AddressOfCallBacks为一个函数指针数组，里面存放callback函数地址，系统会在OEP之前调用。

简单使用TLS：

#include "iostream"
#include "Windows.h"
#include "tchar.h"
//#include "ntdll/ntdll.h"
//使用TLS
#pragma comment(linker,"/INCLUDE:__tls_used")
DWORD isDebug = 0;
void NTAPI TLS_CALLBACK(PVOID DllHandle, DWORD Reason, PVOID Reserved)
{
	if (Reason == DLL_PROCESS_ATTACH)
	{
		::MessageBox(0, 0, 0, 0);
	//不接受内核调试信息
	//NtSetInformationThread(GetCurrentThread(),TreadHidePromDebugger,0,0);
    //NtQueryInformationProcess()
	}
}
void NTAPI TLS_CALLBACK2(PVOID DllHandle, DWORD Reason, PVOID Reserved)
{
	if (Reason == DLL_PROCESS_ATTACH)
	{
		::MessageBox(0, 0, 0, 0);
	}
}
int main()
{
	::MessageBoxA(0, "主函数", 0, 0);
	return 0;
}
//新建一段数据，放到TLS这个目录表里面  函数指针数组
#pragma data_seg (".CRT$XLX")
PIMAGE_TLS_CALLBACK pTlsCallBacks[] = { TLS_CALLBACK,TLS_CALLBACK2 ,NULL};
#pragma data_seg()