180312 逆向-反调试技术（5）NativeAPI

最新推荐文章于 2023-02-18 12:56:02 发布
最新推荐文章于 2023-02-18 12:56:02 发布
阅读量356 收藏 1
点赞数
分类专栏： 逆向和保护
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/whklhhhh/article/details/79797164
版权

1625-5 王子昂 总结《2018年3月12日》 【连续第527天总结】
A. 反调试技术（5）
B.

NativeAPI

API的调用过程中，User态和Kernel态的通信仅通过ntdll.dll
换句话说，Win32子系统和兼容的Win16、MSDOS、OS/2等子系统都是通过kernel32.dll或直接调用ntdll.dll的
然后ntdll.dll通过int 0x2e系统中断触发Kernel的服务，最后到硬件抽象层hal.dll来实现

在xp系统后，进入内核态的方法由int 2e改为Sysenter调用了，不过int 2e的方法并没有被删除

与Linux的系统中断类似，int 2e时也是通过eax来描述调用函数的
而具体的调用函数表，即系统服务表（SystemServiceTable），保存在服务描述表（ServiceDescriptorTable）中

这些函数就是NativeAPI了，根据SDT可以查到eax的值与函数的对应关系

C. 明日计划
反调试技术（6）

奈沙夜影
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
逆向案例-frida-demo-apk-01
03-13
3. **反混淆**：许多APK应用为了防止被逆向分析，会使用混淆技术，使得代码难以阅读。Frida可以帮助我们解析混淆后的代码，还原其原本逻辑。 4. **安全审计**：逆向工程师可以利用Frida来检测潜在的安全漏洞，例如...
Frida 反反调试
最新发布
TF的博客
08-09 1616
2. 指定端口启动： ./frida-server -l 0.0.0.0:30000。1. 对 frida-server 重命名。
C++ 反反调试（PEB）
LYSM
09-10 848
PEB 反调试参考这篇文章 没错，这也是我写的。（/手动滑稽） 把之前的程序用原版 OD 打开，根据控制台里的 PEB 地址，找到对应的内存地址： 根据 BeingDebugged 、 NtGlobalFlag 在 _PEB 结构体中的位置，可以发现 01、70 这两个标志（注意这里 main函数还没开始运行，所以程序不会退出，只有当你第一次点击 “运行” 时才会执行到 main，检测代码才会有...
C++ 反调试（NtSetInformationThread）
LYSM
11-20 3310
先上代码： // Test_Console.cpp : 定义控制台应用程序的入口点。 // #include "stdafx.h" #include <afx.h> #include <tchar.h> #include <afxwin.h> #include <Windows.h> #include <vector> #inclu...
C++ 反调试（ZwSetInformationThread）
LYSM
09-18 2687
这个 API 的功能是：如果程序正在被调试，则强制将自己从调试器里分离出来。 代码： #include "stdafx.h" #include <iostream> #include <tchar.h> #include <Windows.h> #include <stdio.h> #pragma region 全局变量 /* ZwSet...
一文实现通过系统底层对抗反调试检测
dzqxwzoe的博客
02-18 226
安卓的native下，是运用醉倒的反调试方案是通过读取进程的status或stat来检测tracepid，它主要原理是调试状态下的进程tracepid不为0。对于这种调试检测手段，因为android系统是开源的，所以最彻底的绕过方式就是修改系统源码后重新编译，让tracepid永远为0。对抗这种bypass手段，我们可以创建一个子进程，让子进程主动ptrace自身设为调试状态，此时正常情况下，子进程的tracepid应该不为0。此时我们检测子进程的tracepid是否为0，如果为0说明源码被修改了。
Android逆向-java代码基础（3）
01-09
8. **JNI与Native代码**：许多Android应用会使用Java Native Interface (JNI) 来调用C/C++代码，这增加了逆向工程的复杂性。理解JNI调用机制和如何分析本地库（.so文件）是逆向工程师必备的技能。 9. **代码混淆与...
android逆向菜鸟速参手册骚动版.pdf
04-12
要想学好逆向，首先得会编写 native 程序，熟练常见的系统 API 以及开发流程等等。 2. Native 层相关机制的学习 需要去分析源代码中 JNI 的部分内容。 3. 静态分析 静态分析需要对汇编指令的掌握程度，使用 IDA 可以...
逆向工程教學
02-12
逆向工程，简称逆向，是一种技术手段，用于分析软件的内部运作机制，通常涉及程序的反编译、调试和分析。在安全领域，逆向工程对于理解恶意软件的行为、检测病毒和漏洞至关重要。而“脱壳”是逆向工程中的一个重要...
Android软件安全与逆向分析_带书签_Android软件安全与逆向分析_带书签_android_
09-29
六、反逆向技术 1. Obfuscation：使用ProGuard、R8等混淆工具，使得代码难以阅读和理解。 2. 动态加载：通过动态加载库或代码来防止静态分析。 3. 代码签名与完整性检查：确保代码未被篡改，防止恶意篡改后运行。 ...
动态反调试Crackme.rar
06-27
CrackMe程序.里面的程序运用了几种动态反调试手段,供学习动态反调试的人员亲自动手调试,体会逆向分析的乐趣
sysenter HOOK反OD调试
_KaQqi的博客
05-12 2120
sysenter指令： SYSENTER用来快速调用一个0层的系统过程。SYSENTER是SYSEXIT的同伴指令。该指令经过了优化，它可以使将由用户代码（运行在3层）向操作系统或执行程序（运行在0层）发起的系统调用发挥最大的性能。   在调用SYSENTER指令前，软件必须通过下面的MSR寄存器，指定0层的代码段和代码指针，0层的堆栈段和堆栈指针： 1.       IA32_SYS
Android native反调试检测及原理剖析
weixin_43632667的博客
04-06 744
一、检测Android——server文件 void check(){ const char* Path="/data/local/tmp"; dir =opendir(Path); int pid =getpid(); if(dir!=NULL){ dirent *currentDir; while((currentDir=readdir(dir)!=NULL)){ ...
反调试技术揭秘（转）
weixin_33935505的博客
03-04 512
在调试一些病毒程序的时候，可能会碰到一些反调试技术，也就是说，被调试的程序可以检测到自己是否被调试器附加了，如果探知自己正在被调试，肯定是有人试图反汇编啦之类的方法破解自己。为了了解如何破解反调试技术，首先我们来看看反调试技术。   一、Windows API方法   Win32提供了两个API, IsDebuggerPresent和CheckRemoteDebuggerPresent可以...
过某交友软件frida反调试
头铁逆向的旅程
06-30 6273
过某交友软件的frida检测
学习笔记-Frida反调试思路和hook native
人饭子的博客
11-11 2108
用户代码 native hook Frida反调试与反反调试基本思路(Java层API,Native层API,Syscall) 六月题的Frida反调试的实现以及 Native函数的Java hook以及主动调用 静态注册函数参数，返回值打印和替换 0x1 反调试 17种的so的反调试，同样适用于frida，另外三种的话是 1. 遍历连接手机所有端口发送D-bus消息，如果返回”REJEC...
15.ring3-反调试小结
hgy413的专栏
10-13 2734
1.IsDebuggerPresent 检测是否在函数头有普通断点，或是否被挂钩 2.CheckRemoteDebuggerPresent(ProcessDebugPort) 3.NtGlobalFlags，测试发现直接运行工程会提示有调试器，windbg初始附加运行提示有调试器，但windbg中间附加不会提示有调试器，测试失败，但可用. 0:000> dt _PEB -y NtGlobal
反调试功能<CheckRemoteDebuggerPresent>
weixin_30388677的博客
09-19 322
CheckRemoteDebuggerPresent这个API可以检测是否有调试器的存在，而且这个和PEB里面的BeingDebugged无关了。看一下CheckRemoteDebuggerPresent的声明： __in HANDLE hProcess, __in_out PBOOL pbDebuggerPresent ); 第一个参数是进程...
android拦截native方法,Android native反调试方式及使用IDA绕过反调试
weixin_30332669的博客
05-25 787
0x00为了避免我们的so文件被动态分析，我们通常在so中加入一些反调试代码，常见的Android native反调试方法有以下几种。1、直接调用ptrace(PTRACE_TRACEME, 0, 0, 0)，参考Android Native反调试。2、根据上面说的/proc/$pid/status中TracerPid行显示调试程序的pid的原理, 可以写一个方法检查下这个值, 如果!=0就退出程...
反调试技术详解：检测与规避策略
文章涵盖了多种反调试技术，包括利用Windows API函数如IsDebuggerPresent、CheckRemoteDebuggerPresent和NtQueryInformationProcess等来探测调试器，并提到了逃避反调试的策略。" 反调试技术是恶意代码开发者用来...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值