180312 逆向-反调试技术（5）NativeAPI

最新推荐文章于 2023-02-18 12:56:02 发布
最新推荐文章于 2023-02-18 12:56:02 发布
阅读量356 收藏 1
点赞数
分类专栏： 逆向和保护
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/whklhhhh/article/details/79797164
版权

1625-5 王子昂 总结《2018年3月12日》 【连续第527天总结】
A. 反调试技术（5）
B.

NativeAPI

API的调用过程中，User态和Kernel态的通信仅通过ntdll.dll
换句话说，Win32子系统和兼容的Win16、MSDOS、OS/2等子系统都是通过kernel32.dll或直接调用ntdll.dll的
然后ntdll.dll通过int 0x2e系统中断触发Kernel的服务，最后到硬件抽象层hal.dll来实现

在xp系统后，进入内核态的方法由int 2e改为Sysenter调用了，不过int 2e的方法并没有被删除

与Linux的系统中断类似，int 2e时也是通过eax来描述调用函数的
而具体的调用函数表，即系统服务表（SystemServiceTable），保存在服务描述表（ServiceDescriptorTable）中

这些函数就是NativeAPI了，根据SDT可以查到eax的值与函数的对应关系

C. 明日计划
反调试技术（6）

奈沙夜影
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Frida 反反调试
TF的博客
08-09 1617
2. 指定端口启动： ./frida-server -l 0.0.0.0:30000。1. 对 frida-server 重命名。
C++ 反反调试（PEB）
LYSM
09-10 848
PEB 反调试参考这篇文章 没错，这也是我写的。（/手动滑稽） 把之前的程序用原版 OD 打开，根据控制台里的 PEB 地址，找到对应的内存地址： 根据 BeingDebugged 、 NtGlobalFlag 在 _PEB 结构体中的位置，可以发现 01、70 这两个标志（注意这里 main函数还没开始运行，所以程序不会退出，只有当你第一次点击 “运行” 时才会执行到 main，检测代码才会有...
C++ 反调试（NtSetInformationThread）
LYSM
11-20 3310
先上代码： // Test_Console.cpp : 定义控制台应用程序的入口点。 // #include "stdafx.h" #include <afx.h> #include <tchar.h> #include <afxwin.h> #include <Windows.h> #include <vector> #inclu...
C++ 反调试（ZwSetInformationThread）
LYSM
09-18 2687
这个 API 的功能是：如果程序正在被调试，则强制将自己从调试器里分离出来。 代码： #include "stdafx.h" #include <iostream> #include <tchar.h> #include <Windows.h> #include <stdio.h> #pragma region 全局变量 /* ZwSet...
一文实现通过系统底层对抗反调试检测
最新发布
dzqxwzoe的博客
02-18 226
安卓的native下，是运用醉倒的反调试方案是通过读取进程的status或stat来检测tracepid，它主要原理是调试状态下的进程tracepid不为0。对于这种调试检测手段，因为android系统是开源的，所以最彻底的绕过方式就是修改系统源码后重新编译，让tracepid永远为0。对抗这种bypass手段，我们可以创建一个子进程，让子进程主动ptrace自身设为调试状态，此时正常情况下，子进程的tracepid应该不为0。此时我们检测子进程的tracepid是否为0，如果为0说明源码被修改了。
sysenter HOOK反OD调试
_KaQqi的博客
05-12 2120
sysenter指令： SYSENTER用来快速调用一个0层的系统过程。SYSENTER是SYSEXIT的同伴指令。该指令经过了优化，它可以使将由用户代码（运行在3层）向操作系统或执行程序（运行在0层）发起的系统调用发挥最大的性能。   在调用SYSENTER指令前，软件必须通过下面的MSR寄存器，指定0层的代码段和代码指针，0层的堆栈段和堆栈指针： 1.       IA32_SYS
Android native反调试检测及原理剖析
weixin_43632667的博客
04-06 744
一、检测Android——server文件 void check(){ const char* Path="/data/local/tmp"; dir =opendir(Path); int pid =getpid(); if(dir!=NULL){ dirent *currentDir; while((currentDir=readdir(dir)!=NULL)){ ...
反调试技术揭秘（转）
weixin_33935505的博客
03-04 512
在调试一些病毒程序的时候，可能会碰到一些反调试技术，也就是说，被调试的程序可以检测到自己是否被调试器附加了，如果探知自己正在被调试，肯定是有人试图反汇编啦之类的方法破解自己。为了了解如何破解反调试技术，首先我们来看看反调试技术。   一、Windows API方法   Win32提供了两个API, IsDebuggerPresent和CheckRemoteDebuggerPresent可以...
过某交友软件frida反调试
头铁逆向的旅程
06-30 6273
过某交友软件的frida检测
学习笔记-Frida反调试思路和hook native
人饭子的博客
11-11 2108
用户代码 native hook Frida反调试与反反调试基本思路(Java层API,Native层API,Syscall) 六月题的Frida反调试的实现以及 Native函数的Java hook以及主动调用 静态注册函数参数，返回值打印和替换 0x1 反调试 17种的so的反调试，同样适用于frida，另外三种的话是 1. 遍历连接手机所有端口发送D-bus消息，如果返回”REJEC...
动态反调试Crackme.rar
06-27
CrackMe程序.里面的程序运用了几种动态反调试手段,供学习动态反调试的人员亲自动手调试,体会逆向分析的乐趣
15.ring3-反调试小结
hgy413的专栏
10-13 2734
1.IsDebuggerPresent 检测是否在函数头有普通断点，或是否被挂钩 2.CheckRemoteDebuggerPresent(ProcessDebugPort) 3.NtGlobalFlags，测试发现直接运行工程会提示有调试器，windbg初始附加运行提示有调试器，但windbg中间附加不会提示有调试器，测试失败，但可用. 0:000> dt _PEB -y NtGlobal
反调试功能<CheckRemoteDebuggerPresent>
weixin_30388677的博客
09-19 322
CheckRemoteDebuggerPresent这个API可以检测是否有调试器的存在，而且这个和PEB里面的BeingDebugged无关了。看一下CheckRemoteDebuggerPresent的声明： __in HANDLE hProcess, __in_out PBOOL pbDebuggerPresent ); 第一个参数是进程...
android拦截native方法,Android native反调试方式及使用IDA绕过反调试
weixin_30332669的博客
05-25 787
0x00为了避免我们的so文件被动态分析，我们通常在so中加入一些反调试代码，常见的Android native反调试方法有以下几种。1、直接调用ptrace(PTRACE_TRACEME, 0, 0, 0)，参考Android Native反调试。2、根据上面说的/proc/$pid/status中TracerPid行显示调试程序的pid的原理, 可以写一个方法检查下这个值, 如果!=0就退出程...
详解反调试技术
热门推荐
houjingyi的博客
10-14 3万+
反调试技术，恶意代码用它识别是否被调试，或者让调试器失效。恶意代码编写者意识到分析人员经常使用调试器来观察恶意代码的操作，因此他们使用反调试技术尽可能地延长恶意代码的分析时间。为了阻止调试器的分析，当恶意代码意识到自己被调试时，它们可能改变正常的执行路径或者修改自身程序让自己崩溃，从而增加调试时间和复杂度。很多种反调试技术可以达到反调试效果。这里介绍当前常用的几种反调试技术，同时也会介绍一些逃避反
【转】andorid ndk anti-debug
weixin_30725467的博客
08-07 131
思考 之前研究了下如何调试和尝试反一个别人加密的东西, 所以现在的体会就是: 其实重点不是你如何加密, 重点是如何不让别人知道你怎么加密的 因为像这种自己加密的资源运行的时候自己解密之后拿来用的程序, 我甚至根本不用关心你到底怎么加密, 加密算法是啥, 我只需要知道, 你解密完了之后, 那个资源的内存块在哪, 写个dumper就全拿到了; 加密并不能防止被破解, 只是增加...
【反调试】去除各种反调试
Night May Say
04-14 1万+
前不久破解一个软件的时候遇到了各种反调试，折腾的自己各种难受，最终爆破了之后感觉心情大快就顺手写下了这篇文章使用工具十六进制分析工具：winhex 查壳工具：PEID 脱壳工具：ollydump插件或者LordPE 脱壳修复工具：ImportREC 逆向工具：OllyDbg分析过程PE修复打开源程序所在文件夹，发现有一个crackme，双机运行程序发现有这个提示： 应该是文件的PE结构
171211 逆向-高级反调试技术
whklhhhh的博客
12-13 1199
1625-5 王子昂 总结《2017年12月11日》 【连续第437天总结】 A. 《逆向工程核心原理》-高级反调试技术 B. 花指令这种反调的难度可高可低，不过对于只靠F5的萌新们都是无解的简单的只是在代码块之间放置一些垃圾代码，通过jmp跳过，使得反汇编不正确，进而影响F5的反编译 只需要清除干扰指令，或者动态调试跟一下就能很轻松的解决复杂的则会随机插入大量的花指令，与正确代码混杂在一起
180311 逆向-反调试技术（4）SystemKernelDebuggerInformation
whklhhhh的博客
03-23 1008
1625-5 王子昂 总结《2018年3月11日》 【连续第526天总结】 A. 反调试技术（4） B. SystemKernelDebuggerInformation NativeAPI中还有一个函数ZwQuerySystemInformation 当SystemInformation = SystemKernelDebuggerInformation的时候可以判断是否有系统调...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值