<逆向工程核心原理> 动态反调试技术总结

最新推荐文章于 2024-08-21 11:25:33 发布

双刃剑客

最新推荐文章于 2024-08-21 11:25:33 发布

阅读量4k

点赞数

分类专栏：反调试 Windows逆向

本文链接：https://blog.csdn.net/zhangmiaoping23/article/details/44593407

版权

1.异常-SEH

#include "stdio.h"
#include "windows.h"
#include "tchar.h"

void AD_BreakPoint()
{
    printf("SEH : BreakPoint\n");

    __asm {
        // install SEH
        push handler
        push DWORD ptr fs:[0]
        mov DWORD ptr fs:[0], esp
        
	//INT 3 指令是CPU中断命令，在用户模式的调试器啥都不做(经过调试发现不会触发ntdll.dll中的KiUserExceptionDispatcher）。
        // generating exception
        int 3

        // 1) debugging
        //    go to terminating code
        mov eax, 0xFFFFFFFF
        jmp eax                 // process terminating!!!

        // 2) not debugging
        //    go to normal code
handler:
        mov eax, dword ptr ss:[esp+0xc]
        mov ebx, normal_code
        mov dword ptr ds:[eax+0xb8], ebx
        xor eax, eax
        retn

normal_code:
        //   remove SEH
        pop dword ptr fs:[0]
        add esp, 4
    }

    printf("  => Not debugging...\n\n");
}

int _tmain(int argc, TCHAR* argv[])
{
    AD_BreakPoint();

    return 0;
}

注意：OD的异常选项忽略int 3 中断必须不选，strongOD插件选项最好不用，才能进入指令

mov eax, 0xFFFFFFFF

jmp eax

OD不能在int 3下断(F2),否则会循环进入异常地址 int 3.

2.异常-SetUnhandledExceptionFilter

#include "stdio.h"
#include "windows.h"
#include "tchar.h"

LPVOID g_pOrgFilter = 0;

LONG WINAPI ExceptionFilter(PEXCEPTION_POINTERS pExcept)
{
    SetUnhandledExceptionFilter((LPTOP_LEVEL_EXCEPTION_FILTER)g_pOrgFilter);

    // 8900    MOV DWORD PTR DS:[EAX], EAX