OD反调试大全.docx

《OD反调试大全.docx》由会员分享，可在线阅读，更多相关《OD反调试大全.docx（5页珍藏版）》请在第一文库网上搜索。

1、OD反调试大全调试技巧总结-原理和实现2023.8.7she11wo1f一、前言前段学习反调试和vc,写了antidebug-tester,经常会收到message希望交流或索要实现代码，我都没有回复。其实代码已经在编程版提供了1个版本，另其多是VC内嵌asm写的，对CraCker而言，只要反下就知道了。我想代码其实意义不是很大，重要的是理解和运用。做个简单的总结，说明下实现原理和实现方法。也算回复了那些给我发Message的朋友。部分代码和参考资料来源：1、hawking2、OAnge1jyt3、4、看雪学院5、OPeterFerrie我将反调试技巧按行为分为两大类，一类为检测，另一类为攻击

2、，每类中按操作对象又分了五个小类：1、通用调试器包括所有调试器的通用检测方法2、特定调试器包括0D、IDA等调试器，也包括相关插件，也包括虚拟环境3、断点包括内存断点、普通断点、硬件断点检测4、单步和跟踪主要针对单步跟踪调试5、补丁包括文件补丁和内存补丁反调试函数前缀检测攻击通用调试器FD_AD_特定调试器FS_AS_断点FB_AB_单步和跟踪FTAT_补丁FPAP声明：1、本文多数都是摘录和翻译，我只是重新组合并翻译，不会有人告侵权吧。里面多是按自己的理解来说明，可能有理解错误，或有更好的实现方法，希望大家帮忙指出错误。2、我并没有总结完全，上面的部分分类目前还只有很少的函数甚至空白，等待大

3、家和我一起来完善和补充。我坚信如果有扎实的基础知识，丰富的想像力，灵活的运用，就会创造出更多的属于自己的反调试。而最强的反调试，通常都是自己创造的，而不是来自别人的代码。二、查找-通用调试器(FD_)函数列表如下，后面会依次说明，需事先说明的是，这些反调试手段多数已家喻户晓,目前有效的不多，多数已可以通过OD的插件顺利通过，如果你想验证它们的有效性，请关闭OD的所有反反调试插件：boo1FD_TsDebuggerPresent();boo1FD_PEB_BeiDgDebuggedF1agO;boo1FD_PEB_NtG1oba1F1ags();boo1FDJeapHeapF1agsO；boo1

4、FDHeapForceF1agsO；boo1ED_Heap_Tai1();boo1EDCheckRemoteDebuggerPresent();boo1FD_NtQueryInfoProc_DbgPort();boo1FD_NtQueryInfoProcDbgObjHand1eO;boo1FD-NtQuery1nfoProjDbgF1agsO;boo1FD-NtQueryInfoPrOJSySKriDbg1nfO();boo1FD_SeDebugPrivi1egeO;boo1FDParentProcess();boo1FDDebugObject_NtQueryObject();boo1FD_F

5、indjebuggerJVindowO;boo1FD_Find_Debugger_Process();boo1FD_Find_Device_Driver();boo1FD_ExceptiOnc1OSehandIe();boo1ED_Exception_Int3();boo1FDExceptionPopfO；boo1FDOutputDebugStringO;boo1FD_TEB_check_in_Vista();boo1FDcheckStartupInfo();boo1FDparentPrOCeSS1();boo1ED_Exception_Instruction_count();boo1FD_I

6、NT_2d();2.1FDJsDebuggerPresentO对调试器来说，ISDebUggerPreSent是臭名昭著的恶意函数。不多说了，它是个检测调试的api函数。实现更简单，只要调用ISDebUggerPreSent就可以了。在调用它之前，可以加如下代码，以用来检测是否在函数头有普通断点，或是否被钩挂。/checkSoftbreakif(*(BYTE*)Funcaddr=Oxcc)returntrue;/checkhookif(*(BYTE*)Func_addr!=0x64)returntrue;2.2EDJ3EB-BeingDebuggedF1ag我们知道，如果程序处于调试器中，那么

7、在PEB结构中有个beingDegug标志会被设置，直接读取它就可判断是否在调试器中。实际上ISDebUggerPreSent就是这么干的。_asmmoveax,fs:30h;EAX=TEB.ProcessEnvironnientB1ockinceaxinceaxmoveax,eaxandeax,OxOOOOOOff;A1=PEB.BeingDebuggedtesteax,eaxjnertabe1jmprf_1abe12.3FD-PEB-NtG1oba1F1agsPEB中还有其它F1AG表明了调试器的存在，如NtGIObaIFIags。它位于PEB环境中偏移为0x68的位置，默认情况下该值为0

8、,在win2k和其后的WindoWS平台下，如果在调试中，它会被设置为一个特定的值。使用该标志来判断是否被调试并不可靠(如在Winnt中)，但这种方法却也很常用。这个标志由下面几个标志组成：*_HEAP_ENAB1E_TAI1_CHECK(0x10)*_HEAP_ENAB1E_FREE_CHECK(0x20)*HEAPVA1IDATE_PARAMETERS(0x40)检测NtG1obaIFIagS的方法如下，这个方法在EXeCryPtOr中使用过。asm)moveax,fs:30hmoveax,eax+68handeax,0x70testeax,eaxjnert_1abe1jmprf_1abe

9、12.4FD_HeapHeapF1ags0同样，调试器也会在堆中留下痕迹，你可以使用kerne132GetProcessHeap()函数，如果你不希望使用api函数(以免暴露)，则可以直接在PEB中寻找。同样的，使用HeaPFIagS和后面提到的FOrCeFIagS来检测调试器也不是非常可靠，但却很常用。这个域由一组标志组成，正常情况下，该值应为2。_asmmoveax,fs:30hmoveax,eax+18h;PEB.ProcessHeapmoveax,eax+0ch;PEB.ProcessHeap.F1agscmpeax,2jnert_1abe1jmprf_1abe12.5FDHeapFo

10、rceF1ags进程堆里另外一个标志，ForceF1ags,它也由一组标志组成，正常情况下，该值应为Oo_asm(moveax,fs:30hmoveax,eax+18h;PEB.ProcessHeapmoveax,eax+10h;PEB.ProcessHeap.ForceF1agstesteax,eaxjnert_1abe1jmprf_1abe12.6 FDJeapJTai1如果处于调试中，堆尾部也会留下痕迹。标志HEAP_TAI1_CHECKING_ENAB1ED将会在分配的堆块尾部生成两个OxBABBBo如果需要额外的字节来填充堆尾，UEAP_FREE_CIIECKTNG_ENAB1ED标

11、志则会生成OxFEEEFEEE,据说Themida使用过这个反调试asm(moveax,buff;getUnusedbytesmovzxecx,byteptrea-2movzxedx,wordptrea-8;SiZesubeax,ecx1eaedi,edx*8+eaxmova1,Oabhmovc1,8repesca*jert_1abe1jmprf_1abe12.7 EDCheckRemoteDebuggerPresentCheckRemoteDebuggerPresent是另一个检测调试的api,只是可惜它似乎只能在winxpSP1版本以后使用。它主要是用来查询一个在Winnt时就有的一个数值

12、，其内部会调用NtQUeryInfOrn1ationPrOCeSS(),我是这样实现的：FARPROCFuncaddr;HMODU1EhModu1e=GetModu1eHand1e(if(IiModu1e=INVA1IDJAND1EJA1UE)returnfa1se;(FARPROC&)Funcaddr=GetProcAddress(hModu1e,if(Funcaddr!=NU11)_asmpusheax;pushesp;pushOxffffffff;ca11Funjaddr;testeax,eax;jerf_1abe1;popeax;testeax,eaxjerf_1abe1;jmprt_

13、1abe1;2.8 8ED_NtQuery1nfoProc_DbgPort使用ntd11.NtQuery1nfonnationProcess()来查询ProcessDebugPort可以用来检测反调试。如果进程被调试，其返回值应为OXffffffff。下面的代码应该是从pediy里CoPy过来的，时间太长，不记得是哪位兄弟的代码了。HMODU1EhModu1e=GetModu1eHand1e(ZWQUERY1NFORMATIOWPROCESSZwQuery1nformationProcess;ZwQueryInformationProcess=(ZWQUERY_INFORM/TIONPROCE

14、SS)GetProcAddress(hModu1e,if(ZwQuery1nformationProcess=NU11)returnfa1se;PROCESS_DEBUG_PORT_INFOProcessInfo;if(STATUS_SUCCESS!=ZwQuery1nformationProcess(GetCurrentProcess(),ProcessDebugPort,&ProcessInfo,sizeof(ProcessInfo),NU11)returnfa1se;e1seif(Processinfo.DebugPort)returntrue;e1sereturnfa1se;2.9FD

15、.NtQueryInfoProc_DbgObjHand1e在WinXP中引入了当一个调试活动开始，一个被创建，同也相应产生了一个句柄。使用为公开的ProcessDebugObjectHand1e类,可以查询这个句柄的数值。代码可能还是从Pediy里复制的，不记得了。HMODU1EhModu1e=GetModu1eHand1e(ZWQUERYINFORMATION,PROCESSZwQuery1nformationProcess;ZwQueryInformationProcess=(ZW_QUERY_INFORMAT1ON_PROCESS)GetProcAddress(hModu1e,if(ZwQuery1nformationProcess=NU11)returnfa1se;_PROCESS_DEBUG_OBJECTHAND1E_INFOProcessInfo;感谢您的阅读，祝您生活愉快。