反调试——1——开始反调试

前面的文章可以算是反调试的一些铺垫了，现在算是正式开始。

调试器的工作流程

调试器调试分两种情况，一种是附加进程，一种是通过可执行程序来创建进程调试。

创建进程：

通过CreateProcess并设置为DEBUG_PROCESS模式来启动。

BOOL CreateProcessA(
  LPCSTR                lpApplicationName,
  LPSTR                 lpCommandLine,
  LPSECURITY_ATTRIBUTES lpProcessAttributes,
  LPSECURITY_ATTRIBUTES lpThreadAttributes,
  BOOL                  bInheritHandles,
  DWORD                 dwCreationFlags,
  LPVOID                lpEnvironment,
  LPCSTR                lpCurrentDirectory,
  LPSTARTUPINFOA        lpStartupInfo,
  LPPROCESS_INFORMATION lpProcessInformation
);

附加进程：

通过调用DebugActiveProcess函数来附加进程。

在进程被调试时，进程执行的一些操作会以事件的方式通知给调试器。。

当有事件需要通知调试器时，操作系统会挂起进程所有线程，然后把事件发送给调试器。

调试器通过WaitForDebugEvent来等待事件。

BOOL WaitForDebugEvent(
  LPDEBUG_EVENT lpDebugEvent,   //操作系统传递给调试器的事件
  DWORD         dwMilliseconds  //等待时间
);

程序被调试的特征

调试程序时，调试器会对被调试程序的程序设置标志。

标志	描述	位置	函数
BeginDebugged	被创建/附加进程都会被设置为1	PEB+02偏移处	IsDebuggerPresent()
NtGlobalFlag	创建进程会被设置为0x70，但是以附加进程设置时该值不会发生变化	PEB+0x68处	没有API
ProcessDebugPort	程序处于调试状态下可以获取调试端口，通过该端口也可以判断是否被调试。	无	checkRemoteDebugPresent

代码实现简单的反调试：

#include<Windows.h>
#include<iostream>
using namespace std;

void testBeginDebugged()
{
    if (IsDebuggerPresent())
    {
        MessageBoxA(0, "BeginDebugged验证失败，程序被调试", 0, 0);
    }
    else
    {
        MessageBoxA(0, "BeginDebugged验证正常", 0, 0);
    }
}
void testNtGlobalFlag()
{
    DWORD IsDebug = 1;
    __asm
    {
        push eax
        mov eax,fs:[0x30]
        mov eax,[eax+0x68]      
        mov IsDebug,eax
        pop eax
    }
    if (IsDebug == 0x70)
    {
        MessageBoxA(0, "NtGlobalFlag验证失败，程序被调试", 0, 0);
    }
    else
    {
        MessageBoxA(0, "NtGlobalFlag验证正常", 0, 0);
    }
}
void testProcessDebugPort()
{
    BOOL IsDebug = FALSE;
    CheckRemoteDebuggerPresent(GetCurrentProcess(), &IsDebug);
    if(IsDebug == TRUE)
    {
        MessageBoxA(0, "ProcessDebugPort验证失败，程序被调试", 0, 0);
    }
    else
    {
        MessageBoxA(0, "ProcessDebugPort验证正常，程序未被调试", 0, 0);

    }
}


int main()
{
    cout << "Welcome" << endl;
    testBeginDebugged();
    testNtGlobalFlag();
    testProcessDebugPort();

    return 0;
}