几种反调试手法及自写OD插件对其进行绕过

123456865

BeginDebugged

利用调试器加载步伐时调试器会通过CreateProcess（）创建调试进程，同时会创建调试内核对象并保存在当火线程情况块的DbgSsReserved[1]字段中，此时此线程就不同于平凡线程了（一般称为调试器线程）。接着CreateProcess（）会判定是否有调试器，无则直接返回，有则调用PspCreateProcess()，此函数会根据DbgSsReserved[1]字段设置创建进程的EPROCESS的DebugPort字段，如许此被创建进程就可以称为被调试进程。接着PspCreateProcess（）会调用MmCreatePeb（），此函数会根据EPROCESS的Debugport字段设置PEB的BeingDebuged字段。（无调试器时其值为0）

我们利用BeingDebugged，NtGlobalFlag，HeapFlags，ForceFlags标志写了一个综合反调试步伐，将测试步伐用OD加载其将绕过所有反调试正常运行。

参考资料：《软件调试》《加密与解密》
测试步伐和源代码和插件DLL.zip
35.92 KB, 下载次数: 209, 下载积分: 吾爱币 -1 CB


来源：http://www.12558.net
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！