几种反调试手法及自写OD插件对其进行绕过

无人岛屿颈

BeginDebugged

利用调试器加载程序时调试器会通过CreateProcess（）创建调试历程，同时会创建调试内查对象并保存在当火线程环境块的DbgSsReserved[1]字段中，此时此线程就差别于平常线程了（一样平常称为调试器线程）。接着CreateProcess（）会判断是否有调试器，无则直接返回，有则调用PspCreateProcess()，此函数会根据DbgSsReserved[1]字段设置创建历程的EPROCESS的DebugPort字段，这样此被创建历程就可以称为被调试历程。接着PspCreateProcess（）会调用MmCreatePeb（），此函数会根据EPROCESS的Debugport字段设置PEB的BeingDebuged字段。（无调试器时其值为0）

我们利用BeingDebugged，NtGlobalFlag，HeapFlags，ForceFlags标志写了一个综合反调试程序，将测试程序用OD加载其将绕过所有反调试正常运行。

参考资料：《软件调试》《加密与解密》
测试程序和源代码和插件DLL.zip
35.92 KB, 下载次数: 209, 下载积分: 吾爱币 -1 CB


来源：http://www.12558.net
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！