反调试第三.docVIP

反调试第三 现在是2004年了，RING-3级调试器被越来越多地使用，因为它们有图形界面并且比RING-0级调试器（比如SOFTICE）更加方便。在这篇文章中我将讲述如何检测最好的RING-3调试器之一——OllyDbg。许多人都听说过IsDebugerPresent和fs:[20]检测手段，但是有没有其他的新方法呢？下面我向你介绍我自己的一些检测手段。我会给出详细的解释，因此你可以用你自己的想象力来完善它们。 方法一：FindWindow 这个方法是基于FindWindow函数。像所有的对话框一样，OllyDbg的主对话框（窗口？）也有它的标题和类名。使用这个API函数我们可以判断OllyDbg的主窗口是否打开。Microsoft这样写道： ------------------------------------------------------------------------------------------------ FindWindow函数能够获得窗口类名或标题为特定字符串的顶层窗口的句柄。该函数不搜索子窗口。 HWND FindWindow( LPCTSTR lpClassName, //窗口类名的地址 LPCTSTR lpWindowName //窗口标题的地址 ); 参数说明 lpClassName 指向一个以NULL结尾的表示窗口类名的字符串的指针，或者是一个标识窗口类名字符串的atom。如果该参数是一个atom，它必须是被函数GlobalAddAtom预先建立的一个全局atom。这个16位的atom必须放在lpClassName的低8位，lpClassName的高8位必须为0。 lpWindowName 指向一个以NULL结尾的表示窗口名称（即标题）的字符串的指针。如果这个参数为NULL，所有的窗口都被认为是符合条件的。 返回值 如果搜索成功，返回找到的符合条件的窗口句柄。 如果搜索失败，返回值为NULL。要得到详细的错误信息可以调用GetLastError。 ------------------------------------------------------------------------------------------------ 我的程序片断： 代码:-------------------------------------------------------------------------------- .data strOllyClsName db OLLYDBG,0 .code invoke FindWindow, ADDR strOllyClsName, NULL cmp eax, jne Olly_Detected/ -------------------------------------------------------------------------------- 方法二：CreateToolhelp32Snapshot, Process32First/Next 这是一个有趣的方法。它基于四个API函数(CreateToolhelp32Snapshot, Process32First, Process32Next, GetCurrentProcessId)和一个结构( PROCESSENTRY32 )。先看看MSDN怎么说： ------------------------------------------------------------------------------------------------ [CreateToolhelp32Snapshot] CreateToolhelp32Snapshot函数为指定的进程（可以包括进程使用的堆[HEAP]，模块[MODULE]和线程[THREAD]）建立一个快照[snapshot]。 HANDLE WINAPI CreateToolhelp32Snapshot( DWORD dwFlags, DWORD th32ProcessID ); 参数说明： dwFlags [输入]TH32CS_INHERIT - 声明快照句柄是可继承的。 TH32CS_SNAPALL - 在快照中包含系统中所有的进程和线程，还包括在th32ProcessID中指定的进程的堆和模块TH32CS_SNAPHEAPLIST - 在快照中包含在th32ProcessID中指定的进程的所有的堆。要列举出进程的堆，查看Heap32ListFirst。 TH32CS_SNAPMODULE - 在快照中包含在th32ProcessID中指定的进程的所有的模块。要列举出进程的模块，查看Module32ListFi