使用OllyDbg从零开始Cracking 第二十章-OllyDbg反调试之检测OD进程名.doc

第二十章-OllyDbg反调试之检测OD进程名 本章我们介绍通过查找OD进程名来进行反调试技巧,首先我们有必要对OD进行相应的设置。 我们选择主菜单项Option-Debugging options-Security。 我们可以看到这里有3个复选框,我们知道通常情况下,我们给某个API函数设置断点,当我们重启OD后,刚刚给API函数设置的断点就被清除了。但是勾选上这3个复选框,再给API函数设置断点,重启OD后我们会发现刚刚设置的断点依然存在,这就避免了重启OD后需要重新给API设置断点的麻烦。 实际上,我也不知道OD关于这个功能的实现原理,我们只需要知道这3个复选框可以让我们设置的API断点在OD重启后仍然有效。 这个设置我觉得很有必要,避免了很多麻烦,现在我们开始讨论通过查找OD进程名来进行反调试的话题吧。 打开OD,接着通过Ctrl+ Alt + Delete快捷键打开任务管理器。 我们可以看到进程名称列表,我们可以通过检测进程名称是否为OllyDbg,如果是就结束进程,哈哈。 我们来看一个CrackMe,这个CrackMe运用我们前面介绍的知识暂时还解决不了,我们只是来看看它是如何检测OllyDbg的进程名,以及我们如何来绕过它的检测,嘿嘿。 这个CrackMe的名字叫做daxxor,如果我们先运行这个CrackMe,然后打开OD,会发现OD马上就退出了。如果我们用OD加载该CrackMe然后运行起来,会发生两者一起退出了。 如何来应对这种情况呢,我们先用OD加载这个CrackMe。 停在了入口点处,我们先看看该程序使用了哪些API函数。 我们可以看到有很多API函数,但都不是用于检测进程名的,可能这些重要的API函数被隐藏起来了,没有出现该列表中。 很显然如果程序不直接导入某些API的话,会使用GetProcAddress这个API 函数来获取这些API函数的地址进行间接调用。 使用GetProcAddress函数加载的一些API函数并不会出现该API函数列表中,我们给GetProcAddress设置一个断点。 运行起来。 断在了GetProcAddress的入口点处,当前待获取的函数是__CPPdebugHook,该函数检测进程名没有关系,继续运行。 我们继续按F9键运行直到待获取的API是与检测进程名相关的为止,这里待获取的API函数是EnumProcesses,这里通过选择主菜单项Debug-Execute till return执行到返回,这个时候EAX寄存器中保存的就是EnumProcesses这个API函数的地址了。我们接着就可以给该地址设置断点了。 这里EAX就保存了EnumProcesses的函数地址,我的机器上是76BB3A9A(可能与你机器上的不一样)。 另外,OD的API的函数列表中并没有列出EnumProcesses这个名称,所以我们直接bp EnumProcesses是设置不了断点的,我们可以给EnumProcesses函数的地址设置断点。 设置成功了。 好了,我们已经给EnumProcesses设置了断点,继续我们刚才的步骤,看看还有什么API函数被加载。 这里是获取枚举进程模块函数的地址,我们还是执行到返回,接着给EAX中保存的地址设置断点。 我们直接在命令栏中输入bp EAX。 同理,我们给所有与检测进程名相关的API函数设置断点。 这里是另外一个可疑的API函数GetModuleBaseNameA,我们跟之前一样给该函数设置断点,然后我们运行起来,断在了EnumProcesses函数的入口处。 我们通过双击反汇编窗口的注释区域来给该函数添加注释,注释上该函数的名称EnumProcesses。 我们给这些通过GetProcAddress加载的API设置断点,并且断下来了,但是OD并没有在API函数列表中找到与之对应的项,所以OD也没有提示该函数相关信息。 我们谷歌一下“EnumProcesses”。 找到一个微软的网站页面: /en-us/library/ms682629.aspx 上面的解释是该函数返回正在运行的每个进程的标识即PID。好了,接下来我们看看神马是PID,嘿嘿。 PID是系统分配给每个正在运行的进程的标识符-每次启动的时候都会发生变化。我们来看看进程列表。 我们可以看到,这里,OD的PID是724-十进制。我们用windows自带的计算器将该PID值转化为十六进制。 单击Hex按钮,就以十六进制显示了。 PID对应的十六进制为2D4。可以关闭OD然后重新打开一个OD,会发现PID发生了变化。进程每次重新启动,PID都改变了。 很不走运,API的参数提示也没有了。 根据MSDN我们知道该函数有3个参数。 在我们的机器上12EDE4该地