各种反调试技术原理与实例vc版 - 看雪学院.docVIP

反调试技术 2 发现OD的处理 2 1. 窗口类名、窗口名 3 2. 检测调试器进程 4 3. 父进程是否是Explorer 5 4. RDTSC/ GetTickCount时间敏感程序段 6 5. StartupInfo结构 7 6. BeingDebugged 8 7. PEB.NtGlobalFlag , Heap.HeapFlags, Heap.ForceFlags 9 8. DebugPort: CheckRemoteDebuggerPresent()/NtQueryInformationProcess() 12 9. SetUnhandledExceptionFilter/ Debugger Interrupts 14 10. Trap Flag单步标志异常 16 11. SeDebugPrivilege 进程权限 16 12. DebugObject: NtQueryObject() 17 13. OllyDbg：Guard Pages 20 14. Software Breakpoint Detection 22 15. Hardware Breakpoints Detection 24 16. PatchingDetection CodeChecksumCalculation补丁检测，代码检验和 25 17. block input封锁键盘、鼠标输入 26 18. EnableWindow禁用窗口 27 19. ThreadHideFromDebugger 27 20. Disabling Breakpoints禁用硬件断点 29 21. OllyDbg:OutputDebugString() Format String Bug 30 22. TLS Callbacks 30 反反调试技术 35 反调试技术 VC版 唐久涛 看雪ID：tangjiutao 本人空间： 写意互联网，关注搜索引擎技术，涉猎搜索引擎优化、软件破解、PHP网站建设、Wordpress应用等 声明：这篇文章是本人学习的总结，理论部分参考了《脱壳的艺术》、《加密与解密》以及本人从网络上收集的资料，在此向原作者致敬。本人的贡献在于根据个人理解对各种反调试技术进行了汇总和高度归纳，并提供了本人创作的各种反调试实例及源代码。本人于09年9月份开始学习软件逆向工程的相关知识，在学习过程中得到大量网友的热心帮助，在此向各位致以诚挚谢意。希望本人的这些工作能够对各位有所帮助，浅陋之处，莫要见笑。各种形式的转载都必须保留作者信息及本声明。 由于本人入门较晚、能力有限，部分方法尚未实现，望高手不吝赐教。实现了的方法大都附有实例程序。 很多方法对于修改版的OD已经失效，请用原版OD进行测试。 发现OD的处理 一、如何获取OD窗口的句柄 1.已经获取了窗口类名或标题：FindWindow函数 2.没有获取窗口类名或标题：GetForeGroundWindow返回前台窗口，这里就是OD的窗口句柄了。注意这种方法更为重要，因为大多数情况下不会知道OD的窗口类名。 invoke IsDebuggerPresent .if eax invoke GetForegroundWindow ;获得的是OD的窗口句柄 invoke SendMessage,eax,WM_CLOSE,NULL,NULL .endif 二、获取OD窗口句柄后的处理 （1）向窗口发送WM_CLOSE消息 void CDetectODDlg::OnWndcls() { // TODO: Add your control notification handler code here HWND hWnd; if(hWnd=::FindWindow(OllyDbg,NULL)) { MessageBox(发现OD); ::SendMessage(hWnd,WM_CLOSE,NULL,NULL); }else{ MessageBox(没发现OD); } } （2）使OD窗口不可用 HWND hd_od=FindWindow(ollydbg,NULL); SetWindowLong(hd_od,GWL_STYLE,WS_DISABLED); （3）终止相关进程，根据窗口句柄获取进程ID，根据进程ID获取进程句柄， HWND hWnd; HANDLE hProc; DWORD pId; if(hWnd=::FindWindow(OllyDbg,NULL)) //获取窗口句柄 { MessageBox(发现OD); GetWindowThreadProcessId(hWnd,pId);