反调试技术：DebuctiveProcess与DbreakPoint实现及应对策略.pdfVIP

反调试

反附加：

DebugActiveProcess附加进程调试，最终会调用DbgBreakPoint使程序触发异常暂停下来。

这种方式很容易掉，我们来看一下在OD下是无效的77294D10

DebugActiveProcess到底做了哪些事情？

在目标进程创建一个线程，目标线程最后调用DbgBreakPoint触发异常暂停下来。

callntdll.DbgUiIssueRemoteBreakin//这个断点，这个断点是怎么实现的，创建一

个线程，完了，线程去执行了一个功能，这个功能触发了int3断下来了。

//NtClose

DebugActiveProcess‑‑‑ntdll.DbgUiDebugActiveProcess‑‑调用ntdll.DbgUiIssueRemoteBreakin//推送

ntdll.DbgUiRemoteBreakin‑‑ntdll.ZwCreateThreadEx

DbgUiIssueR