静态反调试技术详解：PEB结构体及其成员分析.pdfVIP

静态反调试技术

一、PEB

(1)有两种方法获取PEB结构体地址

方法一:moveax,dwordptrfs:[0x30];//fs[0x30]=地址为PEB方法二:

moveax,dwordptrfs:[0x18];//fs[0x18]=地址为TEBmovax,dword

+0+0

ptrds:[eaxx30];ds[eaxx30]=地址为PEB

+0状态

(2)成员BeingDebugged(x2)=1处于调试

示例:IsDebuggerPresent()API获取PEB.BeingDebugged值来判断是否处于调试状态

+0

(3)成员Ldr(xC)此方法仅在winxp中有效

调试进程时，堆内存中会出现一些特殊标识，标识它正处于调试状态。其中最醒目的是，未

使用的堆内存区域全部填充0xEEFEEEFE

PEBL___

.dr成员是指向堆内存中创建的结构体的指针PEBLDRDATA

+0

(4)进程堆(x18)此方法仅在winxp中