反调试与反附加技术原理及对抗策略.pdfVIP

反调试

反附加：

DebugActiveProcess附加进程调试，最终会调用DebugBreakPoint使程序触发异常暂停下来。

这种方式很容易掉，我们来看一下在OD下是无效的77294D10｜end▁of▁sentence｜

DebugActiveProcess

到底做了哪些事情？｜end▁of▁sentence｜

在目标进程创建一个线程，目标线程最后调用

DebugBreakPoint触发异常暂停下来。call

ntdll.DbgUiIssueRemoteBreakin//这个断点，这个断点是怎么实现的，创建一个线程，完

了，线程去执行了一个功能，这个功能触发了

int3断下来了。｜end▁of▁sentence｜

//NtClose｜end▁of▁sentence｜

DebugActiveProcess‑‑‑ntdll.DbgUiDebugActiveProcess‑‑调用

ntdll.DbgUiIssueRemoteBreakin