反调试技术

Day 26: 反调试技术

反调试（Anti-Debug）是软件保护的重要手段，用于检测和阻止调试器的附加。理解这些技术对于逆向工程和恶意软件分析至关重要。本章介绍常见的反调试方法及其绕过技术。

1. Windows 反调试技术

1.1 IsDebuggerPresent

最简单直接的检测方法：

#include<windows.h>voidcheck_debugger(){if(IsDebuggerPresent()){printf("检测到调试器！\n");ExitProcess(1);}}

底层实现是读取 PEB（Process Environment Block）的 BeingDebugged 字段：

; 32位 mov eax, dword ptr fs:[0x30] ; PEB 地址 movzx eax, byte ptr [eax+2] ; BeingDebugged test eax, eax jnz detected ; 64位 mov rax, qword ptr gs:[0x60] ; PEB 地址 movzx eax, byte ptr [rax+2] ; BeingDebugged test eax, eax jnz detected

绕过方法：

1. 在调试器中修改 PEB.BeingDebugged = 0
2. Hook IsDebuggerPresent 返回 FALSE
3. 使用 x64dbg 的 ScyllaHide 插件

1.2 CheckRemoteDebuggerPresent

检测是否有远程调试器：

BOOL isRemoteDebugger;CheckRemoteDebuggerPresent(GetCurrentProcess(),&isRemoteDebugger);if(isRemoteDebugger){ExitProcess(1);}

1.3 NtQueryInformationProcess

更底层的检测：

typedefNTSTATUS(NTAPI*pNtQueryInformationProcess)(HANDLE,PROCESSINFOCLASS,PVOID,ULONG,PULONG);voidcheck_debug_port(){HMODULE ntdll=GetModuleHandle("ntdll.dll");pNtQueryInformationProcess NtQIP=(pNtQueryInformationProcess)GetProcAddress(ntdll,"NtQueryInformationProcess");DWORD_PTR debugPort=0;NTSTATUS status=NtQIP(GetCurrentProcess(),ProcessDebugPort,// 7&debugPort,sizeof(debugPort),NULL);if(debugPort!=0){// 被调试}}

还可以查询ProcessDebugObjectHandle（0x1E）和ProcessDebugFlags（0x1F）。

1.4 PEB 标志检测

// 检测 NtGlobalFlag// 被调试时，NtGlobalFlag 包含 0x70 (FLG_HEAP_ENABLE_TAIL_CHECK |// FLG_HEAP_ENABLE_FREE_CHECK |// FLG_HEAP_VALIDATE_PARAMETERS)voidcheck_ntglobalflag(){PDWORD pNtGlobalFlag;#ifdef_WIN64pNtGlobalFlag=(PDWORD)(__readgsqword(0x60)+0xBC);#elsepNtGlobalFlag=(PDWORD)(__readfsdword(0x30)+0x68);#endifif(*pNtGlobalFlag&0x70){// 被调试}}

1.5 堆标志检测

调试器会修改堆的标志：

voidcheck_heap_flags(){PDWORD heapFlags,forceFlags;PVOID heap=GetProcessHeap();#ifdef_WIN64heapFlags=(PDWORD)((PBYTE)heap+0x70);forceFlags=(PDWORD)((PBYTE)heap+0x74);#elseheapFlags=(PDWORD)((PBYTE)heap+0x40);forceFlags=(PDWORD)((PBYTE)heap+0x44);#endifif(*heapFlags&0x50000062||*forceFlags!=0){// 被调试}}

1.6 时间检测

调试时单步执行会导致时间延长：

voidtiming_check(){DWORD t1=GetTickCount();// 一些代码for(inti=0;i<1000;i++){// 简单操作}DWORD t2=GetTickCount();if(t2-t1>100){// 正常应该很快// 可能被调试}}// 更精确的时间检测voidrdtsc_check(){unsignedlonglongt1,t2;t1=__rdtsc();// 代码t2=__rdtsc();if(t2-t1>10000000){// 可能被调试}}

1.7 硬件断点检测

检测调试寄存器：

voidcheck_hardware_breakpoints(){CONTEXT ctx={0};ctx.ContextFlags=CONTEXT_DEBUG_REGISTERS;GetThreadContext(GetCurrentThread(),&ctx);if(ctx.Dr0||ctx.Dr1||ctx.Dr2||ctx.Dr3){// 存在硬件断点}}

2. Linux 反调试技术

2.1 ptrace 检测

最常用的 Linux 反调试方法：

#include<sys/ptrace.h>voidanti_debug(){if(ptrace(PTRACE_TRACEME,0,NULL,NULL)==-1){// 已被调试（一个进程只能被 trace 一次）printf("检测到调试器！\n");exit(1);}}

绕过方法：

1. Hook ptrace 系统调用
2. 使用 LD_PRELOAD 替换 ptrace
3. 修改内核使 ptrace 总是成功

// LD_PRELOAD 绕过// fake_ptrace.clongptrace(intrequest,...){return0;// 总是返回成功}// 编译: gcc -shared -fPIC -o fake_ptrace.so fake_ptrace.c// 使用: LD_PRELOAD=./fake_ptrace.so ./target

2.2 /proc/self/status 检测

#include<stdio.h>#include<stdlib.h>#include<string.h>intcheck_tracer_pid(){FILE*f=fopen("/proc/self/status","r");if(!f)return0;charline[256];while(fgets(line,sizeof(line),f)){if(strncmp(line,"TracerPid:",10)==0){intpid=atoi(line+10);fclose(f);returnpid!=0;// 非0表示被调试}}fclose(f);return0;}

2.3 父进程检测

正常程序的父进程通常是 shell，而 GDB 启动的程序父进程是 gdb：

#include<unistd.h>intcheck_parent(){charpath[256];snprintf(path,sizeof(path),"/proc/%d/cmdline",getppid());FILE*f=fopen(path,"r");if(f){charcmdline[256];fgets(cmdline,sizeof(cmdline),f);fclose(f);if(strstr(cmdline,"gdb")||strstr(cmdline,"strace")){return1;// 父进程是调试器}}return0;}

2.4 时间检测

#include<time.h>voidtiming_check(){structtimespect1,t2;clock_gettime(CLOCK_MONOTONIC,&t1);// 一些代码volatileintx=0;for(inti=0;i<10000;i++)x++;clock_gettime(CLOCK_MONOTONIC,&t2);longdiff=(t2.tv_sec-t1.tv_sec)*1000000000+(t2.tv_nsec-t1.tv_nsec);if(diff>1000000){// 超过 1ms// 可能被调试}}

3. 绕过技术汇总

3.1 静态修补

直接修改二进制文件，NOP 掉检测代码：

; 原始代码 call IsDebuggerPresent test eax, eax jnz exit_program ; 修补后 nop nop nop nop nop xor eax, eax ; 强制 eax = 0 nop nop

3.2 动态修改

在调试器中修改内存/寄存器：

x64dbg: - 在 IsDebuggerPresent 返回处设断点 - 将 EAX 改为 0 - 或修改跳转条件

3.3 使用反反调试插件

x64dbg - ScyllaHide:

• 自动处理常见反调试
• 支持 PEB 修补、hook 等

GDB - 使用脚本:

# .gdbinitcatch syscall ptrace commandsset$rax=0continueend

4. 对抗策略

4.1 攻击者视角（绕过）

1. 识别使用的反调试技术
2. 选择合适的绕过方法
3. 自动化处理常见检测

4.2 防御者视角（加固）

1. 使用多种检测方法
2. 在多处进行检测
3. 检测被触发时的响应不要太明显
4. 结合代码混淆和虚拟化

5. 练习

练习 1：检测调试器

编写一个程序，使用至少 3 种方法检测调试器。

练习 2：绕过 ptrace

在 Linux 上，使用 LD_PRELOAD 绕过 ptrace 检测。

练习 3：分析反调试程序

给定一个带反调试的程序，找出所有检测点并绕过。

本章总结

常见反调试技术：

扩展资源

• Anti-Debug Tricks - 反调试技术百科
• ScyllaHide - x64dbg 反反调试插件
• 《Practical Malware Analysis》第 16 章