反反调试记录

  1. _EPROCESS->Peb(_PEB)->BeingDebugged 置0
  2. _EPROCESS->Peb(_PEB)->NtGlobalFlag 置0
  3. _EPROCESS->Peb(_PEB)->ProcessHeap as ProcessHeap

    调用 IsWindowsVistaOrGreater
    如果大于等于 windows vista

    ​ as FlagsOffset = 0x70

    ​ as ForceFlagsOffset = 0x74

    否则

    ​ as ProcessHeapOffset = 0x14

    ​ as ForceFlagsOffset = 0x18

    *(PULONG)(*ProcessHeap + FlagsOffset) < 2 就没有再调试 所以置 HEAP_GROWABLE(0x2)

    *(PULONG)(*ProcessHeap + ForceFlagsOffset) == 0 就没有再调试 所以置 0

  4. 对付目标不断自己产生异常的问题 记录目标触发异常的地址 列出来 可以选择忽略目标异常地址 即可
  5. NtQueryInformationProcess -> ProcessDebugFlags 原理检查 _EPROCESS->Flags.NoDebugInherit 1 调试 0 未调试
  狂客  阅读(9)  评论(0编辑  收藏  举报
相关博文:
阅读排行:
· TypeScript + Deepseek 打造卜卦网站:技术与玄学的结合
· 阿里巴巴 QwQ-32B真的超越了 DeepSeek R-1吗?
· 【译】Visual Studio 中新的强大生产力特性
· 10年+ .NET Coder 心语 ── 封装的思维:从隐藏、稳定开始理解其本质意义
· 【设计模式】告别冗长if-else语句:使用策略模式优化代码结构
点击右上角即可分享
微信分享提示