反反调试记录
-
_EPROCESS->Peb(_PEB)->BeingDebugged 置0
-
_EPROCESS->Peb(_PEB)->NtGlobalFlag 置0
-
_EPROCESS->Peb(_PEB)->ProcessHeap as ProcessHeap
调用 IsWindowsVistaOrGreater
如果大于等于 windows vista as FlagsOffset = 0x70
as ForceFlagsOffset = 0x74
否则
as ProcessHeapOffset = 0x14
as ForceFlagsOffset = 0x18
*(PULONG)(*ProcessHeap + FlagsOffset) < 2 就没有再调试 所以置 HEAP_GROWABLE(0x2)
*(PULONG)(*ProcessHeap + ForceFlagsOffset) == 0 就没有再调试 所以置 0
-
对付目标不断自己产生异常的问题 记录目标触发异常的地址 列出来 可以选择忽略目标异常地址 即可
-
NtQueryInformationProcess -> ProcessDebugFlags 原理检查 _EPROCESS->Flags.NoDebugInherit 1 调试 0 未调试
【推荐】国内首个AI IDE,深度理解中文开发场景,立即下载体验Trae
【推荐】编程新体验,更懂你的AI,立即体验豆包MarsCode编程助手
【推荐】抖音旗下AI助手豆包,你的智能百科全书,全免费不限次数
【推荐】轻量又高性能的 SSH 工具 IShell:AI 加持,快人一步
· TypeScript + Deepseek 打造卜卦网站:技术与玄学的结合
· 阿里巴巴 QwQ-32B真的超越了 DeepSeek R-1吗?
· 【译】Visual Studio 中新的强大生产力特性
· 10年+ .NET Coder 心语 ── 封装的思维:从隐藏、稳定开始理解其本质意义
· 【设计模式】告别冗长if-else语句:使用策略模式优化代码结构