反调试技巧总结-原理和实现

<div class="blogpost-body" id="cnblogs_post_body">
 来源：<a href="http://bbs.pediy.com/showthread.php?t=70470" title="http://bbs.pediy.com/showthread.php?t=70470">http://bbs.pediy.com/showthread.php?t=70470</a> 作者：shellwolf 时间：2008-08-10,22:40:53
 
 
<div>
 一、前言
 前段学习反调试和vc，写了antidebug-tester，经常会收到message希望交流或索要实现代码，我都没有回复。其实代码已经在编程版提供了1个版本，另其多是vc内嵌asm写的，对cracker而言，只要反下就知道了。我想代码其实意义不是很大，重要的是理解和运用。
 做个简单的总结，说明下实现原理和实现方法。也算回复了那些给我发Message的朋友。
 
 部分代码和参考资料来源：
 1、<<脱壳的艺术>> hawking
 2、<<windows anti-debugger reference>> Angeljyt
 3、http://bbs.pediy.com
 4、<<软件加密技术内幕>> 看雪学院
 5、<<ANTI-UNPACKER TRICKS>> Peter Ferrie
 
 我将反调试技巧按行为分为两大类，一类为检测，另一类为攻击，每类中按操作对象又分了五个小类：
 1、通用调试器 包括所有调试器的通用检测方法
 2、特定调试器 包括OD、IDA等调试器，也包括相关插件，也包括虚拟环境
 3、断点 包括内存断点、普通断点、硬件断点检测
 4、单步和跟踪 主要针对单步跟踪调试
 5、补丁 包括文件补丁和内存补丁
 反调试函数前缀
 检测 攻击
 通用调试器 FD_ AD_
 特定调试器 FS_ AS_
 断点 FB_ AB_
 单步和跟踪 FT_ AT_
 补丁 FP_ AP_
 
 
 声明：
 
 1、本文多数都是摘录和翻译，我只是重新组合并翻译，不会有人告侵权吧。里面多是按自己的理解来说明，可能有理解错误，或有更好的实现方法，希望大家帮忙指出错误。
 
 2、我并没有总结完全，上面的部分分类目前还只有很少的函数甚至空白，等待大家和我一起来完善和补充。我坚信如果有扎实的基础知识，丰富的想像力，灵活的运用，就会创造出更多的属于自己的反调试。而最强的反调试，通常都是自己创造的，而不是来自别人的代码。
 
 
 二、查找-通用调试器(FD_)
 函数列表如下，后面会依次说明，需事先说明的是，这些反调试手段多数已家喻户晓，目前有效的不多，多数已可以通过OD的插件顺利通过，如果你想验证它们的有效性，请关闭OD的所有反反调试插件：
</div>
<div class="cnblogs_code">
 <div>
bool
 FD_IsDebuggerPresent(); 
bool
 FD_PEB_BeingDebuggedFlag(); 
bool
 FD_PEB_NtGlobalFlags(); 
bool
 FD_Heap_HeapFlags(); 
bool
 FD_Heap_ForceFlags(); 
bool
 FD_Heap_Tail(); 
bool
 FD_CheckRemoteDebuggerPresent(); 
bool
 FD_NtQueryInfoProc_DbgPort(); 
bool
 FD_NtQueryInfoProc_DbgObjHandle(); 
bool
 FD_NtQueryInfoProc_DbgFlags(); 
bool
 FD_NtQueryInfoProc_SysKrlDbgInfo(); 
bool
 FD_SeDebugPrivilege(); 
bool
 FD_Parent_Process(); 
bool
 FD_DebugObject_NtQueryObject(); 
bool
 FD_Find_Debugger_Window(); 
bool
 FD_Find_Debugger_Process(); 
bool
 FD_Find_Device_Driver(); 
bool
 FD_Excepti