反调试
1. IsDebuggerPresent() 该函数读取当前进程的PEB里BeingDebugged的值用于判断自己是否处于调试状态
BOOL
APIENTRY
IsDebuggerPresent(VOID)
{
return NtCurrentPeb()->BeingDebugged;
}
x86下用windbg查看PEB结构
可知在PEB偏移0x002处获得BeingDebugged
kd> dt _PEB
nt!_PEB
+0x000 InheritedAddressSpace : UChar
+0x001 ReadImageFileExecOptions : UChar
+0x002 BeingDebugged : UChar
+0x003 BitField : UChar
+0x003 ImageUsesLargePages : Pos 0, 1 Bit
+0x003 IsProtectedProcess : Pos 1, 1 Bit
+0x003 IsLegacyProcess : Pos 2, 1 Bit
+0x003 IsImageDynamicallyRelocated : Pos 3, 1 Bit
+0x003 SkipPatchingUser32Forwarders : Pos 4, 1 Bit
+0x003 SpareBits : Pos 5, 3 Bits
+0x004 Mutant : Ptr32 Void
+0x008 ImageBaseAddress : Ptr32 Void
+0x00c Ldr : Ptr32 _PEB_LDR_DATA
+0x010 ProcessParameters : Ptr32 _RTL_USER_PROCESS_PARAMETERS
+0x014 SubSystemData : Ptr32 Void
+0x018 ProcessHeap : Ptr32 Void
......
PEB（进程环境块）结构体存储在TEB（线程环境块）中，
TEB结构如下
kd> dt _teb
nt!_TEB
+0x000 NtTib : _NT_TIB
+0x01c EnvironmentPointer : Ptr32 Void
+0x020 ClientId : _CLIENT_ID
+0x028 ActiveRpcHandle : Ptr32 Void
+0x02c ThreadLocalStoragePointer : Ptr32 Void
+0x030 ProcessEnvironmentBlock : Ptr32 _PEB
+0x034 LastErrorValue : Uint4B
+0x038 CountOfOwnedCriticalSections : Uint4B
+0x03c CsrClientThread : Ptr32 Void
+0x040 Win32ThreadInfo : Ptr32 Void
+0x044 User32Reserved : [26] Uint4B
+0x0ac UserReserved : [5] Uint4B
+0x0c0 WOW32Reserved : Ptr32 Void
......
其中_NT_TIB结构如下
kd> dt _NT_TIB
nt!_NT_TIB
+0x000 ExceptionList : Ptr32 _EXCEPTION_REGISTRATION_RECORD
+0x004 StackBase : Ptr32 Void
+0x008 StackLimit : Ptr32 Void
+0x00c SubSystemTib : Ptr32 Void
+0x010 FiberData : Ptr32 Void
+0x010 Version : Uint4B
+0x014 ArbitraryUserPointer : Ptr32 Void
+0x018 Self : Ptr32 _NT_TIB
......
其中+0x018 Self 是一个指向TIB的指针.同时也是TEB结构体的首地址
FS段寄存器中 地址FS：0指向当前线程TEB。
当我们需要TEB地址时，可以利用 mov eax， fs:[0x18]得到。且从上文可知在TEB偏移0x30处得到PEB地址。
固可以通过fs:[30h}获得当前进程的PEB。
BOOL IsDebuggerPresentPEB()
{
#if defined (ENV64BIT)
PPEB pPeb = (PPEB)__readgsqword(0x60);
#elif defined(ENV32BIT)
PPEB pPeb = (PPEB)__readfsdword(0x30);
#endif
if (pPeb->BeingDebugged == 1)
return TRUE;
else
return FALSE;
}
内联汇编版本
BOOL MYIsDebuggerPresent()
｛
__asm{
mov eax， fs:[0x30]
movz eax， byte ptr [eax+]
}
｝
2. __readgsqword(0x60)得到指向PEB64的指针，__readfsdword(0x30)得到指向PEB32的指针，pPeb->BeingDebugged .
3. CheckRemoteDebuggerPresent(GetCurrentProcess(), &bIsDbgPresent)
4. BOOL HeapFlags()，64位下，得到指向PEB的地址加上0x30的偏移得到pProcessHeap，由于pHeapFlags在不同版本的操作系统中位置不一，需要IsWindowsVistaOrGreater()判断大概版本，高于VISTA的版本pProcessHeap解星号加上0x70的偏移得到pHeapFlags，低于高于VISTA的版本pProcessHeap解星号加上0x14的偏移得到pHeapFlags
32位下，得到指向PEB的地址加上0x18的偏移得到pProcessHeap，由于pHeapFlags在不同版本的操作系统中位置不一，需要IsWindowsVistaOrGreater()判断大概版本，高于VISTA的版本pProcessHeap解星号加上0x40的偏移得到pHeapFlags，低于VISTA的版本pProcessHeap解星号加上0x0C的偏移得到pHeapFlags。判断*pHeapFlags > 2 是否为真
5. __readgsqword(0x30)得到TEB64指针.*(DWORD64*)(_teb64 + 0x60)得到PEB64结构体，PEB64取偏移0xBC得到NTGlobalFlag。
__readfsdword(0x18)得到TEB32指针.*(DWORD64*)(_teb32 + 0x30)得到PEB32结构体，PEB32取偏移0x68得到NTGlobalFlag
假如是wow64下的__readfsdword(0x18)得到TEB64指针.*(DWORD64*)(_teb64 + 0x60)得到PEB64结构体，PEB64取偏移0xBC得到NTGlobalFlag当进程被调试时，NTGlobalFlag会被置为FLG_HEAP_ENABLE_TAIL_CHECK (0x10), FLG_HEAP_ENABLE_FREE_CHECK(0x20), 和 FLG_HEAP_VALIDATE_PARAMETERS(0x40)即0x70
6. BOOL HeapForceFlags()，64位下，得到指向PEB的地址加上0x30的偏移得到pProcessHeap，由于pHeapForceFlags在不同版本的操作系统中位置不一，需要IsWindowsVistaOrGreater()判断大概版本，高于VISTA的版本pProcessHeap解星号加上0x74的偏移得到pHeapFlags，低于高于VISTA的版本pProcessHeap解星号加上0x18的偏移得到pHeapFlags
32位下，得到指向PEB的地址加上0x18的偏移得到pProcessHeap，由于pHeapForceFlags在不同版本的操作系统中位置不一，需要IsWindowsVistaOrGreater()判断大概版本，高于VISTA的版本pProcessHeap解星号加上0x44的偏移得到pHeapForceFlags，低于VISTA的版本pProcessHeap解星号加上0x10的偏移得到pHeapFlags。判断*pHeapFlags > 2 是否为真
7. 通过LoadLibrary 得到ntdll的句柄hNtdll，通过GetProcAddress从ntdll模块中得到NtQueryInformationProcess const int ProcessDbgPort = 7;
NtQueryInfoProcess(GetCurrentProcess(),
ProcessDbgPort,
&IsRemotePresent,
dProcessInformationLength,
NULL) 当IsRemotePresent不等于0时 进程被调试
8. 通过LoadLibrary 得到ntdll的句柄hNtdll，通过GetProcAddress从ntdll模块中得到NtQueryInformationProcess const int ProcessDebugFlags = 0x1f;
NtQueryInfoProcess(GetCurrentProcess(),
ProcessDebugFlags,
&NoDebugInherit,
sizeof(DWORD),
NULL);NoDebugInherit精确等于0时，被调试
9. 通过LoadLibrary 得到ntdll的句柄hNtdll，通过GetProcAddress从ntdll模块中得到NtQueryInformationProcess const int ProcessDebugObjectHandle = 0x1e;NtQueryInfoProcess(GetCurrentProcess(), ProcessDebugObjectHandle, &hDebugObject, dProcessInformationLength, NULL);hDebugObject不为空
10. 通过GetProcAddress从ntdll模块中得到NtSetInformationThread将ThreadInformationClass设置为0x11(ThreadHideFromDebugger)，用于隐藏调试器中的线程，调用之后调试器与该线程不再关联 NtSetInformationThread(GetCurrentThread(), ThreadHideFromDebugger, NULL, 0);当函数成功时，被调试
11. CloseHandle_InvalideHandle()当进程被调试时，调用CloseHandle并传入无效句柄，会得到一个STATUS_INVALID_HANDLE的异常，函数返回TRUE。__try ｛NtClose_((HANDLE)0x99999999);}__except (EXCEPTION_EXECUTE_HANDLER) {return TRUE;}
12. UnhandledExcepFilterTest () 设置一个SetUnhandledExceptionFilter。然后利用RaiseException提出一个异常交给异常处理机制 由于没有设置相应的异常处理程序 当进程被调试时，会通知进程的调试器，而不会调用UnhandledExceptionFilter
13. OutputDebugStringAPI（），只在XP或2000中适用。OutputDebugString()用于输出字符串给调试器显示。若GetLastError被置为Val，说明调试器与进程关联。
14. HardwareBreakpoints()，初始化PCONTEXT ctx，将ctx->ContextFlags = CONTEXT_DEBUG_REGISTERS。通过GetThreadContext(GetCurrentThread(), ctx)得到寄存器信息，硬件断点，用Dr0-Dr7七个寄存器控制。Dr1-Dr3存放了断点地址，若有一个寄存器存放了断点地址说明 被调试
15. SoftwareBreakpoints(),NOTE this check might not work on x64 because of alignment 0xCC bytes.软件断点 INT 3在32位下被编译成0xCC，建立两个函数A B，在B中调用A。计算A B地址之间的偏移，将A强制类型转换成PUCHAR型放置在变量v1中， 两个函数地址之间的偏移为长度 以字节为单位查询是否存在0xCC
16. Interrupt_0x2d()，利AddVectoredExceptionHandler()注册一个定向的情况处理，__int2d()是一个用asm写的函数，利用指令 int 2dh测试进程是否被调试，当进程没有关联调试器，会返回一个异常，进入我们设置的定向情况处理。无需手动将Rip或Eip++
17. Interrupt_3()，利AddVectoredExceptionHandler()注册一个定向的情况处理，__debugbreak() Microsoft专用将在代码中引起断点，并在其中提示用户运行调试程序。当进程没有关联调试器，会返回一个异常，当情况为异常断点时需要我们手动将Rip或Eip++
18. MemoryBreakpoints_PageGuard(),动态分配大小为SystemInfo.dwPageSize的一块内存，并将0xC3（ret）写入内存中，最后将这块内存VirtualProtect属性置为PAGE_EXECUTE_READWRITE | PAGE_GUARD（可读写，页面保护）。以函数的形式调用这块内存的首地址，观察是否抛出异常。线程试图访问具备PAGE_GUARD属性的内存。该内存可以被访问，但同时EXCEPTION_GUARD_PAGE异常会被抛出 ，此时进程没有被调试。、
19. CanOpenCsrss()，当进程被调试且被提权到administrator时，该进程可以打开Csrss进程
20. NtYieldExecutionAPI()
21. NtQueryObject_ObjectTypeInformation（）
22. NtQueryObject_ObjectAllTypesInformation（）
23. SetHandleInformatiom_ProtectedHandle(),创建了一个互斥体对象，利用SetHandleInformation将我们互斥体对象句柄标志改为HANDLE_FLAG_PROTECT_FROM_CLOSE，最后关闭句柄，会抛出异常HANDLE_FLAG_PROTECT_FROM_CLOSE