在调试进程时 ， 进程的 EPROCESS 的 Protection 成员 为 1 ， 默认情况下是 0 。
可以通过这个特征判断是否处于调试状态。当然这个不是官方的方法，但是用来对已知的进程（自己的）做反调试足以。