反调试——3——反调试手段 反调试的方法有非常非常多，这里介绍一些比较常见的。 通过CloseHandle() 通过CloseHandle来试图关闭一个不存在的句柄，如果程序处于调试状态就会引发异常，否则没有任何反应。 这种机制在User下看起来就是调用一个CloseHandle，但是其实它的内部逻 ...
转载
2021-08-30 17:43:00
477阅读
2评论
反调试——4——硬件断点反调试 首先需要明白什么是硬件断点，硬件断点其实是通过一个调试寄存器来实现的，这个调试寄存器是CPU上的东西，就是前面截图的这个东西，叫做Debug Registers，在intel手册卷3 17章第二节里面）。 DR0-DR3为设置断点的地址，DR4和DR5为保留内容。DR ...
转载
2021-10-01 02:18:00
771阅读
2评论
一、32位系统
nt!_PEB
+0x000 InheritedAddressSpace : UChar
+0x001 ReadImageFileExecOptions : UChar
+0x002 BeingDebugged : UChar isDbg值，8字节
+0x003 BitField : UChar
+0x003 ImageUsesL
Linux下的反调试技术 如何防止自己的程序被调试器跟踪，这是一个很有趣的话题，也是反逆向工程中的一个重要话题。这里简单介绍一下Linux平台上的反调试技术。（本文主要参考：http://blog.txipinet.com/2006/10/05/37-tecnicas-anti-debugging-sencillas-para-gnu-linux/。做人要厚道，转载请指明出处！）
转载
2016-01-01 10:29:00
103阅读
反调试——6——附加进程反调试 经常在给调试器附加进程时进程直接崩溃了，比如说用比较常见的ollydbg没有加任何处理来附加DNF就会直接崩溃。 附加调试流程 debugger（调试器）在调用DebugActiveProcess来附加进程后，进程中有多少个线程，调试器就会发送多少个CREATE_TH ...
转载
2021-10-09 21:31:00
897阅读
2评论
一、x86下IsDebuggerPresent反调试以及反反调试
1、反调试
进程结构体PEB偏移0x2处是一个标志位，当当前程序在调试状态下时，这个标志位就会被改变：
nt!_PEB
+0x000 InheritedAddressSpace : UChar
+0x001 ReadImageFileExecOptions : UChar
+0x002 BeingDebugged : UCha
原理 当一个程序被调试时，有两种情况：“打开” 和 “附加” ，分别调用 CreateProcess 和 DebugActivePr...
原创
2022-07-19 10:10:29
86阅读
网络安全——安卓逆向-反调试与绕过反调试（一）1024节日快乐！！前言在谈到网络安全时，其中反调试在代码保护中扮演着很重要的角色，虽然不能完全阻止攻击者，但是还是能加大攻击者的时间成本，一般与加壳结合使用。 反调试可以分为两类：一类是检测，另一类是攻击，前者是去想各种办法去检测程序是否在被调试，如果正在被调试的话做出一些“反”的举措，比如退出等等，后者是采用攻击的方法，就是想办法让调试器不能正常工
反调试1.自己ptrace自己代码非常简单，在so中加上这行代码即可：1ptrace(PTRACE_TRACEME, 0, 0, 0);其中PTRACE_TRACEME代表：本进程被其父进程所跟踪。一个进程只能被ptrace一次，通常在调试的时候都会attach被调试应用的进程，如果我们先占坑，父进程attach自己，那么其他的附加调试就会失败。2.检测Tracerpid的值在自己的应用中的nat
0x00 前言 Android应用的加固和对抗不断升级，单纯的静态加固效果已无法满足需求，所以出现了隐藏方法加固，运行时动态恢复和反调试等方法来对抗，本文通过实例来分析有哪些对抗和反调试手段。 0x01 对抗反编译 首先使用apktool进行反编译，发现该应用使用的加固方式会让apktool卡死，通过调试apktool源码（如何调试apktool可参见前文《Android应用资源文件格
反调试1.自己ptrace自己代码非常简单，在so中加上这行代码即可：ptrace(PTRACE_TRACEME, 0, 0, 0); 其中PTRACE_TRACEME代表：本进程被其父进程所跟踪。 一个进程只能被ptrace一次，通常在调试的时候都会attach被调试应用的进程，如果我们先占坑，父进程attach自己，那么其他的附加调试就会失败。2.检测Tracerpid的值在自己的应
一、前言 在前一篇文章中详细介绍了 Android现阶段可以采用的几种反调试方案策略，我们在破解逆向应用的时候，一般现在第一步都回去解决反调试，不然后续步骤无法进行，当然如果你是静态分析的话获取就没必要了。但是有时候必须要借助动态调试方可破解，就需要进行操作了。现阶段反调试策略主要包括以下几种方式： 第一、自己附加进程，先占坑，ptrace(PTRACE_TRACEME, 0, 0, 0)！第二
Android反调试1.调试端口检测读取/proc/net/tcp，查找IDA远程调试所用的23946端口，若发现说明进程正在被IDA调试。void CheckPort23946ByTcp()
{
FILE* pfile=NULL;
char buf[0x1000]={0};
// 执行命令
char* strCatTcp= "cat /proc/net/tcp |
和 IsDebuggerPresent 差不多简单的反调试技术 ? BOOL bIsDbgPresent = FALSE;if(C...
原创
2022-07-19 10:11:47
77阅读
视频制作不易，求三联支持，拜谢~添加公众账号“极安御信安全研究院”，报暗号：“资料” 即可领取视频相关工具、源码、学习资料，和其他逆向工程免费课。
原创
2022-06-16 23:48:43
475阅读
背景 STARTUPINFO 反调试: 程序启动时默认会通过 explorer 资源管理
procedure TForm1.FormCreate(Sender: TObject);var isDebuggerPresent: function:Boolean; DllModule: THandle;begin DllModule := Loa
好久没有更新博客了，主要是忙项目的事，今日总结一下在Android中常遇到的反调试方法，一来帮助需要之人，二来加深自己的理解。反调试在代码保护中扮演着很重要的角色，虽然不能完全阻止攻击者，但是还是能加大攻击者的时间成本，一般与加壳结合使用，核心还是加壳部分。反调试可以分为两类：一类是检测，另一类是攻击，前者是去想各种办法去检测程序是否在被调试，如果正在被调试的话做出一些“反”的举措，比如退出等等，
