了解 C/C++ 中 Windows / MSVC 的一些 Antidebug 内联汇编

Question

我正在尝试了解https://github.com/nemesisqp/al-khaser/blob/0f74c40dde8ba060807e031271f81457a187fa08/DebuggerDetection.cpp#L603中的一些反调试器功能

---

会

__asm {
    mov eax, fs:[30h]
    mov al, [eax + 2h]
    mov IsDbg, al
}

功能相同

__asm mov IsDbg, [fs:[0x30] + 0x2]

如果没有，为什么不呢？

另外，如何将其转换为纯 C/C++？如何获取线程信息（特别是 fs:[30h]）？

---

并且会

BOOL Int2DCheck()
{
    // The Int2DCheck function will check to see if a debugger
    // is attached to the current process. It does this by setting up
    // SEH and using the Int 2D instruction which will only cause an
    // exception if there is no debugger. Also when used in OllyDBG
    // it will skip a byte in the disassembly and will create

    __try
    {
        __asm
        {
            int 2dh
            xor eax, eax
            add eax, 2
        }
    }
    __except(EXCEPTION_EXECUTE_HANDLER)
    {
        return false;
    }

    return true;
}

同

__try
{
    __asm
    {
        xor eax, eax
        int 0x2d
        inc eax
    }
}
__except(EXCEPTION_EXECUTE_HANDLER)
{
    return false;
}

如果没有，为什么不呢？

Answer 1

这两种技术都比较古老。我认为它们在 2000 年代初（如果不是 90 年代后期的话）就已经在使用了。

---

第一个使用 Thread-Information Block (TIB) 驻留在 fs:[0] 的事实用于 Windows 进程（至少在 WinXP 之后...我从那时起就没有看过）。

TIB 中的偏移量 0x30 是指向 Process Environment Block (PEB) 的指针。从该链接中，我们看到 PEB 中的偏移量 0x2 是“正在调试”标志。这是 API 调用 IsDebuggerPresent 读取的值。

---

第二个例子演示了两种检测机制：

This answer 详细介绍了 int 0x2d 在 Windows 上的功能。目前，我们只注意到它是 Windows 内置调试​​支持的一部分。

更简单的机制是这样的：Windows 中的结构化异常处理会捕获基于语言的异常无法捕获的东西，因为它与操作系统的异常处理框架挂钩，而不是语言运行时的。

所以int 0x2d 会产生故障；存在的任何调试器都将处理该故障，并且由于此中断用于调试，因此调试器将照常返回控制流。因此，不会调用结构化异常处理机制......因此永远不会达到“捕获”，并且函数的返回值将因此改变。后来的 SEH 感知调试器通过告诉调试器将异常传递给程序，在这种情况下 SEH 会触发，从而轻松地击败了这种方法。

另一种机制基于 int 0x2d 由 windows 处理的方式的细节，显然 OllyDbg （一个曾经非常出色的调试器，已经不复存在并返回充满恶意软件）没有完美地模拟。我个人不熟悉这种方法，所以我会引导你到链接的答案。

就上下文而言，反调试器技术的早期研究是对特别流行的调试工具的研究。无论您从哪个文档中挖掘出这些技术，毫无疑问，您还会看到专门用于检测 NuMega Softice 的文档——可能是第一个用于 Windows（大约 NT 4.0）的内核调试器。派生我的句柄的指令序列被用作检测此调试器的方法。

感谢您的记忆之旅；）