如何阻止Application发现自己被中断到debugger

Windows内核调试

如何阻止Application发现自己被中断到debugger

Coding 2008-08-11, 17:16 下午

我记得有个函数调用是可以知道自己是否正在被调试，不过名字我忘记了。谁知道？

不过我正好要做相反的事情，有个应用程序每次都会检查自己是不是正在被调试，一旦是它就退出了。

我只有这个应用程序的可执行文件，不知道有没有什么办法能够欺骗应用程序，让他无法知道。

恩，我的目的不是去破解它，只是这个程序会调用我写的一个dll,我只想去调试我自己的dll

谢谢

Re: 如何阻止Application发现自己被中断到debugger

手语 2008-08-11, 18:43 下午
这要看被调试程序用什么方法判断是否被调试。

你要找的API是不是IsDebuggerPresent()？
如果被调试程序用这个方法判断那就很好办了。
这个函数是通过判断PEB中的一个标志项来判断的，所以反转一下那个标志就能搞定了。

0:001> dt _PEB 7ffdb000
ntdll!_PEB
+0x000 InheritedAddressSpace : 0 ''
+0x001 ReadImageFileExecOptions : 0 ''
+0x002 BeingDebugged : 0x1 '' <-- 就是它，1 byte
+0x003 SpareBool : 0 ''
+0x004 Mutant : 0xffffffff
......

如果被调试程序用的是其他方法，那就要具体问题具体分析了。
曾经听说有的软件通过判断父进程是否是“explorer.exe”或“cmd.exe”来检测调试器。汗...

鸿鹄安知燕雀之志

Re: 如何阻止Application发现自己被中断到debugger

Coding 2008-08-12, 09:18 上午
恩，解决了部分问题，的确调用了这个函数来检查，不过似乎不止于此。我的调试环境是Windbg双机kernel mode调试(因为还需要同时调试driver)，在这个情况下BeingDebugged一直都是0，我想应该还检查了另外的什么东西，比如Kernel的调试引擎是否开启，被调试的东西就是Windows Media Player,所以我想不太会有很诡异的方法来检测调试器。

Re: 如何阻止Application发现自己被中断到debugger

手语 2008-08-12, 11:09 上午
再提供两种检查调试器的方法，请考虑相应的应对办法。

1. 把程序的主逻辑移到 user defined unhandled exception filter 函数中，然后通过在程序的开始认为引发异常来启动主逻辑。这样如果程序由调试器启动，就不会进入逻辑代码，可能会导致程序直接结束。

2. A ring 3 debugger can be detected by calling NtQueryInformationProcess in ntdll.dll from another ring3 app with the constant ProcessDebugPort (0x07h). This function takes a pointer also as an argument, to store its return value. If it returns anything other than a zero, it means that process in question is operating as a debugger.
Windows call NtQueryInformationProcess with ProcessInformationClass is 7 (DebugPort) to detect a app is being debugged. For example: open a exe with Visual studio or OllyDbg, open TaskManager, and kill the debugged exe, Windows will warning: "Program being debugged" or "Access denied".

如果内核调试器是softice那情况可能更复杂一些。

鸿鹄安知燕雀之志