游戏的反调试技术的分析报告

月光小丫头

大家在调试一些游戏程序的时候，可能会碰到一些反调试技术，也就是说，被调试的程序可以检测到自己是否被调试器附加了，
如果探知自己正在被调试，肯定是有人试图反汇编啦之类的方法破解自己。为了了解如何破解反调试技术，首先我们来看看反调试技术。

1、Windows API方法
Win32提供了两个API, IsDebuggerPresent和CheckRemoteDebuggerPresent可以用来检测当前进程是否正在被调试，以IsDebuggerPresent函数为例

例子如下：

1. BOOL ret = IsDebuggerPresent();
   
2. printf("ret = %d\n", ret);

复制代码

破解方法很简单，就是在系统里将这两个函数hook掉，让这两个函数一直返回false就可以了，所以这里就不细谈了。

2、使用NtQueryInformationProcess函数
NtQueryInformationProcess函数是一个未公开的API，它的第二个参数可以用来查询进程的调试端口。如果进程被调试，那么返回的端口值会是-1，否则就是其他的值。由于这个函数是一个未公开的函数，因此需要使用LoadLibrary和GetProceAddress的方法获取调用地址，示例代码如下：

1. // 声明一个函数指针。
   
2. typedef NTSTATUS (WINAPI *NtQueryInformationProcessPtr)(
   
3.        HANDLE processHandle,
   
4.        PROCESSINFOCLASS processInformationClass,
   
5.        PVOID processInformation,
   
6.        ULONG processInformationLength,
   
7.        PULONG returnLength);
   
8. 
   
9. bool NtQueryInformationProcessApproach()
   
10. {
    
11.        int debugPort = 0;
    
12.        HMODULE hModule = LoadLibrary(TEXT("Ntdll.dll "));
    
13.        NtQueryInformationProcessPtr NtQueryInformationProcess = (NtQueryInformationProcessPtr)GetProcAddress(hModule, "NtQueryInformationProcess");
    
14.        if ( NtQueryInformationProcess(GetCurrentProcess(), (PROCESSINFOCLASS)7, &debugPort, sizeof(debugPort), NULL) )
    
15.               printf("[ERROR NtQueryInformationProcessApproach] NtQueryInformationProcess failed\n");
    
16.        else
    
17.               return debugPort == -1;
    
18.        return false;
    
19. }

复制代码

3、NtSetInformationThread方法
这个也是使用Windows的一个未公开函数的方法，你可以在当前线程里调用NtSetInformationThread，调用这个函数时，如果在第二个参数里指定0x11这个值（意思是ThreadHideFromDebugger），等于告诉操作系统，将所有附加的调试器统统取消掉。示例代码:

1. // 声明一个函数指针。
   
2. typedef NTSTATUS (*NtSetInformationThreadPtr)(HANDLE threadHandle,
   
3.        THREADINFOCLASS threadInformationClass,
   
4.        PVOID threadInformation,
   
5.        ULONG threadInformationLength);
   
6. 
   
7. void NtSetInformationThreadApproach()
   
8. {
   
9.        HMODULE hModule = LoadLibrary(TEXT("ntdll.dll"));
   
10.        NtSetInformationThreadPtr NtSetInformationThread = (NtSetInformationThreadPtr)GetProcAddress(hModule, "NtSetInformationThread");
    
11.        NtSetInformationThread(GetCurrentThread(), (THREADINFOCLASS)0x11, 0, 0);
    
12. }

复制代码

4、触发异常的方法
这个技术的原理是，首先，进程使用SetUnhandledExceptionFilter函数注册一个未处理异常处理函数A，如果进程没有被调试的话，那么触发一个未处理异常，会导致操作系统将控制权交给先前注册的函数A；而如果进程被调试的话，那么这个未处理异常会被调试器捕捉，这样我们的函数A就没有机会运行了。

这里有一个技巧，就是触发未处理异常的时候，如果跳转回原来代码继续执行，而不是让操作系统关闭进程。方案是在函数A里修改eip的值，因为在函数A的参数_EXCEPTION_POINTERS里，会保存当时触发异常的指令地址，所以在函数A里根据这个指令地址修改寄存器eip的值就可以了，示例代码如下：

1. // 进程要注册的未处理异常处理程序A
   
2. LONG WINAPI MyUnhandledExceptionFilter(struct _EXCEPTION_POINTERS *pei)
   
3. {
   
4.        SetUnhandledExceptionFilter((LPTOP_LEVEL_EXCEPTION_FILTER)
   
5.               pei->ContextRecord->Eax);
   
6.        // 修改寄存器eip的值
   
7.        pei->ContextRecord->Eip += 2;
   
8.        // 告诉操作系统，继续执行进程剩余的指令（指令保存在eip里），而不是关闭进程
   
9.        return EXCEPTION_CONTINUE_EXECUTION;
   
10. }
    
11. 
    
12. bool UnhandledExceptionFilterApproach()
    
13. {
    
14.        SetUnhandledExceptionFilter(MyUnhandledExceptionFilter);
    
15.        __asm
    
16.        {
    
17.               // 将eax清零
    
18.               xor eax, eax
    
19.               // 触发一个除零异常
    
20.               div eax
    
21.        }
    
22.        return false;
    
23. }

复制代码

5、查询进程PEB的BeingDebugged标志位
当进程被调试器所附加的时候，操作系统会自动设置这个标志位，因此在程序里定期查询这个标志位就可以了，例子如下：

1. bool PebIsDebuggedApproach()
   
2. {
   
3.        char result = 0;
   
4.        __asm
   
5.        {
   
6.          // 进程的PEB地址放在fs这个寄存器位置上
   
7.               mov eax, fs:[30h]
   
8.        // 查询BeingDebugged标志位
   
9.               mov al, BYTE PTR [eax + 2]
   
10.               mov result, al
    
11.        }
    
12. 
    
13.        return result != 0;
    
14. }

复制代码

6、查询进程PEB的NtGlobal标志位
跟第二个方法一样，当进程被调试的时候，操作系统除了修改BeingDebugged这个标志位以外，还会修改其他几个地方，其中NtDll中一些控制堆（Heap）操作的函数的标志位就会被修改，因此也可以查询这个标志位，例子如下：

1. bool PebNtGlobalFlagsApproach()
   
2. {
   
3.        int result = 0;
   
4. 
   
5.        __asm
   
6.        {
   
7.          // 进程的PEB
   
8.               mov eax, fs:[30h]
   
9.        // 控制堆操作函数的工作方式的标志位
   
10.               mov eax, [eax + 68h]
    
11.        // 操作系统会加上这些标志位***_HEAP_ENABLE_TAIL_CHECK,
    
12.        // ***_HEAP_ENABLE_FREE_CHECK and ***_HEAP_VALIDATE_PARAMETERS，
    
13.        // 它们的并集就是x70
    
14.        //
    
15.        // 下面的代码相当于C/C++的
    
16.        //     eax = eax & 0x70
    
17.               and eax, 0x70
    
18.               mov result, eax
    
19.        }
    
20.        return result != 0;
    
21. }

复制代码