反动态调试技术与应对手段

鉴于 LitCTF 耻辱性的大败，加上最近一批课程结课，空出了一些时间，因此开始着手系统学习一下反调试了。

反调试简介#

严格意义上的反调试指的是反动态调试。动态调试可以验证静态分析结果和观察程序运行时数据，因此程序开发者通常会设置反调试来检测自己开发的程序是否正在被调试。

不管是什么反调试，都有绕过方法。反调试和反反调试一直处于对抗状态。

Windows 平台反调试#

基于 PEB 的反调试#

PEB（Process Environment Block，进程环境块）是一个存放进程信息的结构体。

官方文档没有完整记录这个结构体的信息，需要通过 WinDbg 或者第三方文档查看。完整结构非常长，我们只会涉及其中一少部分变量。

PEB 的完整信息

1
struct _PEB {
2
0x000 BYTE InheritedAddressSpace;
3
0x001 BYTE ReadImageFileExecOptions;
4
0x002 BYTE BeingDebugged;
5
0x003 BYTE SpareBool;
6
0x004 void* Mutant;
7
0x008 void* ImageBaseAddress;
8
0x00c _PEB_LDR_DATA* Ldr;
9
0x010 _RTL_USER_PROCESS_PARAMETERS* ProcessParameters;
10
0x014 void* SubSystemData;
11
0x018 void* ProcessHeap;
12
0x01c _RTL_CRITICAL_SECTION* FastPebLock;
13
0x020 void* FastPebLockRoutine;
14
0x024 void* FastPebUnlockRoutine;
15
0x028 DWORD EnvironmentUpdateCount;
16
0x02c void* KernelCallbackTable;
17
0x030 DWORD SystemReserved[1];
18
0x034 DWORD ExecuteOptions:2;
19
 // bit offset: 34, len=2
20
0x034 DWORD SpareBits:30;
21
 // bit offset: 34, len=30
22
0x038 _PEB_FREE_BLOCK* FreeList;
23
0x03c DWORD TlsExpansionCounter;
24
0x040 void* TlsBitmap;
25
0x044 DWORD TlsBitmapBits[2];
26
0x04c void* ReadOnlySharedMemoryBase;
27
0x050 void* ReadOnlySharedMemoryHeap;
28
0x054 void** ReadOnlyStaticServerData;
29
0x058 void* AnsiCodePageData;
30
0x05c void* OemCodePageData;
31
0x060 void* UnicodeCaseTableData;
32
0x064 DWORD NumberOfProcessors;
33
0x068 DWORD NtGlobalFlag;
34
0x070 _LARGE_INTEGER CriticalSectionTimeout;
35
0x078 DWORD HeapSegmentReserve;
36
0x07c DWORD HeapSegmentCommit;
37
0x080 DWORD HeapDeCommitTotalFreeThreshold;
38
0x084 DWORD HeapDeCommitFreeBlockThreshold;
39
0x088 DWORD NumberOfHeaps;
40
0x08c DWORD MaximumNumberOfHeaps;
41
0x090 void** ProcessHeaps;
42
0x094 void* GdiSharedHandleTable;
43
0x098 void* ProcessStarterHelper;
44
0x09c DWORD GdiDCAttributeList;
45
0x0a0 void* LoaderLock;
46
0x0a4 DWORD OSMajorVersion;
47
0x0a8 DWORD OSMinorVersion;
48
0x0ac WORD OSBuildNumber;
49
0x0ae WORD OSCSDVersion;
50
0x0b0 DWORD OSPlatformId;
51
0x0b4 DWORD ImageSubsystem;
52
0x0b8 DWORD ImageSubsystemMajorVersion;
53
0x0bc DWORD ImageSubsystemMinorVersion;
54
0x0c0 DWORD ImageProcessAffinityMask;
55
0x0c4 DWORD GdiHandleBuffer[34];
56
0x14c void (*PostProcessInitRoutine)();
57
0x150 void* TlsExpansionBitmap;
58
0x154 DWORD TlsExpansionBitmapBits[32];
59
0x1d4 DWORD SessionId;
60
0x1d8 _ULARGE_INTEGER AppCompatFlags;
61
0x1e0 _ULARGE_INTEGER AppCompatFlagsUser;
62
0x1e8 void* pShimData;
63
0x1ec void* AppCompatInfo;
64
0x1f0 _UNICODE_STRING CSDVersion;
65
0x1f8 void* ActivationContextData;
66
0x1fc void* ProcessAssemblyStorageMap;
67
0x200 void* SystemDefaultActivationContextData;
68
0x204 void* SystemAssemblyStorageMap;
69
0x208 DWORD MinimumStackCommit;
70
} PEB, *PPEB;

PEB 位于 32 位架构的 FS 段和 64 位架构的 GS 段中，偏移量为 0x30。这些内存段中还存有 TEB（Thread Environment Block，线程环境块），包含进程中运行线程的各种信息。进程中的每个线程都对应着一个 TEB 结构体。

TEB 的完整信息

1
typedef struct _TEB
2
{
3
     NT_TIB NtTib;
4
     PVOID EnvironmentPointer;
5
     CLIENT_ID ClientId;
6
     PVOID ActiveRpcHandle;
7
     PVOID ThreadLocalStoragePointer;
8
     PPEB ProcessEnvironmentBlock;
9
     ULONG LastErrorValue;
10
     ULONG CountOfOwnedCriticalSections;
11
     PVOID CsrClientThread;
12
     PVOID Win32ThreadInfo;
13
     ULONG User32Reserved[26];
14
     ULONG UserReserved[5];
15
     PVOID WOW32Reserved;
16
     ULONG CurrentLocale;
17
     ULONG FpSoftwareStatusRegister;
18
     VOID * SystemReserved1[54];
19
     LONG ExceptionCode;
20
     PACTIVATION_CONTEXT_STACK ActivationContextStackPointer;
21
     UCHAR SpareBytes1[36];
22
     ULONG TxFsContext;
23
     GDI_TEB_BATCH GdiTebBatch;
24
     CLIENT_ID RealClientId;
25
     PVOID GdiCachedProcessHandle;
26
     ULONG GdiClientPID;
27
     ULONG GdiClientTID;
28
     PVOID GdiThreadLocalInfo;
29
     ULONG Win32ClientInfo[62];
30
     VOID * glDispatchTable[233];
31
     ULONG glReserved1[29];
32
     PVOID glReserved2;
33
     PVOID glSectionInfo;
34
     PVOID glSection;
35
     PVOID glTable;
36
     PVOID glCurrentRC;
37
     PVOID glContext;
38
     ULONG LastStatusValue;
39
     UNICODE_STRING StaticUnicodeString;
40
     WCHAR StaticUnicodeBuffer[261];
41
     PVOID DeallocationStack;
42
     VOID * TlsSlots[64];
43
     LIST_ENTRY TlsLinks;
44
     PVOID Vdm;
45
     PVOID ReservedForNtRpc;
46
     VOID * DbgSsReserved[2];
47
     ULONG HardErrorMode;
48
     VOID * Instrumentation[9];
49
     GUID ActivityId;
50
     PVOID SubProcessTag;
51
     PVOID EtwLocalData;
52
     PVOID EtwTraceData;
53
     PVOID WinSockData;
54
     ULONG GdiBatchCount;
55
     UCHAR SpareBool0;
56
     UCHAR SpareBool1;
57
     UCHAR SpareBool2;
58
     UCHAR IdealProcessor;
59
     ULONG GuaranteedStackBytes;
60
     PVOID ReservedForPerf;
61
     PVOID ReservedForOle;
62
     ULONG WaitingOnLoaderLock;
63
     PVOID SavedPriorityState;
64
     ULONG SoftPatchPtr1;
65
     PVOID ThreadPoolData;
66
     VOID * * TlsExpansionSlots;
67
     ULONG ImpersonationLocale;
68
     ULONG IsImpersonating;
69
     PVOID NlsCache;
70
     PVOID pShimData;
71
     ULONG HeapVirtualAffinity;
72
     PVOID CurrentTransactionHandle;
73
     PTEB_ACTIVE_FRAME ActiveFrame;
74
     PVOID FlsData;
75
     PVOID PreferredLanguages;
76
     PVOID UserPrefLanguages;
77
     PVOID MergedPrefLanguages;
78
     ULONG MuiImpersonation;
79
     WORD CrossTebFlags;
80
     ULONG SpareCrossTebBits: 16;
81
     WORD SameTebFlags;
82
     ULONG DbgSafeThunkCall: 1;
83
     ULONG DbgInDebugPrint: 1;
84
     ULONG DbgHasFiberData: 1;
85
     ULONG DbgSkipThreadAttach: 1;
86
     ULONG DbgWerInShipAssertCode: 1;
87
     ULONG DbgRanProcessInit: 1;
88
     ULONG DbgClonedThread: 1;
89
     ULONG DbgSuppressDebugMsg: 1;
90
     ULONG SpareSameTebBits: 8;
91
     PVOID TxnScopeEnterCallback;
92
     PVOID TxnScopeExitCallback;
93
     PVOID TxnScopeContext;
94
     ULONG LockCount;
95
     ULONG ProcessRundown;
96
     UINT64 LastSwitchTime;
97
     UINT64 TotalSwitchOutTime;
98
     LARGE_INTEGER WaitReasonBitMap;
99
} TEB, *PTEB;

获取 PEB 结构体的两种办法#

借助 FS 或 GS 段寄存器所指的 TEB 结构体可以轻松获取 PEB 结构体地址，这是因为 TEB 结构体中的 ProcessEnvironmentBlock 成员是指向 PEB 结构体地址的。于是：

直接获取 PEB 地址

1
MOV EAX, DWORD PTR FS: [0x30] ; FS: [0x30]就是PEB地址

先获取 TEB，再通过 TEB.ProcessEnvironmentBlock 获取 PEB 地址

1
MOV EAX, DWORD PTR FS: [0x18] ; FS: [0x18]是TEB地址
2
MOV EAX, DWORD PTR DS: [EAX+0x30] ; DS: [EAX+0x30]是PEB地址

调试检测手段#

BeingDebugged

当进程处于调试状态时，该成员的值会被设置成为 1；在非调试状态下运行时，设置为 0。IsDebuggerPresent 函数可以通过检测这个值来判断程序是否在调试
```
1
mov eax, dword ptr fs:[18] ; 获取TEB地址
2
mov eax, dword ptr ds:[eax+30] ; 获取PEB地址
3
movz eax byte ptr ds:[eax+2] ; 获取PEB偏移为2的结构体元素，即BeingDebugged
```

ProcessHeap

利用进程堆 (HEAP) 进行反调试。PEB.ProcessHeap 成员是指向默认 HEAP 结构体的指针。

Note

1
   ...
2
   +0x018 ProcessHeap      : 0x00090000 Void                    //进程默认堆
3
   ...
4
   +0x078 HeapSegmentReserve : 0x100000                         //堆的默认保留大小，字节数，1MB
5
   +0x07c HeapSegmentCommit : 0x2000                            //堆的默认提交大小，8KB （两个内存页，x86 默认内存页 4KB）
6
   ...
7
   +0x088 NumberOfHeaps    : 0x10                               //堆的数量
8
   +0x08c MaximumNumberOfHeaps : 0x10                           //堆的最大数量
9
   +0x090 ProcessHeaps     : 0x7c99cfc0  -> 0x00090000 Void     //堆句柄数组
10
   ...

（和视频教程的有出入，需要验证）

GetProcessHeap 函数获取到 HEAP 结构体后，比较重要的

Linux 平台反调试#

利用进程相关 ID#

Linux 内核有一个特殊的虚拟文件系统 /proc。每个进程跑起来之后，内核会在 /proc/<pid>/ 下创建一个目录，实时反映这个进程的状态，并在运行时更改某些内核参数 (sysctl)。进程可以从 /proc/<pid>/* 读取自己的信息，而无需额外的权限。

cat 比较特殊——它的 <pid> 应该用 self 代替。

* 代表各项信息条目。常用的有：cmdline（命令行参数）、maps（内存映射）、mem（用于直接读写内存）、status（人类可读的进程状态）

例如：

1
$ pidof vim
2
15132
3
$ cat /proc/15132/status
4
Name:   vim
5
Umask:  0022
6
State:  S (sleeping)
7
Tgid:   15132
8
Ngid:   0
9
Pid:    15132
10
PPid:   3174
11
TracerPid:      0
12
...

其中 TracerPid 对反调试是有用的，因为它代表跟踪此进程的进程的 PID。一旦有调试器 attach 进来，TracerPid 就变成调试器的 PID。很多 APP 的反调试代码就是定期读这个值，不为 0 就强退。

在 Linux 中，getppid 函数用于获取父进程 ID (parent process ID)。由于 Linux 中一个进程只能被它的父进程跟踪，因此如果某个进程的父进程不是常见的 shell（如 bash）而是 gdb 等，说明该进程正在被跟踪。

1
#include <stdio.h>
2
#include <string.h>
3
int main(int argc, char *argv[]) {
4
   char buf0[32], buf1[128];
5
   FILE* p;
6

7
   snprintf(buf0, 24, "/proc/%d/cmdline", getppid());
8
   p = fopen(buf0, "r");
9
   fgets(buf1, 128, p);
10
   fclose(p);
11

12
   if(!strcmp(buf1, "gdb")) {
13
       printf("Debugger detected");
14
       return 1;
15
   }
16
   printf("All good");
17
   return 0;
18
}

上述程序会检测到 gdb 的存在，从而终止程序并返回错误。

另外一种方法是利用 session ID（会话 ID）。无论被跟踪与否，session ID 不变，而 ppid 会变。

1
#include <stdio.h>
2
#include <stdlib.h>
3
#include <unistd.h>
4

5
int main(void)
6
{
7
   if(getsid(getpid()) != getppid())
8
   {
9
      printf("traced!\n");
10
      return(EXIT_FAILURE);
11
   }
12
   printf("not debugging\n");
13
   return 0;
14
}

对于这类反调试，修改 getppid() 或 getsid() 的返回值即可。

利用 `ptrace`#

在 Linux 中，ptrace 函数用于让父进程跟踪子进程。有很多大家所常用的工具都基于 ptrace 来实现，如 strace 和 gdb。

ptrace 只允许同一时间内进程最多被一个调试器进行调试。如果进程自身已经调用 ptrace，那么其他通过 ptrace 发起的调试都会被拒绝并返回 -1。

1
#include <stdio.h>
2
#include <sys/ptrace.h>
3
int main(int argc, char *argv[])
4
{
5
   if(ptrace(PTRACE_TRACEME, 0, 0, 0) == -1)
6
   {
7
      printf("Debugger detected");
8
      return 1;
9
   }
10
   printf("All good");
11
   return 0;
12
}

对于这类反调试，要么绕过 ptrace() 函数，要么直接 nop 掉这个函数（nop 是比较好的方案）。

我们还可以构造多重 ptrace()，并增加一些简单的验证：

1
#include <stdio.h>
2
#include <sys/ptrace.h>
3

4
int main()
5
{
6
   int offset = 0;
7

8
   if (ptrace(PTRACE_TRACEME, 0, 1, 0) == 0)
9
   {
10
     offset = 2;
11
   }
12

13
   if (ptrace(PTRACE_TRACEME, 0, 1, 0) == -1)
14
   {
15
     offset = offset * 3;
16
   }
17

18
   if (offset == 2 * 3)
19
   {
20
      printf("normal execution\n");
21
   }
22
   else
23
   {
24
      printf("don't trace me !!\n");
25
   }
26

27
   return 0;
28
}

现在 nop 都不能直接用了，因为我们需要保证验证时 offset 具有正确的值。

音乐

反调试简介#

Windows 平台反调试#

基于 PEB 的反调试#

获取 PEB 结构体的两种办法#

调试检测手段#

Linux 平台反调试#

利用进程相关 ID#

利用 `ptrace`#

文章分享

评论区

反动态调试技术与应对手段

反调试简介#

Windows 平台反调试#

基于 PEB 的反调试#

获取 PEB 结构体的两种办法#

调试检测手段#

Linux 平台反调试#

利用进程相关 ID#

利用 ptrace#

文章分享

评论区

利用 `ptrace`#