防OD附加的代码

最新推荐文章于 2020-04-14 10:42:19 发布

转载最新推荐文章于 2020-04-14 10:42:19 发布 · 1.7k 阅读

本文介绍了一种通过修改内核模式调试函数 DbgUiRemoteBreakin 的方式来阻止调试器附加到进程的技术。该方法利用了汇编指令来实现代码注入，确保进程的安全运行。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

bool InstallAntiAttach()
{
HMODULE ntDll;
void *pDbgUiRemoteBreakin; //函数头
DWORD dwOldProtect;
DWORD dwCodeSize;

ntDll = GetModuleHandle("ntdll.dll");
if (ntDll)
{
pDbgUiRemoteBreakin = GetProcAddress(ntDll,"DbgUiRemoteBreakin");
if (pDbgUiRemoteBreakin)
{
   __asm
   {
    //get code size
    lea eax,__CodeToCopyStart
    lea ecx,__CodeToCopyEnd
    sub ecx,eax
    mov dwCodeSize,ecx
   }
   //Make sure that we have write right
   if (VirtualProtect(pDbgUiRemoteBreakin,dwCodeSize,PAGE_EXECUTE_READWRITE,
    &dwOldProtect))
   {
    __asm
    {
     mov edi,pDbgUiRemoteBreakin
     lea esi,__CodeToCopyStart
     mov ecx,dwCodeSize
     rep movsb
     jmp __CodeEnd
    __CodeToCopyStart:
     lea eax,__CodeToCopyEnd
     jmp eax
    __CodeToCopyEnd:
    }
    __asm
    {
     xor eax,eax
     pushfd
     mov [esp],eax
     popfd
     xor ebx,ebx
     xor ecx,ecx
     xor edx,edx
     xor edi,edi
     xor esi,esi
     xor esp,esp
     xor ebp,ebp
     jmp eax
    }
   __CodeEnd:
    return true;
   }
}
}
return false;
}