检测当前进程是否存在硬件断点

最新推荐文章于 2024-03-01 12:00:00 发布

`北极星

最新推荐文章于 2024-03-01 12:00:00 发布

阅读量3.1k

点赞数

CC 4.0 BY-SA版权

分类专栏：加密解密点点滴滴

本文链接：https://blog.youkuaiyun.com/chence19871/article/details/48549645

点点滴滴同时被 2 个专栏收录

72 篇文章

订阅专栏

加密解密

34 篇文章

订阅专栏

本文介绍了一种用于检测当前进程是否存在硬件断点的代码实现方式，通过调用CreateToolhelp32Snapshot、Thread32First、Thread32Next等API来遍历进程内的所有线程，并检查每个线程的DR6和DR7寄存器是否设置了硬件断点。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

当前一些外挂为了躲避检测，不会去patch游戏内存代码，而使用硬断的方式来间接修改。

以下代码片段为了检测当前进程是否存在硬件断点而写：

char buff[MAX_PATH] = {0};

DWORD __stdcall ThreadFunc(void* param)
{
	DWORD dwID = GetCurrentProcessId();

	HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, dwID);
	if (hSnap!=INVALID_HANDLE_VALUE)
	{
		OutputDebugStringA("CreateToolhelp32Snapshot success.\n");

		THREADENTRY32 threadEntry;
		threadEntry.dwSize = sizeof(THREADENTRY32);
		BOOL b = Thread32First(hSnap, &threadEntry);
		
		while (b)
		{
			OutputDebugStringA("Thread32First success.\n");

			HANDLE hThread = OpenThread(THREAD_ALL_ACCESS, FALSE, threadEntry.th32ThreadID);
			if (hThread!=NULL)
			{

				OutputDebugStringA("OpenThread success.\n");

				CONTEXT ctx;
				memset(&ctx, 0, sizeof(CONTEXT));
				ctx.ContextFlags = CONTEXT_ALL;
				b = GetThreadContext(hThread, &ctx);

				if (b)
				{
					OutputDebugStringA("GetThreadContext success.\n");
					if (ctx.Dr6!=0 || ctx.Dr7!=0)
					{
						sprintf_s(buff, "GTC %08x %08x %08x %08x %08x %08x %08x %08x\n",
							&ctx,
							ctx.ContextFlags,
							ctx.Dr0,
							ctx.Dr1,
							ctx.Dr2,
							ctx.Dr3,
							ctx.Dr6,
							ctx.Dr7);

						OutputDebugStringA(buff);
					}
					
				}

				CloseHandle(hThread);
			}
			
			b = Thread32Next(hSnap, &threadEntry);
		}

		CloseHandle(hSnap);
	}

	return 0;
}