IsDebuggerPresent解密

最新推荐文章于 2023-08-23 15:58:02 发布

`北极星

最新推荐文章于 2023-08-23 15:58:02 发布

阅读量1.7k

点赞数

分类专栏：加密解密文章标签： byte 解密 c

本文链接：https://blog.youkuaiyun.com/chence19871/article/details/7550648

版权

加密解密专栏收录该内容

34 篇文章

订阅专栏

本文介绍了如何通过IsDebuggerPresent函数检查程序是否被调试。通过分析内存布局，定位到进程环境块（PEB）中的调试标志，并提供了汇编代码实现。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

看看IsDebuggerPresent函数的秘密：

7C812E03 >  64:A1 18000000           mov     eax, dword ptr fs:[18]
//指向TEB自身,也就是FS
7C812E09    8B40 30                  mov     eax, dword ptr [eax+30]
//指向PEB
7C812E0C    0FB640 02                movzx   eax, byte ptr [eax+2]
//PEB前进两个字节取Byte
7C812E10    C3                       retn

先取FS:[18]处的指针，跟进，找到偏移为30h处的指针，再跟进，然后移动两个字节就可以看到IsDebuggerPresent标记了。为1表示当前程序处于调试状态，为0表示NOT.这样我们就可以手动修改内存了，哈哈

简化代码：

__asm
  {
    mov eax, fs:[30h] ;EAX =  TEB.ProcessEnvironmentBlock
    inc eax
    inc eax
    mov eax, [eax]
    and eax,0x000000ff  ;AL  =  PEB.BeingDebugged
    test eax, eax
    jne is_debuging
    jmp is_not_debuging
  }

一句话：DEBUG标记就在进程环境块（PEB）的第三个字节上面