《脱壳艺术》学习笔记--IsDebuggerPresent 检测调试器
《脱壳艺术》学习笔记 1
时间：
2008
年
2
月
20
日星期三，
9
时
47
分
26
秒
IsDebuggerPresent
检测调试器
新建
vc++ console
项目，采用
Windbg
调试：
(1)
启动
windbg
用户级调试
(2)
设置调试符号路径
(3)
bp main
，
main
函数处下断
(4)
F5
，断点命中
(6)
在
windbg
中输入
dt -v ntdll!_TEB,
得到
_TEB
结构的详细信息
0:000> dt -v ntdll!_TEB
struct _TEB, 66 elements, 0xfb8 bytes
+0x000 NtTib : struct _NT_TIB, 8 elements, 0x1c bytes
+0x01c EnvironmentPointer : Ptr32 to Void
+0x020 ClientId : struct _CLIENT_ID, 2 elements, 0x8 bytes
+0x028 ActiveRpcHandle : Ptr32 to Void
+0x02c ThreadLocalStoragePointer : Ptr32 to Void
+0x030 ProcessEnvironmentBlock : Ptr32 to struct _PEB, 65 elements, 0x210 bytes
+0x034 LastErrorValue : Uint4B
+0x038 CountOfOwnedCriticalSections : Uint4B
+0x03c CsrClientThread : Ptr32 to Void
+0x040 Win32ThreadInfo : Ptr32 to Void
......
省略
(7)
输入
dt -v ntdll!_PEB
得到
PEB
的结构信息
0:000> dt -v ntdll!_PEB
struct _PEB, 65 elements, 0x210 bytes
+0x000 InheritedAddressSpace : UChar
+0x001 ReadImageFileExecOptions : UChar
+0x002 BeingDebugged : UChar
+0x003 SpareBool : UChar
+0x004 Mutant : Ptr32 to Void
+0x008 ImageBaseAddress : Ptr32 to Void
+0x00c Ldr : Ptr32 to struct _PEB_LDR_DATA, 7 elements, 0x28 bytes
......
省略
(8)
准备工作完成，下面查找
IsDebuggerPresent
的实现
当前项目中调用
IsDebuggerPresent
的汇编代码：
00415095 8bf4
mov esi,esp
00415097 ff15ac934200 call dword ptr [IsDebuggerPresent!_imp__IsDebuggerPresent
(004293ac)]
0041509d 3bf4
cmp esi,esp
_imp__IsDebuggerPresent
处反汇编信息：
_imp__IsDebuggerPresent:
004293ac
032e
add ebp,dword ptr [esi]
004293ae
817cad97807cab14 cmp dword ptr [ebp+ebp*4-69h],14AB7C80h
004293b6 817c7f5d877c66aa cmp
dword ptr [edi+edi*2+5Dh],0AA667C87h
004293be 807c59b880
cmp byte ptr [ecx+ebx*2-48h],80h
IsDebuggerPresent
实现的汇编代码
kernel32!IsDebuggerPresent:
7c
812e03 64a118000000
mov eax,dword ptr fs:[00000018h]
7c812e09 8b4030
mov eax,dword ptr [eax+30h]
7c812e0c 0fb64002
movzx eax,byte ptr [eax+2]
7c812e10 c3
ret
分析
IsDebuggerPresent
实现代码
:
mov eax,dword ptr fs:[00000018h] //
得到当前
TEB
mov eax,dword ptr [eax+30h] //
得到
TEB
结构中的
PEB
结构
movzx eax,byte ptr [eax+2] //
得到
PEB
结构中的
BeingDebugged
标记
Ret
在
VC
中测试下面手动调用
IsDebuggerPresent
代码有误
《脱壳艺术》中给出的代码
:
call [IsDebuggerPresent]
test eax,eax
jnz .debugger_found
上述代码在
VC Debug
模式汇编代码是：
00415095 8B F4 mov esi,esp
00415097 FF 15 AC 93 42 00 call __imp__IsDebuggerPresent@0 //
这个调用明显出错
0041509D 3B F4 cmp esi,esp
更正后的代码：
mov eax , IsDebuggerPresent
call eax
test
eax,eax
jnz
.debugger_found
更正后代码在
VC Debug
模式的汇编代码是：
004120FC A1 AC 93 42 00 mov eax,dword ptr [__imp__IsDebuggerPresent@0 (4293ACh)]
00412101 FF D0 call eax // OK
VC
中直接
IsDebuggerPresent
API
调用的汇编代码是：
004120E5 8B F4 mov esi,esp
004120E7 FF 15 AC 93 42 00 call dword ptr [__imp__IsDebuggerPresent@0 (4293ACh)]
004120ED 3B F4 cmp esi,esp
由此可以看出
《脱壳艺术》中给出的代码
是错误的
.