反调试主要方法简述
反调试技术概览：怎么恶心怎么来
PEB相关
特点：一般在调试的开始阻拦调试者，调试者只需找到原因后可一次性突破。
PEB：
BeginDebug：调试标记位
Ldr：内存状态
Heap（Flags，Force，Flags）：堆状态
NtGlobaFlag：内核全局标记
TEB：
StaticUnicodeString：静态缓冲区
使用原始API：
NtQueryInformationProcess（）
ProcessDebugPort（0x07）；获取调试端口
ProcessDebugObjectHandle（0x1E）；获取调试句柄
ProcessDebugFlag（0x1F）；获取调试标记
NtQuerySystemInformation（）
SystemKermelDebuggerInformation（0x23）；获取系统调试状态（双机调试）
NtQueryObject（）：遍历系统内核对象
攻击调试器
分离调试器
NtSetInformationThread（）--------ThreaHideFormDebugger（0x11）
打开进程检查
SeDebugPrivilege;检查进程是否具有调试权限
利用TLS回调函数
使用普通API父进程检查
窗口名检查
进程名遍历
文件名及遍历
文件名及文件路径检查
注册表检查
动态调试
特点：一般在调试过程中阻拦调试者，可在调试的过程中被频繁触发，因此需要调试者随时关注
使用SEH
异常；断点；SetUnhandleadExceptionFilter()
时间检查
RDTSC：汇编指令，读取时间数计数器的内容
单步检查
补丁检查
0XCC扫描：根据规则扫描程序内的0XCC，如发现则有可能被下了断点
Hash扫描：扫描关键代码段的Hash值，如不对则证明在运行时被修改/调试
API断点扫描：扫描API的第一个字节是否为0XCC，是的话证明被调试了
反反汇编
指令截断：将一条指令截断，进而导致反汇编引擎后续指令解析错误
指令混淆：将敏感指令拆分成多块或几块不相干的指令迷惑调试者
指令膨胀：将一条指令膨胀到数十条指令，但其行为与这一条指令一致
指令乱序：将原有代码执行顺序在内存级别中打乱，用jmp链接，干扰调试者
偷取代码
偷取OEP代码：将OEP代码移动到其他地方加密执行
偷取API代码：将api的部分起始代码移动到其他地方
分页保护
运行时保护分页：修改代码及数据段保护属性干扰分析
壳
压缩壳：配合OEP加密可以使调试者很难顺利逆向
加密壳：添加各种反调试手段干扰调试者分析
虚拟机
API虚拟机：将部分常用API放到虚拟机中模拟执行
指令级虚拟机：可以将任意一段指令放到虚拟机中保护起来