软件反调试（1）- 基于进程列表的检测
反调原理
在打开了调试器的情况下，在任务管理器中可以看到调试器的进程信息，通过枚举列表来进行检查当前是否打开了调试器
如果调试程序的执行文件被改名了，那么该检测方法就会失效，通常只能作为辅助的检查
实现细节
使用 vs2022 新建 c++ 的控制台项目 anti01，并将工程的字符集改为 “多字节”
在工程的 main.cpp 文件中增加以下代码，通过 windows 的 TlHelp32 库来遍历进程，检查是否有目标进程在运行
这里只检查了 x64dbg 调试器名称，实现上需要检查所有的调试器名称
#include <iostream>
#include <thread>
#include <windows.h>
#include <TlHelp32.h>bool CheckProcess(const char* szProcessName)
{HANDLE hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);if (hSnapshot == INVALID_HANDLE_VALUE){return false;}PROCESSENTRY32 pe32 = { 0 };pe32.dwSize = sizeof(PROCESSENTRY32);BOOL bRet = Process32First(hSnapshot, &pe32);while (bRet){if (strstr(pe32.szExeFile, szProcessName) != NULL){std::cout << "find debug process:" << pe32.szExeFile << std::endl;CloseHandle(hSnapshot);return true;}bRet = Process32Next(hSnapshot, &pe32);}CloseHandle(hSnapshot);return false;
}void ThreadProc()
{while (true){if (CheckProcess("x64dbg")){std::cout << "Debugging..." << std::endl;}else{std::cout << "Running..." << std::endl;}std::this_thread::sleep_for(std::chrono::milliseconds(1000));}
}int main()
{std::thread thrd(ThreadProc);thrd.join();return 0;
}
运行结果
编译该代码生成 anti01.exe 执行文件，然后启动 x64dbg，在任务管理器中可以看到该进程信息，运行 anti01.exe，输出信息如下图
当业务进程检测到当前运行调试进程后，可以做出退出进程，或暂停业务等处理
逆向处理
为了尽量接近实现上，这里将修改编译模式为 release，然后运行 anti01.exe，并启动 x64dbg 附件到 anti01 进程上
附加到进程后，将运行模块切换到 anti01 模块上来，并右键搜索该模块下的字符串
字符串列表中可以看到关心的字符串，双击该记录跳转到该字符串引用的地址上
可以看到内存地址中的 x64dbg 值，任意修改该值即可以
选定该部分内存右键填充输入任意字符，如 ‘0’ 然后确定，将值修改为 ‘000000’
在 cpu 窗口中右键补丁，保存为修补文件 anti01-hack.exe，启动修补文件，就可以对调试器检测进行绕过了
后记
一般情况下，是不会这么顺利达成的，比如反调试一般还会有动态内存、内存保护、文件完整性保护等其他额外的手段，就会导致无法修改
这里只是最基本的，通过进程列表的反调试以及绕过处理，暂不涉及这些复杂的场景