标签：Blocker 进程 Anti Debug Tech 异常 调试 调试器
https://bbs.pediy.com/thread-273294.htm
拿一个调试器“保护”本进程这一操作并不难想到，关键是厘清Debugger和Target间关系
还有帖主的方法，构思，实践，复盘，这才叫学，温故而知新。
Debug Blocker前置知识
约定
在Debug Blocker中，调试进程与被调试进程它们之间是一种父子关系
文章中提到的父进程和子进程对应调试器和被调试进程
什么是Debug Blocker
Debug Blocker是一种高级的反调试技术，而且这种技术常常被木马病毒利用
Debug Blocker原理
Debug Blocker是进程以调试方式运行自身或者其他可执行文件的技术。目的是增加逆向分析难度
Debug Blocker特点
1.父子关系
根据进程当时所扮演的不同角色(调试与被调试的关系)，会执行不同的代码分支，并做出不同的动作
2.子进程不能再被其他调试器调试
在Windows中，一个进程无法同时被多个调试器调试，换言之，此时无法用OD进行调试(后面会讲如何调试)
3.父进程会影响子进程的执行
在Dbug Blocker技术中，调试器用来操纵被调试进程的执行分支，对子进程进行修改等操作，而且是一个连续的过程，换言之，在缺少调试进程的前提下，单独调试子进程无法正常运行
4.骨肉相连(这不是一道菜)
如果强制终止调试进程，那么子进程也会被终止，这也是Debug Blocker技术中非常高明的一点（仔细体会)
5.父进程处理子进程的异常
调试器和被调试者关系中，被调试进程发生的所有异常都由调试器处理，子进程故意触发异常(如内存访问异常)，如果没有得到处理，程序将崩溃。子进程发生异常时，控制权转移到父进程，此时父进程修改被调试进程的执行分支，也可以对被调试进程进行加解密操作，或者修改寄存器、栈等特定值
小结
基于以上特点，Debug Blocker 是一种比较高级的反调试手段。而且必须对调试进程进行分析调试，确定调试进程是如何处理异常的(执行逻辑)，这样才能准确获取被调试进程的代码
Debug Blocker完整代码
开始调试
第一次调试
进入main函数之后，先是调用CreateMutexW创建互斥体，然后根据返回值判断是以父进程运行还是以子进程运行，如果返回值是0xB7(0xB7说明已经有一个互斥体),就以子进程运行，此时程序是第一次运行，所以会执行父进程
进入父进程函数之后，先调用GetMouduleHandleW和GetModuleFileNameW获取到文件路径，然后调用CreateProcessW通过传入DEBUG_PROCESS | DEBUG_ONLY_THIS_PROCESS参数以调试方式创建子进程
第二次调试
一般使用了Debug Blocker技术的程序，其核心代码基本上在子进程运行，所以我们重新运行程序，在判断CreateMutexW返回值的时候我们修改ZF标志位强制跳转到子进程函数。
可以看到将要执行的指令是LEA EAX,EAX ，很明显是一条非法指令，(而且后面的指令不是正常的指令)，会触发异常，从而将程序执行流程转移到父进程，父进程可能对此处的代码执行解密操作或者修改EIP为其他地址。
第三次调试
这是第一次异常，我们自己一共预设了两个异常
以调试方式创建子进程后，会调用WaiteForDebugEvent等待子进程发生Debug事件，(此处会涉及到Debug_EVENT结构体和调试相关的知识，不清楚的同学请自行补课)
然后根据WaiteForDebugEvent返回的信息进行三次判断，第一次判断是否属于调试事件(EXCEPTION_DEBUG_EVENT),第二次判断发生异常的原因是否属于执行无效指令(EXCEPTION_ILLEGAL_INSTRUCTION)，第三次判断发生异常的地址是否是我们提前预设好的地址(0x0040103F)，如果这三个条件都成立，那么继续往下执行ReadProcessMemory，否则继续等待，直到条件成立
通过在第三次判断的下一条指令下断点，我们直接进入到ReadProcessMemory这一步，通过ReadProcessMemory读取加密的代码到一个Buffer中，然后进行异或解密
解密后的代码(大家仔细看解密后的代码)
然后调用WriteProcessMemory将解密后的代码写入到子进程
--后面还有内容暂时不加了 from: pediy寒江独钓_
标签：Blocker,进程,Anti,Debug,Tech,异常,调试,调试器 来源： https://www.cnblogs.com/MousseLee/p/16439115.html
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。