利用异常实现反调试

0×01 介绍

一些文章已经介绍过通过检测异常来对抗调试器的技术。这个思想很简单：根据设计本意，调试器会处理特定的异常。如果一个异常包裹在try块中，只有当没有附加调试器的时候，异常处理程序才会执行。因此，可以得出结论，只要异常块没有执行，那么程序就正在被一个调试器调试。

0×02 一个字节的Interrupt 3中断（0xCC）

在所有会被调试器处理的异常中，interrupt 3中断算是一个，它会生成一个单字节的断点。

BOOL IsDebuggerPresent_Int3()
{
      __try
      {
            __asm int 3
      }
      __except(1)       {             return FALSE;       }         return TRUE; }

0×03 两个字节的Interrupt 3中断（0xCD 0×03）

使用Visual C++内联汇编器的_emit伪指令可以生成一个两字节的interrupt 3指令。在测试的所有调试器中，只有OnllyDbg调试器识别这个异常。

BOOL IsDebuggerPresent_Int3_2Byte()
{
      __try
      {
            __asm
            {
                  __emit 0xCD
                  __emit 0x03
            }
      }
      __except(1)       {             return FALSE;       }         return TRUE; }

0×04 Interrupt 0x2C中断

Interrupt 0x2C引起一个调试断言异常。WinDbg会响应这个异常，但是其它的调试器都不会处理它。这个指令可以使用_int 2c来生成。这个中断只在Vista以及之后的系统上有效。因为这一点，需要动态检查windows的版本，如果版本号小于6就返回false。

BOOL IsDebuggerPresent_Int2c()
{
      OSVERSIONINFO osvi;
 
      ZeroMemory(&osvi, sizeof(OSVERSIONINFO));
      osvi.dwOSVersionInfoSize = sizeof(OSVERSIONINFO);
 
      GetVersionEx(&osvi);
 
      if (osvi.dwMajorVersion < 6)             return FALSE;         __try       {             __int2c();       }       __except(1)       {             return FALSE;       }         return TRUE; }

0×05 Interrupt 0x2D

如果执行了interrupt 0x2D，Windows将抛出一个断点异常

BOOL IsDebuggerPresent_Int2d()
{
      __try
{
      __asm int 0x2d
}
      __except(1)
 {
 return FALSE;
 }
 
 return TRUE;
}

0×06 ICEBP（0xF1）

ICEBP是一个没有文档化的指令，可以作为一个单字节的interrupt 1中断，产生一个单步异常。

BOOL IsDebuggerPresent_IceBp()
{
      __try
      {
            __asm __emit 0xF1
      }
      __except(1)
      {
            return FALSE;
 }
 
 return TRUE;
}

0×07 陷阱标志位

EFLAGS寄存器的第八个比特位是陷阱标志位。如果设置了，就会产生一个单步异常。

BOOL IsDebuggerPresent_TrapFlag()
{
      __try
      {
            __asm
            {
                  pushfd     
                  or word ptr[esp], 0x100            
                  popfd
                  nop        
            }
      }
      __except(1)
      {
            return FALSE;
 }
 
 return TRUE;
}

0×08 抛出异常

RaiseException函数产生的若干不同类型的异常可以被调试器捕获。在RaiseException的基础上，OutputDebugString，该函数常被用来检测附加的调试器。有效的异常码如下所示：

STATUS_BREAKPOINT                                   (0x80000003)
STATUS_SINGLE_STEP                                   (0x80000004)    
DBG_PRINTEXCEPTION_C                            (0x40010006)
DBG_RIPEXCEPTION                                       (0x40010007)
DBG_CONTROL_C                                           (0x40010005)
DBG_CONTROL_BREAK                                 (0x40010008)
DBG_COMMAND_EXCEPTION                   (0x40010009)
ASSERTION_FAILURE                                     (0xC0000420)
STATUS_GUARD_PAGE_VIOLATION       (0x80000001)
SEGMENT_NOTIFICATION                           (0x40000005)
EXCEPTION_WX86_SINGLE_STEP             (0x4000001E)
EXCEPTION_WX86_BREAKPOINT              (0x4000001F)

BOOL TestExceptionCode(DWORD dwCode)
{
      __try
      {
            RaiseException(dwCode, 0, 0, 0);
      }
      __except(1)
 {
 return FALSE;
 }
 
 return TRUE;
}
 
BOOL IsDebuggerPresent_RipException()
{
 return TestExceptionCode(DBG_RIPEXCEPTION); 
}