游戏的反调试技术的分析报告 .pdfVIP

大家在调试一些游戏程序的时候，可能会碰到一些反调试技术，也就是说，被调试的程序可以检测到自己

是否被调试器附加了，如果探知自己正在被调试，肯定是有人试图反汇编啦之类的方法破解自己。为了了

解如何破解反调试技术，首先我们来看看反调试技术。

1、WindowsAPI方法

Win32提供了两个API,IsDebuggerPresent和CheckRemoteDebuggerPresent可以用来检测当前进程是否正在

被调试，以IsDebuggerPresent函数为例，例子如下：

BOOLret=IsDebuggerPresent();

printf(ret=%d\n,ret);

破解方法很简单，就是在系统里将这两个函数hook掉，让这两个函数一直返回false就可以了，所以这里

就不细谈了。

2、使用NtQueryInformationProcess函数

NtQueryInformationProcess函数是一个未公开的API，它的第二个参数可以用来查询进程的调试端口。如果

进程被调试，那么返回的端口值会是-1，否则就是其他的值。由于这个函数是一个未公开的函数，因此需

要使用LoadLibrary和GetProceAddress的方法获取调用地址，示例代码如下：

//声明一个函数指针。

typedefNTSTATUS(WINAPI*NtQueryInformationProcessPtr)(

HANDLEprocessHandle,

PROCESSINFOCLASSprocessInformationClass,

PVOIDprocessInformation,

ULONGprocessInformationLength,

PULONGreturnLength);

boolNtQueryInformationProcessApproach()

{

intdebugPort=0;

HMODULEhModule=LoadLibrary(TEXT(Ntdll.dll));

NtQueryInformationProcessPtrNtQueryInformationProcess=(NtQueryInformationProcessPtr)GetProcAddre

ss(hModule,NtQueryInformationProcess);

if(NtQueryInformationProcess(GetCurrentProcess(),(PROCESSINFOCLASS)7,debugPort,sizeof(debugP

ort),NULL))

printf([ERRORNtQueryInformationProcessApproach]NtQueryInformationProcessfailed\n);

else

returndebugPort==-1;

returnfalse;

}

3、NtSetInformationThread方法

这个也是使用Windows的一个未公开函数的方法，你可以在当前线程里调用NtSetInformationThread，调用

这个函数时，如果在第二个参数里指定0x11这个值（意思是ThreadHideFromDebugger），等于告诉操作系

统，将所有附加的调试器统统取消掉。示例代码:

//声明一个函数指针。

typedefNTSTATUS(*NtSetInformationThreadPtr)(HANDLEthreadHandle,

THREADINFOCLASSthreadInformationClass,

PVOIDthreadInformation,

ULONGthreadInformationLength);

voidNtSetInformationThreadApproach()

{

HMODULEhModule=LoadLibrary(TEXT(ntdll.dll));

NtSetInformationThreadPtrNtSetInformationThread=(NtSetInformationThreadPtr)GetProcAddress(hModul