利用INT 2DH 反调试

Hmily · 发表于 2010-1-30 01:12

取材于rootkit.com的一篇文章，因为简单就不按照原文严格翻译了。原文链接
第2dh号中断处理函数是KiDebugService，执行Int 2dh指令时，进程如果没有处于被调试状态，将会抛出异常，如果在被调试状态则能够正常执行。我们可以利用这一点检测调试器的存在。

;Besidesthis，int2Dhcanalsobeusedascodeobfuscationmethod.
;Withattacheddebugger，afterexecutingint2Dh，systemskipsonebyte
;afterint2Dh:
;
;int2dh
;noneverexecuted
;...
;原文的这一段说执行完 int 2dh指令后会跳过一字节指令的描述貌似有问题。实际测试了下，还是照常执行的。
OllyDbg的行为比较特别。被OllyDbg调试时如果Int 2dh指令之后的下一条指令长于一字节，那么会引起异常，下一指令自然不执行。如果等于一字节长度那么不会引起异常，下一指令被跳过不执行。
顺便贴下我测试用的例子。

#includeWindows.h
#includestdio.h

DWORDdwTest=0;
DWORDtest
...
voidmain
...
__except)
...
system;
}

nevsayno · 发表于 2010-1-30 01:29

看来od应该又快有加强版了:)eee

wxhwhmanshan · 发表于 2011-1-2 14:33

确实很强大啊

GhostEx · 发表于 2012-2-7 16:44

真的不错的技术哈。。。。果断收藏！！！

XinChenK · 发表于 2012-8-20 17:07

值得借鉴

zhdzhdzhd · 发表于 2014-3-22 11:53

怎么应用啊。在od要怎么才能断下哦

帐号		自动登录	找回密码
密码			注册[Register]

[其他转载] 利用INT 2DH 反调试