WIN10 X64下通过TLS实现反调试

cct123 · 发表于 2016-4-27 12:34

本帖最后由 cct123 于 2016-4-27 12:38 编辑

本文主要研究Windows 10 X86/X64系统下使用TLS技术作为反调试技术的载体，来实现一种在程序入口之前就执行反调试代码的技术。网上有很多在X86架构上关于使用TLS回调函数进行反调试的文章，但是在X64架构下代码实现上有些不同。本人使用VS2015在win10 X64环境下，编译生成X86/X64 release版本分别进行测试成功。
基于TLS的反调试，原理实为在实际的入口点代码执行之前执行检测调试器代码，实现方式便是使用TLS回调函数实现。通过TLS反调试实现的效果，形如下图，在OD动态调试器加载程序到入口点之前便已经执行反调试代码并退出程序。此外，利用TLS启动时，某些病毒也得以能够在调试器启动之前就开始运行，因为一些调试器是在程序的主入口点处切入的。

文章编辑太费劲了，我把文章发布到链接地址：http://blog.csdn.net/liuyez123/article/details/51258177，有兴趣的朋友可以看看。

虚无空幻 · 发表于 2016-8-10 15:09

Hmily 发表于 2016-5-6 14:32
吾爱的od有strongod插件，可以设置停在tls上，应该不会被执行。

事实的确如此....

@小七 · 发表于 2016-4-27 12:36

我来学习，忽略！

诸葛瑾 · 发表于 2016-4-27 18:27

这个x64 dbg不是一下就断下来吗

bigharvest · 发表于 2016-4-27 19:42

这个不错。。。

yang_weili · 发表于 2016-4-28 15:30

TLS是在进入到EntryPoint之前运行的，还是应该有不小的作用

chen1234 · 发表于 2016-5-1 08:21

提示: 作者被禁止或删除内容自动屏蔽

Hmily · 发表于 2016-5-6 14:32

吾爱的od有strongod插件，可以设置停在tls上，应该不会被执行。

nbuhell · 发表于 2016-8-23 11:27

学习学习，学无止境啊

zzq191 · 发表于 2016-9-5 08:55

不过知道这种反调试方法的，要反反调试也比较容易的

帐号		自动登录	找回密码
密码			注册[Register]

[调试逆向] WIN10 X64下通过TLS实现反调试

免费评分

chen1234 chen1234 当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	chen1234 发表于 2016-5-1 08:21 提示: 作者被禁止或删除内容自动屏蔽

	回复支持举报