发一个反调试（源码在7楼）

h907308901

这几天无聊用VB写反调试，现将程序BIN发上来，看看有谁能破解出源码，为了防止有人用反编译工具反编译，特意加上一个垃圾壳，过几天再发源码和原理。
调试器检测.rar (2.8 KB, 下载次数: 1224)

2011-6-15 13:34 上传

点击文件名下载附件
再说一下，这个程序调用的API除了OutputDebugString外，其余都为NativeAPI
破解出原理的可以加分

eaaca1234

强度还可以
能发现od
不过貌似加插件就不行了

eaaca1234

好复杂啊，随便看了下
nt系列
NtQueryInformationProcess
NtSetInformationDebugObject
NtRemoveProcessDebug
NtSetInformationThread
NtQuerySystemTime
NtTerminateProcess
普通的：
OutputDebugString
你加的是什么壳呀？
自己写的？

h907308901

回复 eaaca1234 的帖子

这个壳不知是哪搜的……反正是VB写的，源码如下：
exe加壳源码.rar (9.13 KB, 下载次数: 761)

2011-6-17 12:39 上传

点击文件名下载附件
加了壳以后我还写了一些花指令在里面（超级垃圾的那种）

---------------------------------------------------------------------
顺便把API声明贴上来，以后发源码：

1. 
   
2. Public Declare Function NtQueryInformationProcess Lib "NTDLL.DLL" (ByVal ProcessHandle As Long, ByVal ProcessInformationClass As Long, ProcessInformation As Any, ByVal ProcessInformationLength As Long, ReturnLength As Long) As Long
   
3. Public Declare Function NtSetInformationDebugObject Lib "NTDLL.DLL" (ByVal DebugObject As Long, ByVal DebugObjectInformationClass As Long, DebugInformation As Long, ByVal DebugInformationLength As Long, ReturnLength As Long) As Long
   
4. Public Declare Function NtRemoveProcessDebug Lib "NTDLL.DLL" (ByVal ProcessHandle As Long, ByVal DebugObject As Long) As Long
   
5. Public Declare Function NtSetInformationThread Lib "NTDLL.DLL" (ByVal ThreadHandle As Long, ByVal ThreadInformationClass As Long, ThreadInformation As Any, ByVal ThreadInformationLength As Long) As Long
   
6. Public Declare Function NtQuerySystemTime Lib "NTDLL.DLL" (CurrentTime As LARGE_INTEGER) As Long
   
7. Public Declare Function NtTerminateProcess Lib "NTDLL.DLL" (ByVal ProcessHandle As Long, ByVal ExitStatus As Long) As Long
   
8. Public Declare Sub OutputDebugString Lib "kernel32" Alias "OutputDebugStringA" (ByVal lpOutputString As String)
   
9. Public Const ProcessTimes = 4
   
10. Public Const ProcessDebugObjectHandle = 30
    
11. Public Const ThreadHideFromDebugger = 17
    
12. Public Type LARGE_INTEGER
    
13.     LowPart As Long
    
14.     HighPart  As Long
    
15. End Type
    
16. Public Type KERNEL_USER_TIMES
    
17.     CreateTime As LARGE_INTEGER
    
18.     ExitTime As LARGE_INTEGER
    
19.     KernelTime As LARGE_INTEGER
    
20.     UserTime As LARGE_INTEGER
    
21. End Type
    

复制代码

h907308901

那个NtRemoveProcessDebug使用时可能存在问题，因为可能存在残余的调试事件，比如EFL中的DF标志（触发单步事件），INT3断点，硬件断点，内存断点等等，一旦触发就会因为没有调试器接受事件导致进程结束

eaaca1234

回复 h907308901 的帖子

话说这个壳真的好白痴也
XOR BYTE PTR DS:[EBX+EAX],0B8
INC EAX
CMP EAX,-252
JNZ SHORT 00401A9C
这个解密代码太明显了

h907308901

应版主要求，那么就开源吧，反正原理已经被破解出来了，但是还是加上一点权限
调试器检测.rar (4.55 KB, 下载次数: 86)

2011-6-18 19:37 上传

点击文件名下载附件
阅读权限: 40

h907308901

顺便做一点解释，首先NtQuerySystemTime和NtQueryInformationProcess比较时间，然后调试字串，接着NtSetInformationThread传入ThreadHideFromDebugger,最后是取得进程调试对象，NtSetInformationDebugObject取消其KillOnExit属性，再NtRemoveProcessDebug结束调试

eaaca1234

回复 h907308901 的帖子

忽然想到一个保护关键算法的好办法
for i=0 to 10000000000
hProcess = FcOpenProcess&(i)
NtSuspendProcess hProcess
next
if text1 = 100 then 。。。
。。。
for i = 0 to 10000000000
hProcess = FcOpenProcess&(i)
    NtResumeProcess hProcess
Next

h907308901

回复 eaaca1234 的帖子

我以前发现WriteProcessMemory写到pid 4（system）进程的0x10000地址会导致整个系统乱码，这样会怎么样？