反调试技术
反调试技术
反调试技术是指程序用来阻止或干扰调试器对自身进行调试的一系列技术。这些技术可以使调试器难以设置断点、单步执行、观察变量等，从而增加逆向工程的难度。
以下是一些常见的反调试技术：
1. 基于调试器检测的:
IsDebuggerPresent():这个API 函数用于检测当前进程是否被调试器附加。很多程序会通过调用这个函数来判断自身是否处于调试状态，并采取相应的反调试措施。
PEB (Process Environment Block) 调试标志:
PEB 结构中包含了一些用于表示进程状态的标志，其中就包括调试标志。程序可以通过读取PEB 来判断自身是否被调试。
NtGlobalFlag:NtGlobalFlag是一个系统变量，在调试模式下，它的某些特定位会被设置。程序可以通过检查NtGlobalFlag的值来检测是否处于调试状态。HeapFlag和ForceFlags:在调试模式下，
HeapFlag和ForceFlags也会被设置。程序可以检查这两个标志来判断是否被调试.陷阱标志检查:
在调试器中，某些指令（如
INT 3）会导致异常，程序可以通过检测这些异常来判断是否被调试.
2. 基于断点检测的:
软件断点(INT 3):
调试器通常通过将代码中的指令替换为
INT 3(机器码为0xCC) 来设置软件断点。程序可以通过扫描自身代码，查找0xCC字节来检测是否存在软件断点.硬件断点:
调试器也可以使用硬件断点，通过设置调试寄存器来实现。程序可以通过检测调试寄存器的状态来检测是否存在硬件断点.
3. 基于异常处理的:
SEH (Structured Exception Handling) 反调试:
恶意代码可以利用SEH 机制来检测调试器。例如，在异常处理过程中检查调试器状态，如果发现调试器，则采取反调试措施.
动态反调试:
程序可以利用异常处理机制进行动态反调试，例如在异常处理过程中修改代码逻辑或改变程序执行流程，使得调试器难以追踪.
4.其他反调试技术:
Debug Blocker:
Debug Blocker 技术是指调试器以调试模式运行自身或者其他可执行文件，然后父进程作为调试器，子进程作为被调试者，通过执行不同的代码来阻止调试.
TLS (Thread Local Storage) 回调:
TLS 回调是在程序加载或卸载时执行的回调函数。恶意代码可以利用TLS 回调来执行反调试操作，例如在程序启动时进行检测和反制.
时间检查:
程序可以记录时间，并在调试过程中进行对比，如果时间异常，则认为程序正在被调试.
指令计数:
程序可以记录执行的指令数量，并在调试过程中进行对比，如果指令数量异常，则认为程序正在被调试.
代码混淆:
通过对代码进行混淆，增加调试器的分析难度，使其更难理解程序逻辑.
