C/C++检测进程是否被调试

紫玫冰心

程序使用API SetUnhandledExceptionFilter 来注册一个未处理异常的函数1，如果进程没有被调试，那么会触发一个未处理异常，导致操作系统会将控制权交给函数1。如果进程被调试，则调试器会捕捉这个未处理异常。这样，我们的函数1也就不会被执行了。

这里在触发异常时，则是跳回原来的代码来执行，而不会退出程序。

UnhandledExceptionFilter 这个函数修改了EIP的值，在参数_EXCEPTION_POINTERS中，保存了触发异常的指令地址。所以根据这个指令地址修改寄存器中EIP的值就可以了。

如果写成控制台程序，则这个控制台程序要支持MFC。 我的IDLE是VS2012。

1. #include "stdafx.h"
   
2. #include "ConsoleApplication66.h"
   
3. 
   
4. #ifdef _DEBUG
   
5. #define new DEBUG_NEW
   
6. #endif
   
7. 
   
8. 
   
9. CWinApp theApp;
   
10. 
    
11. using namespace std;
    
12. LONG WINAPI UnhandledExceptionFilter(struct _EXCEPTION_POINTERS *pei);
    
13. bool UnhandledExceptionFilterApproach();
    
14. int _tmain(int argc, TCHAR* argv[], TCHAR* envp[])
    
15. {
    
16.         int nRetCode = 0;
    
17. 
    
18.         HMODULE hModule = ::GetModuleHandle(NULL);
    
19. 
    
20.         if (hModule != NULL)
    
21.         {
    
22.                 if (!AfxWinInit(hModule, NULL, ::GetCommandLine(), 0))
    
23.                 {
    
24.                         _tprintf(_T("错误\n"));
    
25.                         nRetCode = 1;
    
26.                 }
    
27.                 else
    
28.                 {
    
29.                         if(!UnhandledExceptionFilterApproach())
    
30.                         {
    
31.                                 puts("Hello World!");
    
32.                                 printf("Press any key to continue");
    
33.                                 getchar();
    
34.                         }
    
35.                         return 0;
    
36.                 }
    
37.         }
    
38.         else
    
39.         {
    
40.                 _tprintf(_T("错误: GetModuleHandle 失败\n"));
    
41.                 nRetCode = 1;
    
42.         }
    
43. 
    
44.         return nRetCode;
    
45. }
    
46. LONG WINAPI UnhandledExceptionFilter(struct _EXCEPTION_POINTERS *BlackDragon)
    
47. {
    
48.         SetUnhandledExceptionFilter((LPTOP_LEVEL_EXCEPTION_FILTER)BlackDragon->ContextRecord->Eax);
    
49.         BlackDragon->ContextRecord->Eip += 2;
    
50.         //继续执行进程剩余指令
    
51.         return EXCEPTION_CONTINUE_EXECUTION;
    
52. }
    
53. bool UnhandledExceptionFilterApproach()//检测调试器
    
54. {
    
55.         SetUnhandledExceptionFilter(UnhandledExceptionFilter);
    
56.         __asm
    
57.         {
    
58.                 //初始化
    
59.                 xor eax,eax
    
60.                 //触发异常
    
61.                 div eax
    
62.         }
    
63.         return false;
    
64. }

复制代码

紫玫冰心

lolskin 发表于 2015-12-13 18:55
利用自身产生异常,调试模式下 OD可设置 "忽略传递给程序异常",那么该程序不会接收到这个异常,则为被调试， ...

这样是检测调试器中最简单的一个了

紫玫冰心

lolskin 发表于 2015-12-13 18:55
利用自身产生异常,调试模式下 OD可设置 "忽略传递给程序异常",那么该程序不会接收到这个异常,则为被调试， ...

就是这个原理。。。

lolskin

简单的 Anti SEH

lolskin

利用自身产生异常,调试模式下 OD可设置 "忽略传递给程序异常",那么该程序不会接收到这个异常,则为被调试，反之，在未调试状态该程序接收到这个异常.