VC++反调试代码，检测程序是否被调试，检测VS和OD

源码资源网

VC++反调试代码，检测程序是否被调试，检测VS和OD

1. #include <iostream>
   
2. #include <windows.h>
   
3. #include <winternl.h>
   
4. 
   
5. #pragma region 依赖
   
6. 
   
7. typedef NTSTATUS(NTAPI* pfnNtQueryInformationProcess)(
   
8.         _In_      HANDLE           ProcessHandle,
   
9.         _In_      UINT             ProcessInformationClass,
   
10.         _Out_     PVOID            ProcessInformation,
    
11.         _In_      ULONG            ProcessInformationLength,
    
12.         _Out_opt_ PULONG           ReturnLength
    
13.         );
    
14. 
    
15. #pragma endregion
    
16. 
    
17. 
    
18. 
    
19. #include <Windows.h>
    
20. #include <stdio.h>
    
21. 
    
22. // linker spec 通知链接器PE文件要创建TLS目录
    
23. #ifdef _M_IX86
    
24. #pragma comment (linker, "/INCLUDE:__tls_used")
    
25. #pragma comment (linker, "/INCLUDE:__tls_callback")
    
26. #else
    
27. #pragma comment (linker, "/INCLUDE:_tls_used")
    
28. #pragma comment (linker, "/INCLUDE:_tls_callback")
    
29. #endif
    
30. 
    
31. 
    
32. //此方法测试针对od有效
    
33. int checkdebug() {
    
34.         pfnNtQueryInformationProcess NtQueryInformationProcess = NULL;        // 存放 ntdll 中 NtQueryInformationProcess 函数地址
    
35.         NTSTATUS status;                                                                                                // NTSTATUS 错误代码，0：执行成功
    
36.         DWORD isDebuggerPresent = -1;                                                                        // 如果当前被调试，则 = ffffffff
    
37.         HMODULE hNtDll = LoadLibrary(TEXT("ntdll.dll"));                                // ntdll 模块句柄
    
38. 
    
39.         // ntdll 加载成功
    
40.         if (hNtDll) {
    
41.                 // 取 NtQueryInformationProcess 函数地址
    
42.                 NtQueryInformationProcess = (pfnNtQueryInformationProcess)GetProcAddress(hNtDll, "NtQueryInformationProcess");
    
43. 
    
44.                 // 取地址成功
    
45.                 if (NtQueryInformationProcess) {
    
46. 
    
47.                         // 1.把 NtQueryInformationProcess() 中的 0x7 改成 0x1F
    
48.                         // 2.把 if(status == 0 && isDebuggerPresent != 0) 判断改为 if(status == 0 && isDebuggerPresent == 0)
    
49. 
    
50.                         // NtQueryInformationProcess 检测调试器
    
51.                         status = NtQueryInformationProcess(
    
52.                                 GetCurrentProcess(),                        // 进程句柄
    
53.                                 0x1F,                                                        // 要检索的进程信息类型，ProcessDebugPort：调试器端口号    0x7 改成 0x1E
    
54.                                 &isDebuggerPresent,                                // 接收进程信息的缓冲区指针
    
55.                                 sizeof(DWORD),                                        // 缓冲区大小
    
56.                                 NULL                                                        // 实际返回进程信息的大小
    
57.                         );
    
58. 
    
59.                         // NtQueryInformationProcess 执行成功
    
60.                         if (status == 0 && isDebuggerPresent == 0) {
    
61.                                 // 输出
    
62.                                 /*std::cout << "status = " << status << std::endl;
    
63.                                 std::cout << "isDebuggerPresent = " << std::hex << isDebuggerPresent << std::endl;
    
64.                                 std::cout << "检测到调试器" << std::endl;*/
    
65.                                 ExitProcess(0);
    
66.                                 //getchar();
    
67.                                 return 1;
    
68.                         }
    
69.                 }
    
70.         }
    
71. 
    
72.         // 输出
    
73.         /*std::cout << "status = " << status << std::endl;
    
74.         std::cout << "isDebuggerPresent = " << std::hex << isDebuggerPresent << std::endl;
    
75.         std::cout << "没有发现调试器" << std::endl;*/
    
76. 
    
77.         //getchar();
    
78.         return 0;
    
79. }
    
80. 
    
81. 
    
82. 
    
83. void NTAPI __stdcall TLS_CALLBACK(PVOID DllHandle, DWORD dwReason, PVOID Reserved)
    
84. {
    
85.         if (IsDebuggerPresent())//此方法针对VS有效，对OD无效
    
86.         {
    
87.                 //MessageBox(NULL, L" 检测到调试器 !", L"Error", MB_ICONSTOP);
    
88.                 ExitProcess(0);
    
89.         }
    
90.         
    
91.         if (checkdebug() != 0) {//此方法针对OD有效
    
92.                 //MessageBox(NULL, L" 检测到调试器2 !", L"Error", MB_ICONSTOP);
    
93.                 ExitProcess(0);
    
94.         }
    
95. }
    
96. 
    
97. // 创建TLS段
    
98. EXTERN_C
    
99. #ifdef _M_X64
    
100. #pragma const_seg (".CRT$XLB")
     
101. PIMAGE_TLS_CALLBACK _tls_callback = TLS_CALLBACK;
     
102. #else
     
103. #pragma data_seg (".CRT$XLB")
     
104. PIMAGE_TLS_CALLBACK _tls_callback = TLS_CALLBACK;
     
105. #endif
     

复制代码