反调试——2——深入NtQueryInformationProcess

ProcessDebugPort这个标志位里面涉及到的东西比较复杂，所以要展开来讲。

CheckRemoteDebuggerPresent()：

CheckRemoteDebuggerPresent function (debugapi.h) – Win32 apps | Microsoft Docs 该API的微软官方文档。

主要就是调用这个函数如果程序在被调试就会返回非零值，如果没有被调试就会返回0。

但是前面我们也解析了，其实CheckRemoteDebuggerPresent内部调用的是NtQueryInformationProcess函数来处理的。

两个函数的共同本质：如果程序处于调试状态，这Nt函数会查询调试端口并返回，Check函数会返回一个bool值。

BOOL CheckRemoteDebuggerPresent(
  HANDLE hProcess,
  PBOOL  pbDebuggerPresent
);

__kernel_entry NTSTATUS NtQueryInformationProcess(
  HANDLE      ProcessHandle,//进程句柄
  PROCESSINFOCLASS ProcessInformationClass,//进程信息类型，传不同的值表示查进程不同的信息
  PVOID       ProcessInformation,//输出参数 存储进行信息的缓冲区
  ULONG       ProcessInformationLength,//缓冲区大小
  PULONG      ReturnLength//实际大小
);

进程信息类型：(这里面有相当多的消息)pinvoke.net: PROCESSINFOCLASS (ntdll)

//其中比较常用有文档记录的
typedef enum _PROCESSINFOCLASS {
   ProcessDebugPort = 7,//调试端口
   ProcessDebugObjectHandle = 30,//获取调试对象句柄，句柄为空表示未调试
    ProcessDebugFlags = 31        //检测调试标志位为0表示处于调试状态
} PROCESSINFOCLASS;

代码实现简单的NtQueryInformationProcess函数调用

首先这里需要从DLL里面获得函数，这里由于PROCESSINFOCLASS是一个枚举值，而且值都是0x00这样类型的，所以这里我们可以直接使用DWORD来取代，更加方便：

typedef NTSTATUS(NTAPI *_NtQueryInformationProcess)(
    HANDLE      ProcessHandle,
    DWORD ProcessInformationClass,
    PVOID       ProcessInformation,
    ULONG       ProcessInformationLength,
    PULONG      ReturnLength
    );

//头文件
#pragma once
#include<Windows.h>
#include<iostream>
typedef NTSTATUS(NTAPI *_NtQueryInformationProcess)(
    HANDLE      ProcessHandle,
    DWORD ProcessInformationClass,
    PVOID       ProcessInformation,
    ULONG       ProcessInformationLength,
    PULONG      ReturnLength
    );
using namespace std;

void testBeginDebugged();
void testNtGlobalFlag();
void testProcessDebugPort();
void testNtQueryInformationProcess();
void testNtPort(_NtQueryInformationProcess NtQueryInformationProcess);
void testNtObjectHandle(_NtQueryInformationProcess NtQueryInformationProcess);
void testFlag(_NtQueryInformationProcess NtQueryInformationProcess);

//源文件
#include\"TestC++.h\"

void testBeginDebugged()
{
    if (IsDebuggerPresent())
    {
        cout << \"BeginDebugged验证失败，程序被调试\" << endl;
    }
    else
    {
        cout << \"BeginDebugged验证正常\" << endl;
    }
}
void testNtGlobalFlag()
{
    DWORD IsDebug = 1;
    __asm
    {
        push eax
        mov eax, fs: [0x30]
        mov eax, [eax + 0x68]
        mov IsDebug, eax
        pop eax
    }
    if (IsDebug == 0x70)
    {
        cout << \"NtGlobalFlag验证失败，程序被调试\" << endl;
    }
    else
    {
        cout << \"NtGlobalFlag验证正常\" << endl;
    }
}
void testProcessDebugPort()
{
    BOOL IsDebug = FALSE;
    CheckRemoteDebuggerPresent(GetCurrentProcess(), &IsDebug);
    if(IsDebug == TRUE)
    {
        cout << \"ProcessDebugPort验证失败，程序被调试\" << endl;
    }
    else
    {
        cout << \"ProcessDebugPort验证正常，程序未被调试\" << endl;
    }
}
void testNtQueryInformationProcess()
{
    HMODULE  hDll = LoadLibraryW(L\"Ntdll.dll\");
    _NtQueryInformationProcess NtQueryInformationProcess = (_NtQueryInformationProcess)GetProcAddress(hDll, \"NtQueryInformationProcess\");
    testNtPort(NtQueryInformationProcess);
    testNtObjectHandle(NtQueryInformationProcess);
    testFlag(NtQueryInformationProcess);
}
void testNtPort(_NtQueryInformationProcess NtQueryInformationProcess)
{
    HANDLE hProcess = GetCurrentProcess();
    DWORD DebugPort;
    NtQueryInformationProcess(hProcess,7,&DebugPort,sizeof(DWORD),NULL);
    if (DebugPort != 0)
    {
        cout << \"DebugPort验证失败，程序正在被调试\" << endl;
    }
    else
    {
        cout << \"DebugPort验证成功\" << endl;
    }
}
void testNtObjectHandle(_NtQueryInformationProcess NtQueryInformationProcess)
{
    HANDLE hProcess = GetCurrentProcess();
    HANDLE ObjectHandle;
    NtQueryInformationProcess(hProcess, 30, &ObjectHandle, sizeof(ObjectHandle), NULL);
    if (ObjectHandle != NULL)
    {
        cout << \"调试端口验证失败，程序正在被调试\" << endl;
    }
    else
    {
        cout << \"调试端口验证成功\" << endl;
    }
}
void testFlag(_NtQueryInformationProcess NtQueryInformationProcess)
{
    HANDLE hProcess = GetCurrentProcess();
    BOOL Flags;
    NtQueryInformationProcess(hProcess, 31, &Flags, sizeof(Flags), NULL);
    if (Flags != 1)
    {
        cout << \"调试端口验证失败，程序正在被调试\" << endl;
    }
    else
    {
        cout << \"调试端口验证成功\" << endl;
    }
}

int main()
{
    printf(\"%s\\n\", \"Welcome\");
    cout << \"Welcome\" << endl;
    testBeginDebugged();
    testNtGlobalFlag();
    testProcessDebugPort();
    testNtQueryInformationProcess();

    return 0;
}