AntiDBG

antidbg هي مكتبة مضادة للتنقيح (anti-debugging) تعمل في وضع المستخدم (user-mode) على نظام Windows بمعمارية x64، مصممة لحماية البرمجيات من التنقيح.

اعتبر المكتبة أساسًا لحماية برنامجك المضادة للتنقيح، وليست دفاعك الوحيد.

المكتبة:

• سهلة الاستخدام للغاية (تتطلب استدعاء دالة واحدة فقط).
• مصممة للأداء العالي واستهلاك الموارد المنخفض (استهلاك 1% من المعالج؛ أقل من 2 ميجابايت من الذاكرة).
• خالية من أي تبعيات خارجية.
• مرخّصة بالكامل بموجب MIT.
• متوافقة مع CFG.

البنية

يفترض نموذج التهديد أن المنقّح (debugger) قد يعترض البرمجيات المحمية بهذا النظام من أي مستوى صلاحيات، وتكون الكشوفات أقل فعالية كلما ارتفع مستوى الصلاحيات.

تم تحصين هذا البرنامج لتجاوز الاعتراض البسيط عند CPL > 0، من خلال:

• تجنّب أي نوع من خطافات API عبر استدعاءات النظام (syscalling) باستخدام التجميع المضمّن (inline assembly).
• فرض سياسات حماية الذاكرة الافتراضية وتخفيف الحقن (injection mitigation) للعملية الحالية.
• منع تزوير استدعاءات النظام في RAX عبر كشف و/أو الكتابة فوق ردود نداء الأدوات غير الشرعية.
• كشف أي نوع من الترقيع المضمّن (inline patch) على أقسام .text المراقَبة عبر إجراء مقارنة على القرص مقابل في الذاكرة.
• تحليل تسليم معالجة الاستثناءات (VEH، SEH، LPTOP_LEVEL_EXCEPTION_FILTER) ونقاط التوقف البرمجية.
• اختبار سلوك إعادة توجيه PAGE_GUARD.
• حماية المقاطع المهمة (stubs) كذاكرة غير قابلة للكتابة، ومراقبتها لاحقًا عبر تجزئة معجّلة بالعتاد على خيط منفصل.
• حماية نقطة دخول العملية عبر TLS callbacks من ارتباط المنقّح، وإجراء فحص لعنوان بداية الخيط.
• إنشاء مصائد في نقاط دخول المنقّح، مثل DbgBreakPoint وDbgUiRemoteBreakin، لتحطيم العملية أو العودة.
• إخفاء جميع الخيوط من أحداث المنقّح وتجميد العملية. يضمن عدم تأثر حالة أولوية الخيط.
• تعيين معالج متجهي عام (global vectored handler) بمجرد بدء الحمايات.

إذا كانت الطريقة الوحيدة لإجراء فحص ما هي استخدام دالة مُصدَّرة غير قابلة للاستدعاء عبر syscall، فإن الدالة المعنية تُهندَس عكسيًا يدويًا وتُعاد بناؤها لتعمل في مساحة عنوان الوحدة النمطية لخيط الحماية. تُستعرض جميع بنى الذاكرة في وضع المستخدم عبر استبطان الذاكرة المباشر بدلًا من استخدام واجهات API.

تترك روتينات الحماية صراحةً بعض مسارات التنفيذ دون حماية ضد خطافات وضع المستخدم، لتكون بمثابة مصائد ذاكرة (memory honeypots). تُستخدم لمقارنة الحالة ولإرباك المهاجمين.

تعمل روتينات الحماية بشكل شبه عشوائي. تُحدَّد العشوائية عبر ASLR المعتمد على العتاد الخالص، وسلوك المكدس، وقليل من الرياضيات؛ دون استدعاء النواة، أو استخدام واجهات API في وضع المستخدم، أو إصدار تعليمات خروج شرطية أو غير شرطية من قِبل الـ hypervisors.

عند كشف انتهاك أمني، تُحطّم منظومة الحماية العملية الحالية عبر استدعاء INT 29h مع STATUS_SXS_EARLY_DEACTIVATION، متجاوزةً جميع معالجات الاستثناءات. في بعض الحالات، تُدرج أيضًا APC في النواة لإنهاء العملية الحالية.

الكشوفات

توجد في نقطة الدخول الرئيسية (abdg.c) لهذه المكتبة، مشروحة بالترتيب.

شروحات موجزة؛ قد يُجري كشف معيّن فحوصات إضافية/فرعية أكثر مما هو مشروح هنا.

يمكنك العثور على مزيد من الشيفرة المصدرية لمفاهيم كشف أخرى في مجلد antidebug\archived.