AntiDBG

antidbg هي مكتبة مضادة للتنقيح (anti-debugging) تعمل في وضع المستخدم (user-mode) على نظام Windows بمعمارية x64، مصممة لحماية البرمجيات من التنقيح.

اعتبر المكتبة أساسًا لحماية برنامجك المضادة للتنقيح، وليست دفاعك الوحيد.

المكتبة:

• سهلة الاستخدام للغاية (تتطلب استدعاء دالة واحدة فقط).
• مصممة للأداء العالي واستهلاك الموارد المنخفض (استهلاك 1% من المعالج؛ أقل من 2 ميجابايت من الذاكرة).
• خالية من أي تبعيات خارجية.
• مرخّصة بالكامل بموجب MIT.
• متوافقة مع CFG.

البنية

يفترض نموذج التهديد أن المنقّح (debugger) قد يعترض البرمجيات المحمية بهذا النظام من أي مستوى صلاحيات، وتكون الكشوفات أقل فعالية كلما ارتفع مستوى الصلاحيات.

تم تحصين هذا البرنامج لتجاوز الاعتراض البسيط عند CPL > 0، من خلال:

• تجنّب أي نوع من خطافات API عبر استدعاءات النظام (syscalling) باستخدام التجميع المضمّن (inline assembly).
• فرض سياسات حماية الذاكرة الافتراضية وتخفيف الحقن (injection mitigation) للعملية الحالية.
• منع تزوير استدعاءات النظام في RAX عبر كشف و/أو الكتابة فوق ردود نداء الأدوات غير الشرعية.
• كشف أي نوع من الترقيع المضمّن (inline patch) على أقسام .text المراقَبة عبر إجراء مقارنة على القرص مقابل في الذاكرة.
• تحليل تسليم معالجة الاستثناءات (VEH، SEH، LPTOP_LEVEL_EXCEPTION_FILTER) ونقاط التوقف البرمجية.
• اختبار سلوك إعادة توجيه PAGE_GUARD.
• حماية المقاطع المهمة (stubs) كذاكرة غير قابلة للكتابة، ومراقبتها لاحقًا عبر تجزئة معجّلة بالعتاد على خيط منفصل.
• حماية نقطة دخول العملية عبر TLS callbacks من ارتباط المنقّح، وإجراء فحص لعنوان بداية الخيط.
• إنشاء مصائد في نقاط دخول المنقّح، مثل DbgBreakPoint وDbgUiRemoteBreakin، لتحطيم العملية أو العودة.
• إخفاء جميع الخيوط من أحداث المنقّح وتجميد العملية. يضمن عدم تأثر حالة أولوية الخيط.
• تعيين معالج متجهي عام (global vectored handler) بمجرد بدء الحمايات.

إذا كانت الطريقة الوحيدة لإجراء فحص ما هي استخدام دالة مُصدَّرة غير قابلة للاستدعاء عبر syscall، فإن الدالة المعنية تُهندَس عكسيًا يدويًا وتُعاد بناؤها لتعمل في مساحة عنوان الوحدة النمطية لخيط الحماية. تُستعرض جميع بنى الذاكرة في وضع المستخدم عبر استبطان الذاكرة المباشر بدلًا من استخدام واجهات API.

تترك روتينات الحماية صراحةً بعض مسارات التنفيذ دون حماية ضد خطافات وضع المستخدم، لتكون بمثابة مصائد ذاكرة (memory honeypots). تُستخدم لمقارنة الحالة ولإرباك المهاجمين.

تعمل روتينات الحماية بشكل شبه عشوائي. تُحدَّد العشوائية عبر ASLR المعتمد على العتاد الخالص، وسلوك المكدس، وقليل من الرياضيات؛ دون استدعاء النواة، أو استخدام واجهات API في وضع المستخدم، أو إصدار تعليمات خروج شرطية أو غير شرطية من قِبل الـ hypervisors.

عند كشف انتهاك أمني، تُحطّم منظومة الحماية العملية الحالية عبر استدعاء INT 29h مع STATUS_SXS_EARLY_DEACTIVATION، متجاوزةً جميع معالجات الاستثناءات. في بعض الحالات، تُدرج أيضًا APC في النواة لإنهاء العملية الحالية.

الكشوفات

توجد في نقطة الدخول الرئيسية (abdg.c) لهذه المكتبة، مشروحة بالترتيب.

شروحات موجزة؛ قد يُجري كشف معيّن فحوصات إضافية/فرعية أكثر مما هو مشروح هنا.

يمكنك العثور على مزيد من الشيفرة المصدرية لمفاهيم كشف أخرى في مجلد antidebug\archived.

• 1. يقرأ حقل BeingDebugged في PEB باستخدام دالة التصدير الخاصة بـ kernel32.
• 2. يستدعي التصدير IsRemoteDebuggerPresent لمعرفة ما إذا كانت العملية الهدف تُنقَّح من خارج سياقها الخاص.
• 3. ينفّذ المقاطعة البرمجية INT 2D، متحققًا مما إذا كان البايت التالي لهذه التعليمات يُتخطّى ولا يُوجَّه عبر معالج EXCEPTION_BREAKPOINT.
• 4. ينفّذ مقاطعة نقطة التوقف INT 3D، ثم يراقب ما إذا كان الاستثناء يُعترَض أو يمرّ بشكل طبيعي.
• 5. يستدعي ICE/0xF1، رافعًا EXCEPTION_SINGLE_STEP ومتحققًا مما إذا كان المنقّح سيعتبر هذا الاستثناء هو الاستثناء الطبيعي الناتج عن تنفيذ التعليمات مع ضبط بت الخطوة الواحدة في سجلات RFlags.

الاستخدام

1. وضع الحماية (Guard mode): سيبدأ خيط بالعمل في برنامجك ويراقب باستمرار وجود منقّحات مرتبطة. إذا اكتُشف منقّح في أي وقت، سيسجّل البرنامج المحاولة (إذا تم تجميعه في وضع التنقيح) وسيخرج قسرًا مع منع أي برنامج آخر من إيقاف الانهيار.

مثال:

#include "adbg.h"

int main() {
    StartDebugProtection();

    return 0;
}

2. وضع التشغيل الواحد (Single-run mode): دالة يمكنك استدعاؤها في أي وقت لكشف ما إذا كانت المنقّحات مرتبطة بعمليتك.

مثال:

#include "adbg.h"

int main() {
    if (isProgramBeingDebugged()) {
        printf("Debugger detected.\n");
    }
    else {
        printf("No debugger was detected.\n");
    }

    return 0;
}

البناء

1. وضع الملف الثنائي (Binary mode)

لبناء الملف التنفيذي لمشغّل الاختبار، فعّل -DBUILD_EXAMPLE=ON. هذا يجمّع example/main.c ويربطه بـ antidebug دون تلويث المكتبة الأساسية بنقطة دخول.

Visual Studio (واجهة رسومية)

1. افتح مجلد المستودع في Visual Studio (أو افتح ملف .sln المُولَّد).
2. اختر التكوين المطلوب (x64-Release أو x64-Debug).
3. اضبط antidebug_runner كمشروع بدء التشغيل وانقر على Build (أو اضغط F5 للتشغيل).

سطر الأوامر (MSVC / Ninja / Clang)

من جذر المشروع:

cmake -B build -S . -DBUILD_EXAMPLE=ON
cmake --build build --config Release

سيكون الملف التنفيذي في:

• MSVC multi-config: build/Release/antidebug_runner.exe
• Ninja single-config: build/antidebug_runner.exe

ملاحظة حول إصدارات التنقيح (Debug Builds): التجميع في وضع التنقيح (--config Debug) يمكّن سجلات التشخيص في وحدة التحكم/المنقّح عبر core/debug.c. أما وضع الإصدار (Release) فيزيل التسجيل بالكامل.

2. وضع المكتبة (ثابتة أو مشتركة)

بشكل افتراضي، يُنتج CMake مكتبة ثابتة (antidebug.lib أو libantidebug.a). لبناء مكتبة ربط ديناميكية (DLL)، مرّر -DBUILD_SHARED_LIBS=ON.

الخيار أ: MSVC (cl.exe)

باستخدام مولّد Visual Studio:

# Static Library (.lib)
cmake -B build -S . -A x64 -DBUILD_SHARED_LIBS=OFF
cmake --build build --config Release

# Dynamic Library (.dll + import .lib)
cmake -B build -S . -A x64 -DBUILD_SHARED_LIBS=ON
cmake --build build --config Release

الخيار ب: Clang-CL (LLVM مع تكامل MSVC)

باستخدام Ninja مع clang-cl:

# Ensure clang-cl is in your PATH or run from the VS x64 Native Tools Command Prompt
cmake -B build -S . -G Ninja -DCMAKE_C_COMPILER=clang-cl -DCMAKE_BUILD_TYPE=Release -DBUILD_SHARED_LIBS=OFF
cmake --build build

الخيار ج: Clang (MinGW / LLVM-MinGW)

شغّل صدفة LLVM-MinGW بمعمارية 64 بت (x86_64-w64-mingw32-clang في PATH الخاص بك) واستخدم Ninja:

# Static Library (.a)
cmake -B build -S . -G Ninja -DCMAKE_C_COMPILER=clang -DCMAKE_BUILD_TYPE=Release -DBUILD_SHARED_LIBS=OFF
cmake --build build

# Shared Library (.dll)
cmake -B build -S . -G Ninja -DCMAKE_C_COMPILER=clang -DCMAKE_BUILD_TYPE=Release -DBUILD_SHARED_LIBS=ON
cmake --build build

3. التثبيت عبر CMake

لتثبيت المكتبة المُجمَّعة والترويسات في بادئة محلية:

cmake --install build --prefix "C:/local/antidebug"

ينتج عن ذلك:

C:/local/antidebug/
├── bin/
│   └── antidebug.dll           (if BUILD_SHARED_LIBS=ON)
├── lib/
│   └── antidebug.lib           (or libantidebug.a)
└── include/
    └── antidebug/
        ├── adbg.h
        └── ...

القانوني وإخلاء المسؤولية

لست مسؤولًا ولا أتحمل أي مسؤولية عن أي ضرر تسببه من خلال أي استخدام ضار لهذا المشروع.

تم إنشاء وثائق BUILD باستخدام الذكاء الاصطناعي، أبلغ عن أي مشكلات.

الترخيص: MIT