AntiDBG

antidbg は、Windows 向けの x64 ユーザーモードアンチデバッグライブラリであり、ソフトウェアをデバッグから保護するために設計されています。

このライブラリは、アンチデバッグ保護の基盤として考えてください。唯一の防御手段として考えないでください。

このライブラリは:

非常に使いやすい (必要な関数呼び出しは 1 回だけ)。
高性能かつ最小限のリソース使用量 (CPU 使用率 1%、メモリ 2MB 未満) のために設計されています。
外部依存関係が一切ありません。
完全に MIT ライセンスです。
CFG 準拠です。

構造

脅威モデルは、デバッガがこの保護システムで保護されたソフトウェアをあらゆる特権レベルから傍受する可能性を想定しており、特権レベルが高いほど検出の効果は低くなります。

このソフトウェアは、以下の方法で自明な CPL > 0 の傍受を回避するように強化されています:

インラインアセンブリによるシステムコールを通じて、あらゆる種類の API フックを回避します。
現在のプロセスに対して仮想メモリ保護とインジェクション緩和ポリシーを適用します。
不正なインストルメンテーションコールバックを検出および/または上書きすることで、RAX 内のシステムコールスプーフィングを防止します。
ディスク上 vs メモリ内 の比較を行うことで、監視対象の .text セクションに対するあらゆる種類のインラインパッチを検出します。
例外処理の配信 (VEH、SEH、LPTOP_LEVEL_EXCEPTION_FILTER) とソフトウェアブレークポイントを分析します。
PAGE_GUARD リダイレクト動作をテストします。
重要なスタブを書き込み不可メモリとして保護し、後で別スレッドでハードウェアアクセラレーションによるハッシュを使用して監視します。
TLS callbacks でプロセスエントリポイントをデバッガのアタッチから保護し、スレッド開始アドレスの検査を実行します。
DbgBreakPoint や DbgUiRemoteBreakin などのデバッガエントリポイントにトラップを作成し、プロセスをクラッシュさせるかリターンさせます。
すべてのスレッドをデバッガイベントとプロセスフリーズから隠します。スレッド優先度の状態が影響を受けないことを保証します。
保護が開始されるとすぐにグローバルベクタードハンドラを設定します。

チェックを実行する唯一の方法がシステムコール不可能なエクスポート関数を使用することである場合、その関数は手動でリバースエンジニアリングされ、保護スレッドのモジュールアドレス空間で実行されるように再構築されます。すべてのユーザーモードメモリ構造は、API を使用する代わりに直接メモリイントロスペクションで走査されます。

保護ルーチンは、ユーザーモードフックに対する保護なしで一部の実行パスを明示的に残し、メモリハニーポットとして機能します。これらは状態比較と攻撃者の混乱のために使用されます。

保護ルーチンは疑似ランダムに実行されます。エントロピーは、純粋な ハードウェアベースの ASLR、スタックの動作、および少しの数学によって決定されます。カーネルを呼び出したり、ユーザーモード API を使用したり、ハイパーバイザによる条件付きまたは無条件の終了命令を発行したりすることはありません。

セキュリティ違反が検出されると、保護システムは STATUS_SXS_EARLY_DEACTIVATION を伴う INT 29h を呼び出すことで現在のプロセスをクラッシュさせ、すべての例外ハンドラをバイパスします。場合によっては、現在のプロセスを終了するために APC をカーネルにキューイングすることもあります。

検出

このライブラリのメインエントリポイント (abdg.c) にあり、順番に説明します。

要約された説明です。特定の検出は、ここで説明されているよりも多くの追加/サブチェックを実行する場合があります。

他の検出コンセプトのソースコードは antidebug\archived フォルダにあります。

1. kernel32 のエクスポート関数を使用して、PEB の BeingDebugged フィールドを読み取ります。
2. エクスポート IsRemoteDebuggerPresent を呼び出して、ターゲットプロセスが自身のコンテキスト外からデバッグされているかどうかを確認します。
3. INT 2D ソフトウェア割り込みを実行し、その命令に続くバイトがスキップされ、EXCEPTION_BREAKPOINT ハンドラを経由しないかどうかを確認します。
4. ブレークポイント割り込み INT 3D を実行し、例外が傍受されるか、通常どおり通過するかを監視します。
5. ICE/0xF1 を呼び出し、EXCEPTION_SINGLE_STEP を発生させ、デバッガがこの例外を RFlags レジスタのシングルステップビットを設定して命令を実行することで生成される通常の例外と見なすかどうかを確認します。
6. フラグを設定してスタックセグメントレジスタをプローブし、デバッガがからそれをクリアするかどうかを確認します。通常、デバッガは各デバッガイベントが配信された後にトラップフラグをクリアします。

使用方法

ガードモード: スレッドがプログラム内で実行を開始し、アタッチされたデバッガを継続的に監視します。デバッガがいつでも検出されると、プログラムは試行をログに記録し (デバッグモードでコンパイルされている場合)、他のプログラムがクラッシュを停止できないようにしながら強制的に終了します。

例:

#include "adbg.h"

int main() {
    StartDebugProtection();

    return 0;
}

単発実行モード: デバッガがプロセスにアタッチされているかどうかを検出するためにいつでも呼び出すことができる関数です。

例:

#include "adbg.h"

int main() {
    if (isProgramBeingDebugged()) {
        printf("Debugger detected.\n");
    }
    else {
        printf("No debugger was detected.\n");
    }

    return 0;
}

ビルド

1. バイナリモード

テストランナー実行可能ファイルをビルドするには、-DBUILD_EXAMPLE=ON を有効にします。これにより example/main.c がコンパイルされ、コアライブラリにエントリポイントを混入させることなく antidebug に対してリンクされます。

Visual Studio (GUI)

Visual Studio でリポジトリフォルダを開きます (または生成された .sln ファイルを開きます)。
目的の構成 (x64-Release または x64-Debug) を選択します。
antidebug_runner をスタートアッププロジェクトとして設定し、Build をクリックします (または F5 を押して実行します)。

CLI (MSVC / Ninja / Clang)

プロジェクトルートから:

cmake -B build -S . -DBUILD_EXAMPLE=ON
cmake --build build --config Release

実行可能ファイルは次の場所にあります:

MSVC マルチ構成: build/Release/antidebug_runner.exe
Ninja シングル構成: build/antidebug_runner.exe

デバッグビルドに関する注意: デバッグモード (--config Debug) でコンパイルすると、core/debug.c を介してコンソール/デバッガ診断ログが有効になります。リリースモードではログが完全に削除されます。

2. ライブラリモード (静的または共有)

デフォルトでは、CMake は 静的ライブラリ (antidebug.lib または libantidebug.a) を生成します。動的リンクライブラリ (DLL) をビルドするには、-DBUILD_SHARED_LIBS=ON を渡します。

オプション A: MSVC (`cl.exe`)

Visual Studio ジェネレータを使用:

# Static Library (.lib)
cmake -B build -S . -A x64 -DBUILD_SHARED_LIBS=OFF
cmake --build build --config Release

# Dynamic Library (.dll + import .lib)
cmake -B build -S . -A x64 -DBUILD_SHARED_LIBS=ON
cmake --build build --config Release

オプション B: Clang-CL (MSVC 統合の LLVM)

clang-cl で Ninja を使用:

# Ensure clang-cl is in your PATH or run from the VS x64 Native Tools Command Prompt
cmake -B build -S . -G Ninja -DCMAKE_C_COMPILER=clang-cl -DCMAKE_BUILD_TYPE=Release -DBUILD_SHARED_LIBS=OFF
cmake --build build

オプション C: Clang (MinGW / LLVM-MinGW)

64 ビット LLVM-MinGW シェル (PATH に x86_64-w64-mingw32-clang) を起動し、Ninja を使用します:

# Static Library (.a)
cmake -B build -S . -G Ninja -DCMAKE_C_COMPILER=clang -DCMAKE_BUILD_TYPE=Release -DBUILD_SHARED_LIBS=OFF
cmake --build build

# Shared Library (.dll)
cmake -B build -S . -G Ninja -DCMAKE_C_COMPILER=clang -DCMAKE_BUILD_TYPE=Release -DBUILD_SHARED_LIBS=ON
cmake --build build

3. CMake によるインストール

コンパイル済みライブラリとヘッダーをローカルプレフィックスにインストールするには:

cmake --install build --prefix "C:/local/antidebug"

これにより以下が生成されます:

C:/local/antidebug/
├── bin/
│   └── antidebug.dll           (if BUILD_SHARED_LIBS=ON)
├── lib/
│   └── antidebug.lib           (or libantidebug.a)
└── include/
    └── antidebug/
        ├── adbg.h
        └── ...

法的情報と免責事項

このプロジェクトの悪意のある使用によって引き起こされたいかなる損害についても、私は責任を負いません。

BUILD ドキュメントの生成は AI によって行われました。問題があれば報告してください。

ライセンス: MIT

antidbg

人気