AntiDBG

antidbg 是一个面向 Windows 的 x64 用户态反调试库，旨在保护软件免受调试。

请将该库视为反调试保护的基础，而非唯一的防御手段。

该库具有以下特点：

• 非常易于使用（只需调用一个函数）。
• 专为高性能和最低资源占用而设计（1% CPU 占用；<2MB 内存）。
• 无任何外部依赖。
• 完全采用 MIT 许可。
• 符合 CFG 规范。

结构

威胁模型假设调试器可能以任意权限级别拦截受此保护系统守护的软件，权限级别越高，检测效果越弱。

本软件经过加固，可通过以下方式绕过简单的 CPL > 0 拦截：

• 通过内联汇编进行系统调用，避免任何形式的 API 挂钩。
• 为当前进程强制执行虚拟内存保护和注入缓解策略。
• 通过检测和/或覆盖非合法的插桩回调，防止 RAX 中的系统调用欺骗。
• 通过磁盘文件与内存对比，检测对受监控 .text 节区的任何形式的内联补丁。
• 分析异常处理传递（VEH、SEH、LPTOP_LEVEL_EXCEPTION_FILTER）和软件断点。
• 测试 PAGE_GUARD 重定向行为。
• 将重要存根保护为不可写内存，随后在独立线程上使用硬件加速哈希对其进行监控。
• 通过 TLS 回调 保护进程入口点免受调试器附加，并执行线程起始地址检查。
• 在调试器入口点（如 DbgBreakPoint 和 DbgUiRemoteBreakin）创建陷阱，以使进程崩溃或返回。
• 对调试器事件和进程冻结隐藏所有线程。确保线程优先级状态不受影响。
• 保护启动后立即设置全局向量化处理程序。

如果执行检查的唯一方式是使用不可系统调用的导出函数，则会手动逆向工程并重建该函数，使其在保护线程的模块地址空间中运行。所有用户态内存结构均通过直接内存内省而非 API 进行遍历。

保护例程会显式地留下一些未受用户态挂钩保护的执行路径，作为内存蜜罐。它们用于状态比较并迷惑攻击者。

保护例程以伪随机方式运行。熵由纯基于硬件的 ASLR、栈行为以及少量数学运算决定；不调用内核、不使用用户态 API，也不由虚拟机监控程序发出有条件或无条件退出指令。

当检测到安全违规时，保护系统会通过调用 INT 29h 并传入 STATUS_SXS_EARLY_DEACTIVATION 使当前进程崩溃，绕过所有异常处理程序。在某些情况下，它还会向内核排队一个 APC 以终止当前进程。

检测项

位于本库的主入口点（abdg.c）中，按顺序说明。

以下为简要说明；特定检测项可能执行比此处所述更多的额外/子检查。

你可以在 antidebug\archived 文件夹中找到其他检测概念的更多源代码。

• 1. 使用 kernel32 的导出函数读取 PEB 的 BeingDebugged 字段。
• 2. 调用导出函数 IsRemoteDebuggerPresent，以查看目标进程是否正从其自身上下文之外被调试。
• 3. 执行 INT 2D 软件中断，检查该指令后的字节是否被跳过，而非经由 EXCEPTION_BREAKPOINT 处理程序路由。
• 4. 执行断点中断 INT 3D，然后观察异常是被拦截还是正常传递。
• 5. 调用 ICE/0xF1，引发 EXCEPTION_SINGLE_STEP，并检查调试器是否会将此异常视为在 RFlags 寄存器中设置单步位执行指令所生成的正常异常。
• 6. 通过设置 TF 标志并检查调试器是否将其从 中清除来探测栈段寄存器，因为调试器通常会在每个调试器事件传递后清除陷阱标志。

用法

1. 守护模式：一个线程将在你的程序中启动并持续监控附加的调试器。如果任何时候检测到调试器，程序将记录该尝试（如果在调试模式下编译）并强制退出，同时阻止任何其他程序停止崩溃。

示例：

#include "adbg.h"

int main() {
    StartDebugProtection();

    return 0;
}

2. 单次运行模式：一个你可以随时调用的函数，用于检测是否有调试器附加到你的进程。

示例：

#include "adbg.h"

int main() {
    if (isProgramBeingDebugged()) {
        printf("Debugger detected.\n");
    }
    else {
        printf("No debugger was detected.\n");
    }

    return 0;
}

构建

1. 二进制模式

要构建测试运行器可执行文件，请启用 -DBUILD_EXAMPLE=ON。这将编译 example/main.c 并将其链接到 antidebug，而不会用入口点污染核心库。

Visual Studio（图形界面）

1. 在 Visual Studio 中打开仓库文件夹（或打开生成的 .sln 文件）。
2. 选择你想要的配置（x64-Release 或 x64-Debug）。
3. 将 antidebug_runner 设置为启动项目，然后点击 Build（或按 F5 运行）。

命令行（MSVC / Ninja / Clang）

从项目根目录：

cmake -B build -S . -DBUILD_EXAMPLE=ON
cmake --build build --config Release

可执行文件将位于：

• MSVC 多配置：build/Release/antidebug_runner.exe
• Ninja 单配置：build/antidebug_runner.exe

关于调试构建的说明： 在调试模式下编译（--config Debug）会通过 core/debug.c 启用控制台/调试器诊断日志。发布模式会完全移除日志记录。

2. 库模式（静态或共享）

默认情况下，CMake 生成静态库（antidebug.lib 或 libantidebug.a）。要构建动态链接库（DLL），请传递 -DBUILD_SHARED_LIBS=ON。

选项 A：MSVC（cl.exe）

使用 Visual Studio 生成器：

# Static Library (.lib)
cmake -B build -S . -A x64 -DBUILD_SHARED_LIBS=OFF
cmake --build build --config Release

# Dynamic Library (.dll + import .lib)
cmake -B build -S . -A x64 -DBUILD_SHARED_LIBS=ON
cmake --build build --config Release

选项 B：Clang-CL（集成 MSVC 的 LLVM）

使用 Ninja 配合 clang-cl：

# Ensure clang-cl is in your PATH or run from the VS x64 Native Tools Command Prompt
cmake -B build -S . -G Ninja -DCMAKE_C_COMPILER=clang-cl -DCMAKE_BUILD_TYPE=Release -DBUILD_SHARED_LIBS=OFF
cmake --build build

选项 C：Clang（MinGW / LLVM-MinGW）

启动你的 64 位 LLVM-MinGW shell（x86_64-w64-mingw32-clang 在你的 PATH 中）并使用 Ninja：

# Static Library (.a)
cmake -B build -S . -G Ninja -DCMAKE_C_COMPILER=clang -DCMAKE_BUILD_TYPE=Release -DBUILD_SHARED_LIBS=OFF
cmake --build build

# Shared Library (.dll)
cmake -B build -S . -G Ninja -DCMAKE_C_COMPILER=clang -DCMAKE_BUILD_TYPE=Release -DBUILD_SHARED_LIBS=ON
cmake --build build

3. 通过 CMake 安装

要将编译好的库和头文件安装到本地前缀：

cmake --install build --prefix "C:/local/antidebug"

这将生成：

C:/local/antidebug/
├── bin/
│   └── antidebug.dll           (if BUILD_SHARED_LIBS=ON)
├── lib/
│   └── antidebug.lib           (or libantidebug.a)
└── include/
    └── antidebug/
        ├── adbg.h
        └── ...

法律与免责声明

对于你通过任何恶意使用本项目所造成的任何损害，我概不负责，也不承担任何责任。

BUILD 文档的生成由 AI 完成，如有任何问题请报告。

许可证：MIT