📅 发布时间：2026/6/18 17:34:02

第09章：反调试与防篡改

9.1 反调试技术

9.1.1 反调试概述

反调试技术用于检测和防止调试器附加到应用程序，保护代码不被动态分析。

9.1.2 检测方法

检测调试器附加

if (System.Diagnostics.Debugger.IsAttached)
{Environment.Exit(1);
}

检测调试端口
- NtQueryInformationProcess
- CheckRemoteDebuggerPresent
时间检测
- 检测执行时间异常
- 识别单步执行

9.1.3 配置反调试

Settings → Protection → Anti-Debug☑ Enable Anti-Debug ProtectionMethods:
☑ Detect Debugger Attach
☑ Detect Debug Port
☑ Detect Time Manipulation
☑ Detect Memory ScannersActions:
● Exit Application
○ Display Warning
○ Corrupt Data
○ Custom Handler

9.2 防篡改技术

9.2.1 完整性检查

程序集哈希验证：

☑ Enable Integrity CheckCheck Timing:
☑ On Startup
☑ During Execution
☑ Before Critical OperationsHash Algorithm:
● SHA256
○ SHA512
○ Custom

9.2.2 自校验代码

.NET Reactor 自动注入：

// 自动注入的完整性检查
private static bool VerifyIntegrity()
{byte[] expected = { /* 预计算的哈希 */ };byte[] actual = ComputeAssemblyHash();return CompareHashes(expected, actual);
}

9.2.3 防修改

Settings → Protection → Anti-Tampering☑ Enable Anti-TamperingProtection Levels:
○ Basic (基础检查)
● Standard (标准检查)
○ Strong (强检查)Options:
☑ Protect Code Sections
☑ Protect Resources
☑ Protect Metadata
☑ Continuous Monitoring

9.3 反转储保护

9.3.1 内存保护

防止内存转储：

☑ Anti-Dump ProtectionMethods:
☑ Protect Memory Pages
☑ Encrypt in Memory
☑ Clear After Use
☑ Detect Memory Scanners

9.3.2 防止进程监控

检测：
- Process Explorer
- Process Monitor
- WinDbg
- OllyDbg
- x64dbg

9.4 虚拟机检测

9.4.1 检测虚拟化环境

Settings → Protection → VM Detection☑ Detect Virtual MachinesDetect:
☑ VMware
☑ VirtualBox
☑ Hyper-V
☑ Parallels
☑ QEMUAction:
○ Allow
● Warn
○ Deny

9.4.2 沙箱检测

☑ Detect SandboxesDetect:
☑ Cuckoo Sandbox
☑ Anubis
☑ Joe Sandbox
☑ ThreatAnalyzer

9.5 代码注入防护

9.5.1 DLL注入检测

// 检测未授权的 DLL
private static bool DetectInjectedDLLs()
{var modules = Process.GetCurrentProcess().Modules;foreach (ProcessModule module in modules){if (!IsAuthorizedModule(module.FileName)){return true;  // 检测到注入}}return false;
}

9.5.2 代码钩子检测

检测技术：
- IAT Hook 检测
- Inline Hook 检测
- SSDT Hook 检测

9.6 实战示例

综合保护实现：

public class SecurityManager
{public static bool Initialize(){// 1. 检测调试器if (AntiDebug.IsDebuggerPresent()){HandleSecurityViolation("Debugger detected");return false;}// 2. 验证完整性if (!IntegrityChecker.Verify()){HandleSecurityViolation("Tampering detected");return false;}// 3. 检测虚拟机if (VMDetector.IsVirtualMachine()){// 可以选择继续或退出LogWarning("Running in VM");}// 4. 检测注入if (InjectionDetector.HasInjectedCode()){HandleSecurityViolation("Code injection detected");return false;}return true;}private static void HandleSecurityViolation(string reason){// 记录日志Logger.Security($"Security violation: {reason}");// 清理敏感数据SecureDataManager.Clear();// 退出程序Environment.Exit(1);}
}

9.7 性能影响

检测频率配置：

Continuous Monitoring:
Check Interval: [5000] msPerformance Mode:
○ High Security (频繁检查)
● Balanced (平衡)
○ Low Overhead (最小开销)

9.8 本章小结

本章介绍了反调试和防篡改技术，这些是保护应用程序运行时安全的重要手段。通过合理配置这些保护机制，可以有效防止动态分析和恶意修改。

第09章 反调试与防篡改