LyScript 插件集成的内置API函数可灵活的实现绕过各类反调试保护机制，前段时间发布的那一篇文章并没有详细讲解各类反调试机制的绕过措施，本次将补充这方面的知识点，运用LyScript实现绕过大多数通用调试机制，实现隐藏调试器的目的。
我们以此实现Patches如下函数:
- IsDebuggerPresent
- ZwQueryInformationProcess
- CheckRemoteDebuggerPresent
- PEB.IsDebugged
- PEB.ProcessHeap.Flag
- PEB.NtGlobalFlag
- PEB.Ldr 0xFEEEFEEE filling
- GetTickCount
- ZwQuerySystemInformation
- FindWindowA
- FindWindowW
- FindWindowExA
- FindWindowExW
- EnumWindows
首先第一步我们需要自己封装实现一个反汇编转机器码的函数，其作用是当用户传入汇编列表时，自动将其转为机器码并输出为列表格式。
输出效果如下：
Patch_PEB
PEB结构存在许多反调试变量，首先我们需要先将这些变量填充为空。
Patch_IsDebuggerPresent
该函数用于检测自身是否处于调试状态，其C系列代码如下所示，绕过此种方式很简单，只需要在函数头部写出ret指令即可。
注意：此Api检查PEB中的值，因此如果修补PEB，则无需修补Api，这段绕过代码如下。
- from LyScript32 import MyDebug
-
- # 传入汇编代码,得到对应机器码
- def get_opcode_from_assemble(dbg_ptr,asm):
- byte_code = bytearray()
-
- addr = dbg_ptr.create_alloc(1024)
-
来源：孤风洗剑
声明：本站部分文章及图片转载于互联网，内容版权归原作者所有，如本站任何资料有侵权请您尽早请联系jinwei@zod.com.cn进行处理,非常感谢！