0
点赞
收藏
分享

微信扫一扫

C++ 反反调试(TLS回调函数)

​​关于 TSL 反调试的内容,参考这篇文章​​

说完反调试,如果不说反反调试就 毫无意义

C++ 反反调试(TLS回调函数)_回调函数

下面讲下针对 TLS 回调函数的反反调试方法。

引用了 TLS 功能的程序会在 PE 文件里生成一个 TLS 表:

C++ 反反调试(TLS回调函数)_打开程序_02

进入这个表中查看,发现它的大小为 24 个字节:

C++ 反反调试(TLS回调函数)_反调试_03

关于 TLS 的结构体,有 32 位和 64 位两个版本:

C++ 反反调试(TLS回调函数)_打开程序_04


C++ 反反调试(TLS回调函数)_打开程序_05


其中 _IMAGE_TLS_DIRECTORY64 大小为:8x4+4x2=40,_IMAGE_TLS_DIRECTORY32 大小为:4x6=24,那么就说明,我们刚刚看到的程序使用了 _IMAGE_TLS_DIRECTORY32 。我们需要的是 AddressOfCallBacks 这个成员,也就是下图中 +12 的这个位置。

C++ 反反调试(TLS回调函数)_反调试_06


在 hex 界面找到 +12 这个位置,又因为 DWORD 大小为 4 ,所以再向后查 4 字节,也就是下图这个样子:

C++ 反反调试(TLS回调函数)_打开程序_07

把它的内容清空(设置为 0),保存。再次用 OD 打开程序,发现反反调试已经生效:

C++ 反反调试(TLS回调函数)_打开程序_08

C++ 反反调试(TLS回调函数)_回调函数_09


拜拜了您嘞



举报

相关推荐

0 条评论