CN105793860A - 反调试方法 - Google Patents

Abstract

公开了一种反调试方法。本发明提供了一种用于通过反调试装置执行反调试的方法，所述反调试方法包括：用于生成子进程的步骤；用于在所述子进程中监测父进程的状态的父进程监测步骤；以及用于在所述父进程中监测所述子进程的状态的子进程监测步骤。

Description

反调试方法

技术领域

本发明涉及用于监测进程状态的反调试方法。

背景技术

下面的内容仅提供了与本发明相关的背景信息，但是并不构成现有技术。

黑客行为是通过分析程序而开始的。仅当通过程序分析而理解逻辑时，程序才可能会被实质上破解(Crack)。存在两种分析程序的方法。一种是静态分析法，而另一种是动态分析法。

静态分析法仅分析文件本身而不运行程序文件。静态分析法通过使用反汇编工具或反编译工具来分析二进制程序文件。上述工具可将二进制程序文件转换成汇编语言或其它高级语言形式。可以通过对转换后的汇编语言等进行分析来理解程序的逻辑。

与静态分析法不同，动态分析法运行程序并且通过观察程序的在调试工具处的运行代码的流程、内存状态和寄存器状态来分析程序。由于使用调试器的分析方法在观察运行代码的流程的同时分析程序，所以容易理解程序的逻辑并且能够确定执行正在运行的代码的部分和不执行正在运行的代码的部分。另外，在分析期间，存储在存储器或寄存器中的值可以发生变化。

通过使用调试的分析方法，能够在程序的逻辑流程或运行期间实时地改变数据。由于动态分析法的分析范围比静态分析法的分析范围更大，所以动态分析法得到了更广泛地使用。

反调试(anti-debugging)是通过阻碍调试来防止分析的技术。如果发生调试，则可通过使用诸如用于终止对应的调试程序的方法或用于产生错误的方法等各种方法来防止分析。根据相关技术的反调试技术主要确认调试程序是否运行并停止运行调试目标程序。然而，根据上述方法，当出现诸如新调试程序等意料之外的情况时，难以对这样的意料之外的情况进行处理。另外，限于特定操作系统或处理器的反调试技术已经被人们使用。例如，Windows操作系统使用这样的方法：通过使用由Windows提供的NtGlobeFlag值以及应用程序接口(API)的IsDebuggerPresent()和CheckRemoteDebuggerPresent()来确定是否正在执行调试。然而，由于Linux、Unix和OSX等不提供相同或相似的API，所以无法使用上述方法。

发明内容

发明目的

本发明的主要目的在于提供一种用于监测进程状态的反调试方法。

技术方案

根据本实施例的一个方面提供了用于通过使用反调试装置执行反调试的方法，所述方法包括：创建子进程；通过所述子进程对父进程的状态进行监测；以及通过所述父进程对所述子进程的状态进行监测。

根据本实施例的另一个方面提供了一种反调试装置，所述装置包括：父进程，其包括用于创建子进程的子进程创建单元和用于监测所述子进程的状态的子进程监测单元；以及子进程，其包括用于监测所述父进程的状态的父进程监测单元。

技术效果

如上所述，根据本发明实施例，所述父进程实时地监测所述子进程的状态且所述子进程实时地监测所述父进程的状态。当所述父进程或所述子进程被改变为调试状态(即，被追踪或被停止状态)时，可以通过立即强行终止所述父进程和所述子进程来防止程序在所述调试状态下运行。

另外，根据本发明实施例，可以保护程序免遭被广泛用于破解游戏等的存储器欺骗(memorycheat)程序的攻击。由于存储器欺骗程序是在攻击目标程序的状态被改变为被追踪或被停止状态之后执行的，所以根据本发明实施例，检查进程是否处于被追踪状态。如果确认所述进程处于被追踪状态，则能够通过终止所述进程来保护所述程序免遭存储器欺骗程序的攻击。

附图说明

根据下面的详细说明并结合附图，本发明的目的、特征和优点将更加显而易见，其中：

图1是图示了用于提供反调试的计算机的构造的框图；

图2是图示了进程控制模块的构造的示例性示图；

图3是图示了进程的状态转换过程的示例性示图；

图4A是图示了根据本发明实施例的用于通过父进程监测子进程的方法的流程图；

图4B是图示了根据本发明实施例的用于通过子进程监测父进程的方法的流程图；

图5是图示了父进程和子进程相互监测的状态的示例性示图；以及

图6是图示了根据本发明实施例的反调试装置的构造的框图。

具体实施方式

参考附图对本发明的示例性实施例进行详细说明。本发明的技术范围适用于各种系统，并不限于特定操作系统或硬件。

图1是图示了用于提供反调试的计算机的构造的框图。

图1图示了用于提供反调试以互相地监测父进程和子进程是否被调试的进程状态的计算机的示例。当运行存储在辅助存储器130中的程序时，该程序被加载到主存储器120中并通过中央处理器(CPU)110对其进行处理，并且处理结果被显示在显示单元140上。当该程序被运行时，创建(复刻(fork))具有与该程序的形态相同的形态的子进程，并且该程序本身变为该子进程的父进程。所述父进程和子进程可在彼此间对另一方的进程状态进行监测，以防止该程序由于调试而被分析。

图2是图示了进程控制模块的构造的示例性示图。

当通过运行程序来创建进程时，操作系统内部存储必要信息以管理该进程。用于存储所述必要信息的模块被称为进程控制模块(PCB)200。然而，根据操作系统，PCB200可以被称为其它的名称。PCB200可包括诸如进程状态210、进程标识符(ID)220、程序计数器230、寄存器240、存储器管理信息250和文件信息260等信息。用于表示诸如创建状态、准备状态、运行状态、等待状态、终止状态和追踪状态等进程状态的信息被存储在进程状态210中。用于识别系统中的运行进程的ID信息被存储在进程ID220中。与CPU的操作相关的寄存器值被存储在寄存器240中。与进程的地址空间相关的信息被存储在存储器管理信息250中。与进程为了输入/输出而打开的文件以及输入/输出装置相关的信息被存储在文件信息260中。

图3是图示了进程的状态转换过程的示例性示图。

图3是图示了当创建进程时图2的PCB中包含的进程状态信息的转换过程的示例性示图。当存储在辅助存储器130中的程序被运行并被加载到主存储器120中时，进程被创建并且被初始化。此时，PCB200的进程状态值被设定为新状态或创建状态310。然而，进程被创建但可能不被操作系统运行。为了运行该进程，进程应当在操作系统的内核(Kernel)中的队列(Queue)中等待CPU的指派。此时，进程状态值变为准备状态320。当进程在队列中的等待期间排到它的顺序时，进程被CPU指派运行。此时，进程状态值变为运行状态330。如果在进程的运行下出现需要输入/输出(I/O)的情况，则进程将I/O请求发送至系统且进程变为等待状态340。当在等待状态340中完成输入/输出时，进程变为准备状态320以待再次运行。当进程排到它的顺序时，进程被CPU指派运行，使得进程状态变为运行状态330。当进程完成它的操作时，进程将它的所有资源返回至系统并被终止。当进程将它的所有资源返回至系统以终止时，进程处于终止状态350。

在进程被终止之前，如果调试器被连接至处于某一个状态的进程以进行调试时，则进程状态转变至被追踪或被停止状态。另外，程序即使在调试器中也可被运行。此时，创建的进程变为被追踪状态。本发明的技术构思通过理解进程的上述状态转换来辨别调试状态。当辨别出调试状态时，停止进程的运行以防止程序经过调试而被分析。将参考图4A和图4B对上述情况进行详细说明。

图4A是图示了根据本实施例的用于通过父进程监测子进程的方法的流程图。

通过将程序加载到主存储器120中来运行程序，使得进程被创建(S410)。被创建的进程创建子进程(S420)，该子进程共享程序代码但具有单独的地址空间。此时，创建子进程的上述进程被称为父进程。父进程连续地检查子进程的状态是否是被追踪或被停止状态(S430)。如果程序未被终止(S440)，则连续地执行由父进程检查子进程的步骤。诸如GnuDebugger(GDB)等调试器可通过在调试器中运行程序或连接至运行中的进程来对程序进行调试。另外，存储器欺骗程序同样将程序状态改变为被追踪状态并且随后改变处于存储器欺骗程序的期望位置处的内存值。如果子进程的状态被改变为被追踪状态，则子进程可以确定程序被诸如调试器或存储器欺骗程序等动态分析工具分析。由于当通过使用调试器对进程进行调试时进程状态被改变为被追踪状态，所以进程的所述被追踪状态可被确定为调试状态。所述被追踪状态是进程的被停止状态。当诸如GDB等调试器被连接至程序的处于被停止状态的进程或者调制器设定中断点以调试进程时，被追踪状态出现。因此，被追踪状态可被确定为调试状态。

如上所述，当进程处于被追踪状态时，可以立即停止进程以防止程序被分析。此外，父进程监测子进程是否被终止。如果子进程被终止，则也终止父进程。

图4B是图示了根据本实施例的用于通过子进程监测父进程的方法的流程图。

通过父进程创建子进程(S450)。创建的子进程连续地检查父进程的状态是否是被追踪状态(S460)。如果父进程的状态被改变为被追踪状态，则子进程可以确定父进程的程序被诸如调试器或存储器欺骗程序等动态分析工具分析。如果程序未被终止(S470)，则连续地执行由子进程监测父进程的步骤。如果以与图4A中的方式相同的方式确定程序被分析，则终止父进程以防止程序被分析。此外，子进程监测父进程是否被终止。如果确定父进程被终止，则也终止子进程。

在仅通过父进程监测进程状态的情况下，如果父进程本身被改变为被追踪状态，则父进程处于任何操作可能都不被执行的被停止状态，因此，父进程和子进程应当互相监测。仅由父进程执行的状态监测可能不监测父进程本身的被追踪状态。根据本发明，如果父进程创建子进程以互相监测，则当两个进程中的一者被改变为被追踪状态时，另一进程可以监测到变化的进程以停止该进程。

图5是图示了父进程和子进程相互监测的状态的示例性示图。

图5图示了如下状态的示例：其中，通过运行程序来创建父进程510，并且父进程510创建(复刻)子进程520，然后父进程510监测子进程520的状态且子进程520监测父进程510的状态。

运行到主存储器120中的父进程510和子进程520总是成对地相互监测。如果父进程510和子进程520中的一者被终止，则也终止另一进程，且如果父进程510和子进程520中的一者被改变为被追踪状态，则另一进程终止被改变的进程并同样终止另一进程本身以防止程序被分析。

图6是图示了根据本实施例的反调试装置的构造的框图。

反调试装置600包括父进程610和子进程620。父进程610包括用于创建子进程620的子进程创建单元612、用于监测被创建的子进程620的进程状态的子进程监测单元614以及用来存储包括父进程状态信息在内的用于管理父进程的信息的进程控制模块200。

子进程创建单元612可以在创建子进程620之后创建作为用于监测子进程620的单独线程的子进程监测单元614。子进程监测单元614连续地检查子进程620内部的进程控制模块200的进程状态信息是否处于被追踪状态。作为上述检查的结果，如果确认进程控制模块200的进程状态信息处于被追踪状态，则确定程序被调试器或存储器欺骗程序分析，从而终止父进程610和子进程620。此外，当子进程620不存在时，终止父进程610。此外，子进程同样可以创建单独的线程来监测父进程。

子进程620包括用于监测父进程610的进程状态的父进程监测单元622和用于存储包括子进程状态信息在内的用于管理进程的信息的进程控制模块200。子进程620的父进程监测单元622连续地检查父进程610的进程控制模块200的进程状态是否处于被追踪状态。父进程监测单元622可以作为子进程620中的单独线程而进行操作。作为上述检查的结果，当进程控制模块200的状态信息处于被追踪状态时，确定程序被调试器或存储器欺骗程序分析，从而终止父进程610和子进程620。此外，当父进程610不存在时，终止子进程620。

根据本发明的实施例的反调试装置600可以是诸如个人计算机(PC)、笔记本电脑、平板电脑、个人数字助理(PDA)、游戏机、便携式多媒体播放器(PMP)、掌上游戏机(PSP)、无线通信终端、智能手机、TV和媒体播放器等用户终端。根据本发明的实施例的反调试装置600可以是诸如应用服务器和服务伺服器等服务器端。根据本发明的实施例的反调试装置600可以分别指设置有(i)诸如通信调制解调器等与各种装置或有线/无线通信网络通信的通信装置、(ii)存储用于执行程序的数据的存储器和(iii)用于通过执行程序来执行计算和控制的微处理器等的各种装置。根据至少一个实施例，所述存储器可以是诸如随机存取存储器(RAM)、只读存储器(ROM)、闪存、光盘、磁盘和固态硬盘(SSD)等计算机可读记录/存储媒介。根据至少一个实施例，所述微处理器可被编程为可选择地执行本文所述的各操作和各功能中的至少一个。根据至少一个实施例，可以通过使用诸如具有特定构造的专用集成电路(ASIC)等硬件来整体地或部分地实施所述微处理器。

上述说明仅仅通过示例对各实施例的技术构思进行了说明。本发明的领域内的技术人员可以在不偏离本公开的原理的情况下进行各种修改、添加和替换。因此，各实施例旨在举例说明而不是限制本发明的技术范围。本发明的技术构思的范围不受实施例的限制。本发明的范围将通过所附权利要求进行解释。所有如上所述的修改和变化都将被理解为包含在本实施例的范围内。

Claims (10)

1.一种用于通过反调试装置执行反调试的方法，所述方法包括：

创建子进程；

通过所述子进程对父进程的状态进行监测；以及

通过所述父进程对所述子进程的状态进行监测。

2.如权利要求1所述的方法，其中，对所述父进程的状态进行监测包括：

通过所述子进程获取所述父进程的进程控制模块中的进程状态值；以及

检查所述父进程的所述进程状态值是否处于被追踪或被停止状态。

3.如权利要求2所述的方法，其还包括：

当所述父进程的状态处于所述被追踪状态时，终止所述父进程和所述子进程。

4.如权利要求1所述的方法，其还包括：

当所述父进程被终止时，终止所述子进程。

5.如权利要求1所述的方法，其中，对所述子进程的状态进行监测包括：

通过所述父进程获取所述子进程的进程控制模块中的进程状态值；以及

检查所述子进程的所述进程状态值是否处于被追踪或被停止状态。

6.如权利要求5所述的方法，其还包括：

当所述子进程的状态处于所述被追踪状态时，终止所述父进程和所述子进程。

7.如权利要求1所述的方法，其还包括：

当所述子进程被终止时，终止所述父进程。

8.一种反调试装置，其包括：

父进程，其包括用于创建子进程的子进程创建单元和用于监测所述子进程的状态的子进程监测单元；以及

子进程，其包括用于监测所述父进程的状态的父进程监测单元。

9.如权利要求8所述，其中，所述父进程创建作为单独线程的所述子进程监测单元。

10.如权利要求8所述，其中，所述子进程创建作为单独线程的所述父进程监测单元。