NtQueryInformationProcess (反调试)

最新推荐文章于 2026-06-20 10:07:10 发布

转载最新推荐文章于 2026-06-20 10:07:10 发布 · 3.2k 阅读

5 ·

本内容遵循CC 4.0 BY-SA版权协议

原文链接：https://bbs.pediy.com/thread-249572.htm

二进制专栏收录该内容

14 篇文章

订阅专栏

本文详细解读了Windows系统中的NtQueryInformationProcess函数，包括ProcessDebugPort、ProcessDebugObjectHandle和ProcessDebugFlags在检测进程调试状态中的应用，以及CheckRemoteDebuggerPresent函数的工作原理。同时探讨了如何通过HOOK API、修改返回值和使用OD插件来绕过检测。

文章目录

0x01 NtQueryInformationProcess ()
- 一、NtQueryInformationProcess ()
- 二、CheckRemoteDebuggerPresent()

0x01 NtQueryInformationProcess ()

一、NtQueryInformationProcess ()

函数原型：

NTSYSAPI NTSTATUS NTAPI NtQueryInformationProcess (
　　IN HANDLE 　　　　　　　　ProcessHandle, 　　　　　　// 进程句柄
　　IN PROCESSINFOCLASS 　　InformationClass, 　　　　 // 信息类型
　　OUT PVOID 　　　　　　　　ProcessInformation, 　　　 // 缓冲指针
　　IN ULONG 　　　　　　 　　ProcessInformationLength, // 以字节为单位的缓冲大小
　　OUT PULONG 　　　　　 　　ReturnLength OPTIONAL     // 写入缓冲的字节数
);

第二个参数是一个枚举类型，其中与反调试有关的成员有ProcessDebugPort(0x7)、ProcessDebugObjectHandle(0x1E)和ProcessDebugFlags(0x1F)三种

ProcessDebugPort(0x7)
进程处于调试状态时，操作系统会为他分配1个调试端口(debug port) ， InformationClass设为ProcessDebugPort(0x07) 时，调用NtQueryInformationProcess()函数就可以获取调试端口。若处于调试状态 , 第三个参数会被置为0xFFFFFFFF(-1)；若处于非调试状态,第三个参数值会被设置为0

ProcessDebugObjectHandle(0x1E)
调试进程时，会生成一个调试对象(Debug Obiect)。 NtQueryInformationProcess() 第二个参数值为0x1E时，函数的第三个参数就能获取到调试对象句柄，进程处于调试状态->调试句柄存在->返回值不为 NULL ；处于非调试状态 , 返回值为 NULL。

ProcessDebugFlags(0x1F)
调试标志:Debug Flags 。检测调试标志的值也可以判断进程是否处于被调试状态。当 NtQueryInformationProcess() 第二个参数为0x1F时，第三个参数：调试状态:0；非调试状态:1

破解方法：直接 HOOK API；修改返回值；利用 OD 插件 strong OD 中 KernelMode 可以绕过。

二、CheckRemoteDebuggerPresent()

该函数可以与 IsdebuggerPresent（）类似，可以检测进程是否处于调试状态，且其不仅仅可以检测自身是否处于调试状态，还可以检测其他程序是否处于调试状态。如果调试器存在 (通常是检测自己是否正在被调试)，该函数会将pbDebuggerPresent指向的值设为0xffffffff。其函数实际上是利用了前面的 NtQueryInformationProcess () 函数中的 ProcessDebugPort 实现的。函数原型为：

BOOL WINAPI CheckRemoteDebuggerPresent(
  _In_    HANDLE hProcess,
  _Inout_ PBOOL  pbDebuggerPresent
);

破解方法：利用 NtQueryInformationProcess () 的破解方法即可。