windows - 禁止将 EXCEPTION_DEBUG_EVENT 传递给附加的调试器

Question

我正在处理一个反调试应用程序，它禁止将 EXCEPTION_DEBUG_EVENT 传递给我的调试器，而是执行其 SEH 和 UnhandledExceptionFilters。

• 我尝试了 3 种不同的调试器(甚至是自制的)
• 我的调试器接收到其他调试事件，如 LOAD_DLL、CREATE_THREAD 等
• 第一次调试和最后一次调试都没有通过异常
• 我自己创建的线程的断点事件被传递给调试器，因此反调试方法必须是线程特定的，并且可能是对 ThreadInformationBlock 的修改
• 没有内核模式访问权限

那怎么可能在用户模式下传递EXCEPTION_DEBUG_EVENT(只针对一个线程，不影响整个进程)？

Answer 1

嗯..解决方案很简单:

打电话

NtSetInformationThread(
  IN HANDLE               ThreadHandle,
  IN THREAD_INFORMATION_CLASS ThreadInformationClass,
  IN PVOID                ThreadInformation,
  IN ULONG                ThreadInformationLength );

将 ThreadHideFromDebugger ( 0x11 ) 作为 ThreadInformationClass。