The Art of Reversing by Ap0x - Tutoriali.org

Windows check debugger API
Evo jos jednog primera za Delphi programere. Ovaj deo koda je
zasebna funkcija koja se koristi za detekciju bilo kog aktivnog debuggera.
Ova funkcija ce detektovati da li je program startovan uz pomoc nekog
debuggera ili ne. Ovo je bar koliko je meni poznato nedokumentovana API
funkcija. Slucajno sam naisao na nju prilikom reversovanja programa koji je
bio pakovan i zasticen AsProtectom. Posle dosta razmatranja dosao sam do
zakljucka da AsProtect koristi windowsovu API funkciju IsDebuggerPresent
koja se nalazi u kernel32.dll-u koja nema ulaznih parametara a vraca kao
rezultat 1 ili 0 u zavisnosti od toga da li je debugger detektovan. Kada se sve
ovo sroci u jednu Delphi funkciju to izgleda upravo ovako:
function IsDebuggerPresent: Integer; stdcall; external 'kernel32.dll' name
'IsDebuggerPresent';
Kao sto je za SICE objasnjeno reversing ove funkcije se radi veoma
jednostavno. Otvorite isti primer koji smo koristili u proslom delu poglavlja.
Ako postavimo break-point na IsDebuggerPresent pokrenemo program i
pritisnemo dugme Test Debugger API zavrsicemo u kernel32.dll-u a posle
izvrsenja RET komande naci cemo se ovde:
0045229A 8BC0 MOV EAX,EAX
0045229C . E8 F3FFFFFF CALL IsDebuggerPresent