[反调试 r0] DebugPort 端口清零

原理

debugport 是在 EPROCESS 结构中的.调试时间会通过 DebugPor t端口将调试事件发送给 ring3 进行调试的.如果设置为0.则 ring3 就无法进行调试了。

这是我随便找的一个系统下的 _eprocess 结构

kd> !strct eprocess
!strct eprocess
struct _EPROCESS (sizeof=648)
+000 struct _KPROCESS Pcb
+000 struct _DISPATCHER_HEADER Header
+000 byte Type
+001 byte Absolute
+002 byte Size
+003 byte Inserted
+004 int32 SignalState
...
+120 void *DebugPort
...

---

应用

反调试方法：
如果做反调试.开启一个线程.不断的对这个 DebugPort 进行清零，进而进行反调试.

反反调试方法：
杀掉那个清空 DebugPort 的线程，或使用一个时钟周期远小于它的线程 ，对 DebugPort 做恢复（比如 1ms 一次）