c Explorando IsDebuggerPresent

 

Hoje em dia muitos programadores começaram a se preocupar com o quesito proteção contra as práticas da RCE (Reverse Code Engineering), mas muitos deles ainda utilizam de conhecimento simples e limitado, o que em grande maioria, contam com o uso de algo muito comum, do qual irei abordar hoje, falo da API (Application Programming Interface) IsDebuggerPresent.

Os exemplos a seguir serão baseados nas linguagens C e Assembly e no disassembler OllyDbg.

Assuntos a serem abordados:

1. Usabilidade;
   
2. Visão geral no disassembler;
   
3. Como contornar com alterações físicas da memória estática do processo;
   
4. Como contornar sem alterações físicas da memória estática do processo.
   

 

1. Usabilidade

IsDebuggerPresent trata-se de uma função sem parâmetros de entrada cujo retorno é do tipo bool onde irá retornar true caso haja a presença de um depurador na aplicação e false caso não haja, exemplo:

 

2. Visão geral no disassembler

Como podem ver, ela é uma função bem simples e pequena da qual irá apenas obter o valor de uma flag (BeingDebugged) com o tamanho de 1 byte localizado dentro da estrutura PEB (Process Environment Block) do processo.

 

 

3. Como contornar com alterações físicas da memória estática do processo

 

 

O que foi feito não foi nada menos do que forçar o retorno false de todas as chamadas para essa API.

Lógica:

 

 

4. Como contornar sem alterações físicas da memória estática do processo

 

Forçamos assim o valor false diretamente no PEB.

---

 

Apesar das falhas e simplicidade, essa é uma das APIs mais usadas quando o assunto é Anti RCE, porém é claro, o uso de tal hoje em dia é praticamente obsoleto, pois não se é preciso de muito para contorná-la.