在 linux 中分析反调试检查

Question

我的主要要求是对提到的反调试检查程序进行两次分析（一次在有调试器的情况下，另一次在没有调试器的情况下）以收集一些信息以在运行时进行分析（假设只有二进制文件是可用）

#include <stdio.h>
#include <sys/ptrace.h>

int i_am_debugged()
{
    if (ptrace(PTRACE_TRACEME, 0, 1, 0) < 0) 
     {  
            printf("Avoid debugging please");
        return 1;
     }

    return 0;
}

int main()
{
    if(i_am_debugged())
    {
        return 1;
    }

  printf("It's going well ! No debugging !\n");

return 0;

}

目前，我为此编写了一个英特尔 PIN 工具，但由于 PIN 的工作方式并始终执行“一切顺利！没有调试！'。

所以，我的问题：

我能做些什么（附加调试器并运行 pin 工具或其他东西）来使用我的 PIN 工具分析两种类型的运行，或者任何其他类型的分析（例如二进制翻译等）可以帮助我吗？案例？

我想收集有关指令的特定信息，而不仅仅是调用图等，因此想要一些类似于 PIN 的 C++ 程序员接口的功能。

一个详细的答案会很好，谢谢。

Answer 1

Pin 使用ptrace 将自己注入到应用程序中。这意味着在尝试使用 Pin 启动应用程序时无法使用gdb，并且 Pin 也无法成功附加到正在调试的应用程序。

我的建议是使用 -pause_tool 旋钮启动 Pin，然后将 gdb 附加到进程。这将使应用程序的 ptrace 调用返回您想要的。

Answer 2

我希望我能得到你想要的。

英特尔 PIN 不是调试器。它更像是一个虚拟机，它即时检测二进制代码（对于 x86/x64），然后执行这个新检测的代码。 因为 PIN 不是开源的，所以它的内部结构相当“秘密”；）。 但它显然不是调试器。

如果我对您的理解正确，您需要某种测试套件 运行您的应用程序两次，一次连接调试器，一次不连接？ 那么你可能应该使用 gdb。

开始吧：

./a.out for the normal run

例如（这个有点hacky ;-)）用于调试器运行：

创建文件 mygdbscript（需要 gdb 的参数，例如：gdb -x ./mygdbscript）

这个文件的内容就是：

# you probably dont want gdb to stop under ANY circumstances
# as this is an automatic check. So pass all signals to the application.
handle all nostop print pass
run
quit

然后使用 gdb -x ./mygdbscript --args ./a.out 运行

希望这会有所帮助:)