-
-
[求助]TP不断清零DebugPort是为何？
-
发表于: 2013-5-17 16:54
-
拜读了crazyearl的 “散谈游戏保护那点事~就从_TP开始入手吧”， 也查了一系列关于Anti-debug的文章。只是不太明白为什么 TP要不断清零DebugPort？？
我的理解是：一般可以通过NtQueryInformationProcess来判断_EPROCESS里的DebugPort是否是0来看是否被调试了。如果是返回时0，代表没有调试，如果返回0xFFFFFFFF代表被调试了。
而TP一直去对DebugPort进行清零，这样的目的是为了让调试器附加时得到程序没有被调试？？
不理解，不理解
，请人解惑！！
多谢多谢！
我的理解是：一般可以通过NtQueryInformationProcess来判断_EPROCESS里的DebugPort是否是0来看是否被调试了。如果是返回时0，代表没有调试，如果返回0xFFFFFFFF代表被调试了。
而TP一直去对DebugPort进行清零，这样的目的是为了让调试器附加时得到程序没有被调试？？
不理解，不理解
，请人解惑！！多谢多谢！
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
