关于反调试&反反调试那些事

[Zhang]

寄存器保存了mua

[HomlesZhao (游城十代)]

有没有考虑直接集成到 MonkeyDev 里面大神~~~

[sunqingquan1 (potter)]

if (!ioctl(1, TIOCGWINSZ)) {
NSLog(@“Being Debugged ioctl”);
}
这个感觉没用啊，我debug调试，并不进入 NSLog日志地方，@AloneMonkey

[sunqingquan1 (potter)]

请教一下，这本书里面第16页提到的 Function Hook Signature，有没有可行的方法检测，用了后面提到的 int isFunctionHooked(void * funcptr) { },发现根本进不了if (funcaddr[0] == 0x58000050 的条件，是0x58000050 这个值要动态变化吗？应该怎么动态变化呢？

[iHTC (iHTCboy)]

我迟到了。

[line1983]

@AloneMonkey

    def antiSyscall(self):
        syscall = lldb.debugger.GetSelectedTarget().BreakpointCreateByName("syscall")
        if is64Bit():
            syscall.SetCondition('$x0==26 && *(int *)$sp==31')
        else:
            syscall.SetCondition('$r0==26 && $r1==31')
        syscall.SetScriptCallbackFunction('sys.modules[\'' + __name__ + '\'].syscall_callback')
        self.syscall = syscall

我调试某个app，通过debugserver -x backboard启动，然后运行aadebug，创建了3个断点。
c了之后断到了sysctl，就说明这个app是通过sysctl来反调试的吗？
(lldb) aadebug
anti anti debug finished!!!
(lldb) br l
Current breakpoints:
1: name = ‘ptrace’, locations = 0 (pending)
Condition: $x0==31

2: name = ‘syscall’, locations = 0 (pending)
Condition: $x0==26 && *(int *)$sp==31

3: name = ‘sysctl’, locations = 0 (pending)
Condition: $x1==4 && *(int *)$x0==1 && *(int *)($x0+4)==14 && *(int *)($x0+8)==1

继续c了之后，程序还是卡死了。

后续应该怎么弄呢鸭？上面的这段python代码SetScriptCallbackFunction这里不是太理解额。

@AloneMonkey

BOOL isDebuggerPresent(){
    int name[4];                //指定查询信息的数组
    
    struct kinfo_proc info;     //查询的返回结果
    size_t info_size = sizeof(info);
    
    info.kp_proc.p_flag = 0;
    
    name[0] = CTL_KERN;
    name[1] = KERN_PROC;
    name[2] = KERN_PROC_PID;
    name[3] = getpid();         
    
    if(sysctl(name, 4, &info, &info_size, NULL, 0) == -1){
        NSLog(@"sysctl error ...");
        return NO;
    }
    
    return ((info.kp_proc.p_flag & P_TRACED) != 0);
}

应该怎么去过sysctl的反调试啊？直接把入参的info(x2)给reg write $x2 0么？还是等sysctl调用完了之后，再把$x2设为0额？