En voici quelques-unes que j'ai vues ou dont j'ai entendu parler:

• Suppression des en-têtes de section. Une action simple et entièrement légale qui arrête GDB sur ses rails. Ne fonctionne pas avec certains autres débogueurs (par exemple IDA). Peut être effectué à l'aide de l'outil sstrip .

• Utilisation de la fonction syscall ou des instructions directes de syscalls au lieu d'appeler des fonctions spécifiques comme ptrace () . Peut être vaincu en définissant le point d'arrêt sur la fonction syscall ou simplement en parcourant le fichier, mais peut être non évident si vous ne le savez pas.

• Exécution d'actions anti-débogage avant main () , par exemple dans les constructeurs d'objets globaux ou en utilisant __attribute __ ((constructor)) . Puisque GDB définit généralement le point d'arrêt initial dans main () , il prend en charge la situation par défaut. La solution de contournement est simple: mettez un point d'arrêt sur le point d'entrée du fichier réel ( fichier d'information dans GDB).

• S'envoyant des signaux liés au débogage comme SIGTRAP . (Notez que cela peut être ignoré avec handle SIGTRAP nostop dans GDB.)

• Se bifurquer et se tracer avec ptrace .

• Insertion de faux points d'arrêt: l'insertion de int3 / 0xcc forcera le débogueur à s'arrêter sur ces octets car ils seront traités comme des points d'arrêt logiciels. S'ils sont nombreux cela pourrait ralentir considérablement l'analyse.

• Détection des points d'arrêt: j'ai vu cette technique dans ce article, vous pouvez attacher une fonction qui sera déclenché lorsqu'un point d'arrêt est détecté. Cet article couvre également d'autres astuces.

Ma compréhension de la technologie anti-débogage est que c'est un jeu de chat et de souris (ou de chat et aussi de chat). Une technique fonctionne jusqu'à ce qu'elle soit comprise par le camp adverse, puis elle ne fonctionne plus. Je pense qu'en fin de compte, l'avantage est du côté du débogueur. Envisagez une instrumentation binaire dynamique ou des systèmes de machines virtuelles. Vous pouvez détecter la présence de DBI ou d'émulation en recherchant des fissures ou des défauts dans l'émulation de la plate-forme, mais ce ne sont que des erreurs dans le logiciel d'émulation / traduction. Si vous aviez un système d'émulation «parfait», une application déboguée ne pouvait pas savoir qu'elle était tracée?

Je pense donc que le mieux que vous puissiez faire est de petites choses faciles à contourner. Je pense que le système Shiva représente toujours une protection "correcte" contre le débogage sur les plates-formes Unix, car il déchiffre de petites portions de lui-même pour s'exécuter à la demande, puis les rechiffre, comme je me souviens.