so中函数断点的的反调试检测

Posted 2021-09-01 小道安全

反调试简介

在apk应用的so文件中函数的指令都是固定，但是如果被下了软件断点，指令就会发生改变(断点地址被改写为bkpt断点指令)，可以计算内存中一段指令的hash值进行校验，检测函数是否被修改或被下断点。

实现原理

当我们程序中的函数被下软件断点，则断点地址会被改写为bkpt指令， 可以在函数体中搜索bkpt指令来检测软件断电。

代码实现

/*参数1：函数首地址 
参数2：函数size
*/

typedef uint8_t u8;
typedef uint32_t u32;

int checkFuncbkpt(u8* addr,u32 size)
{


u32 uRet=0;

// 定义的断点指令
// u8 armBkpt[4]={0xf0,0x01,0xf0,0xe7};
// u8 thumbBkpt[2]={0x10,0xde};

u8 armBkpt[4]={0};
armBkpt[0]=0xf0;
armBkpt[1]=0x01;
armBkpt[2]=0xf0;
armBkpt[3]=0xe7;

u8 thumbBkpt[2]={0};

thumbBkpt[0]=0x10;

thumbBkpt[1]=0xde;

// 判断模式
int mode=(u32)addr%2;
if(1==mode) 
{

LOGA("checkbkpt:(thumb mode)该地址为thumb模式\\n");

u8* start=(u8*)((u32)addr-1);
u8* end=(u8*)((u32)start+size);

// 循环遍历对比
while(1)

{

if(start >= end) {

uRet=0;
LOGA("checkbkpt:(no find bkpt)没有发现断点.\\n");
break;

}

if( 0==memcmp(start,thumbBkpt,2) )
{
uRet=1;
LOGA("checkbkpt:(find it)发现断点.\\n");

break;

}

start=start+2;

}//while

}//if

else
{

LOGA("checkbkpt:(arm mode)该地址为arm模式\\n");

u8* start=(u8*)addr;

u8* end=(u8*)((u32)start+size);

// 遍历对比

while(1){

if (start >= end) {

uRet = 0;

LOGA("checkbkpt:(no find)没有发现断点.\\n");

break;

}

if (0 == memcmp(start,armBkpt , 4)){

uRet = 1;

LOGA("checkbkpt:(find it)发现断点.\\n");

break;

}

start = start + 4;

}//while

}//else

return 1;

}