Suche Unit: "IsDebuggerPresent"

[Balu der Bär]

Moin,

ich hatte damals mal in einem der Anti-Cracking-Threads aus der DP eine fertige Unit gefunden, IsDebuggerPresent.pas. Dummerweise habe ich diese Datei vor ein paar Wochen von meiner Festplatte gelöscht, ich habe jetzt die Anti-Cracking-Threads durchsucht, kann aber diese Unit nicht mehr finden. :-(

Hat die vielleicht noch jemand und könnte sie hier bereitsstellen? Danke.

[3_of_8]

Wofür ist die gut? Willst du testen, ob der Debugger läuft? Das geht recht einfach:

Delphi-Quellcode:

function DebuggerRunning: Boolean;
begin
Result:=DebugHook<>0;
end;

[Daniel B]

Man kann rausfinden ob das Programm in einen Debugger läuft, das würde jemand tun, der das Programm cracken will, diese unit hilft einem da ein bisschen entgegen zu wirken, aber ich würde die so nicht hergeben, es gibt noch genug Artikel dazu.

[Balu der Bär]

@3_of_8: Nein, so wie ich Michaels Artikel verstanden hab kann man das auch einfach wegpatchen da spezielle API-Funktionen benutzt werden.

Problem is nur das in der Unit auch noch andere kleine Funktionen zum Schutz enthalten waren, deshalb würde ich mich freuen wenn die noch jemand finden würde (für IsDebuggerPresent reicht mir auch Luckies Artikel, nur dann hab ich halt das andere nicht mehr).

@Daniel B: Warum schreibst du in diesen Thread wenn du sie eh nicht "hergeben" würdest? Ich erwarte keine Antwort auf die Frage.

[brechi]

isDebuggerPresentX
in der uallKernel @ http://uall.overclock.ch/uallCollection
Da Luckies Funktion nur für winNT ist.

[Balu der Bär]

Danke brechi, ich hatte mittlerweile bereits eine IsDebuggerPresent-Variante von dir gefunden, die wohl auch unter Win9.x funktioniert (teste ich später). Danke dir. :-)

[gugelhupf]

Zitat:

Zitat von 3_of_8

Wofür ist die gut? Willst du testen, ob der Debugger läuft? Das geht recht einfach:

Delphi-Quellcode:

function DebuggerRunning: Boolean;
begin
Result:=DebugHook<>0;
end;

Das funktioniert aber bei mir net, wenn ich's mit OllyDbg starte... :|
Also er erkennt den Debugger nicht :?

[Balu der Bär]

Mit dem hier geht es.

[gugelhupf]

Zitat:

Zitat von Balu der Bär

Mit dem hier geht es.

Hierbei

Delphi-Quellcode:

MOVZX   EAX, [EAX+2]

gibt es folgenden Fehler:
121. Ungültige Kombination von Opcode und Operanden

[Balu der Bär]

Unter Delphi 2006 lässt sich das fehlerfrei kompilieren.

[gugelhupf]

Zitat:

Zitat von Balu der Bär

Unter Delphi 2006 lässt sich das fehlerfrei kompilieren.

Suuuper! :)

Ich nutze leider D5, wie geht's dort? :shock:

[OldGrumpy]

Zitat:

Zitat von gugelhupf

Zitat:

Zitat von Balu der Bär

Unter Delphi 2006 lässt sich das fehlerfrei kompilieren.

Suuuper! :)

Ich nutze leider D5, wie geht's dort? :shock:

x86 Opcode-Referenz (mal bei Intel danach schauen zum Beispiel) suchen, lesen, verstehen, entsprechenden Opcode selber zusammenbauen und mittels emit einfach als Bytes einkompilieren. GANZ WICHTIG: Dranschreiben was sich hinter den emit-Bytes verbirgt, sonst verbringt man später viel Zeit damit, das wieder auszuknobeln.

Achja, und selbstverständlich ist es gar kein Problem, alle diese Checks zu umgehen. Aber das wird ja gerne ignoriert ;)

[brechi]

Delphi-Quellcode:

function IsDebuggerPresent: boolean; stdcall;
asm
  MOV     EAX, DWORD PTR FS:[$30]
  TEST    EAX, EAX
  JS      @@W9X
@@WNT:
  MOV     ECX, FS:[$18]
  MOV     ECX, DWORD PTR [ECX+$30]
  XOR     EAX, EAX
  MOV     AL, BYTE PTR [ECX+2]
  RET
@@W9X:
  MOV     EAX, DWORD PTR [$BFFC9CE4]
  MOV     ECX, DWORD PTR  [EAX]
  CMP     DWORD PTR DWORD PTR [ECX+$54], 1
  SBB     EAX, EAX
  INC     EAX
  RET
end;

Trodtzem solltest besser die Funktion aus meinen units benutzen die weiter oben gepostet wurden, weil eine statische Adresse ist nicht so das dolle.

[Olli]

Grummel: "[Zitat Olliver] Leuchtturm [Ziatatende]" ... Name falsch, Rechtschreibung grausam. Setzen, Sechs! :mrgreen:

Zitat:

Zitat von brechi

isDebuggerPresentX
in der uallKernel @ http://uall.overclock.ch/uallCollection
Da Luckies Funktion nur für winNT ist.

Dir ist schon aufgefallen, dass Win9x ausstirbt? Ich wuerde sagen es ist weitgehend ausgestorben, weshalb ich bspw. auch keine Hemmungen habe meine Programme komplett fuer Unicode zu kompilieren.

Zitat:

Zitat von brechi

Trodtzem solltest besser die Funktion aus meinen units benutzen die weiter oben gepostet wurden, weil eine statische Adresse ist nicht so das dolle.

Jupp, dem moechte ich zustimmen. Obwohl es als (C-Praeprozessor/)Macro weit besser zu implementieren ist, weil es "dynamischer" ist :mrgreen: ... auch wenn ich ja Inline-Funktionen normalerweise Makros vorziehe. Leider geht beides in Delphi nicht so richtig ...

BTW: Hast du inzwischen den Sinn der Exception(s) begriffen? Siehe hier.

[gugelhupf]

Zitat:

Zitat von brechi

Delphi-Quellcode:

function IsDebuggerPresent: boolean; stdcall;
asm
  MOV     EAX, DWORD PTR FS:[$30]
  TEST    EAX, EAX
  JS      @@W9X
@@WNT:
  MOV     ECX, FS:[$18]
  MOV     ECX, DWORD PTR [ECX+$30]
  XOR     EAX, EAX
  MOV     AL, BYTE PTR [ECX+2]
  RET
@@W9X:
  MOV     EAX, DWORD PTR [$BFFC9CE4]
  MOV     ECX, DWORD PTR  [EAX]
  CMP     DWORD PTR DWORD PTR [ECX+$54], 1
  SBB     EAX, EAX
  INC     EAX
  RET
end;

Trodtzem solltest besser die Funktion aus meinen units benutzen die weiter oben gepostet wurden, weil eine statische Adresse ist nicht so das dolle.

Dat klappt bei mir leider auch net... :gruebel:

[gugelhupf]

*push*

[brechi]

wenn du den Fehler nicht postest kann man dir auch nicht helfen