api检测是否在调试模式是否被调试器加载

rainshine · 发表于 2014-4-11 22:10:16

您需要登录才可以下载或查看，没有帐号？立即注册

x

本帖最后由 rainshine 于 2014-4-11 22:13 编辑

广告先：http://www.c2014.cc/?p=605，谢谢支持。好久没发帖啦。

超自然曾经发过一个TLL，包含了各种TC内置标准库不能实现的新鲜功能。其中有一条就是：检测脚本是否运行在调试模式下，如果正在被TC调试（直接运行，没有发布），那么就在窗口左上角显示“超自然支持库使用中…”。

So，这是怎么实现的呢？Rain同学感到灰常的好奇啊，万分迫切地想知道这个到底是怎么检测的。又于是乎，俺不得不再次采取“闭关钻研”战术，

又So，经过了解，其实只需要用一个Win32API获取父进程ID，通过进程ID获取进程名，然后判断进程名是否为TC.exe即可。

因调用的函数，参数需要传结构体，所以用易语言封装成DLL，供TC调用。此API的名字是：ZwQueryInformationProcess，有兴趣的话，大家可以去MSDN查一下资料。

其实获取父进程不仅可以用在检测是否被TC调试，如果被一些调试器加载的话，父进程就不会是通常情况下 Win32窗口程序的父进程——explorer.exe（控制台程序是cmd.exe）

源码如下：http://pan.baidu.com/s/1ntmax5Z

密码：

游客，如果您要查看本帖隐藏内容请回复

如此美丽。 · 发表于 2014-4-11 23:14:01

这真是极好的 ..

如此美丽。 · 发表于 2014-4-11 23:16:41

{:soso_e120:} 其实WMI就可以枚举父PID了

九先生 · 发表于 2014-4-12 10:08:10

1111111111

Abin · 发表于 2014-4-12 10:51:52

不错的分析。支持下！

rainshine · 发表于 2014-4-12 11:43:02

Abin 发表于 2014-4-12 10:51
不错的分析。支持下！

～～好感动 abin大神居然来光顾渣渣的帖子～

超自然 · 发表于 2014-4-12 17:40:14

{:soso_e110:}这都被你发现了....

rainshine · 发表于 2014-4-12 18:44:41

超自然发表于 2014-4-12 17:40
这都被你发现了....

嘿嘿……其实这个早弄完了 - -本来要发出来- -结果居然忘了。。。从开学就一直忙啊忙初三伤不起。

fyq2000 · 发表于 2014-4-13 09:45:33

rainshine 妹子，学习之余又发力了。

iookk2012 · 发表于 2014-5-19 06:45:53

支持一下

[功能] api检测是否在调试模式是否被调试器加载

帐号		自动登录	找回密码
密码			立即注册