[翻译]反调试：定时

梦幻的彼岸

备注
原文地址：https://anti-debug.checkpoint.com/techniques/timing.html
原文标题：Anti-Debug: Timing
更新日期：2021年6月15日
此文后期：根据自身所学进行内容扩充
因自身技术有限，只能尽自身所能翻译国外技术文章，供大家学习，若有不当或可完善的地方，希望可以指出，用于共同完善这篇文章。



目录

• 定时
• 1. RDPMC/RDTSC
• 2. GetLocalTime()
• 3. GetSystemTime()
• 4. GetTickCount()
• 5. ZwGetTickCount() / KiGetTickCount()
• 6. QueryPerformanceCounter()
• 7. timeGetTime()
• 反制措施
  

定时
当一个进程在调试器中被追踪时，在指令和执行之间会有巨大的延迟。代码的某些部分之间的 "本地 "延迟可以用几种方法测量并与实际延迟进行比较。
1. RDPMC/RDTSC
这些指令要求在CR4寄存器中设置PCE标志寄存器。
RDPMC指令只能在内核模式下使用。
C/C++ 代码：

1. bool IsDebugged(DWORD64 qwNativeElapsed)
   
2. {
   
3.     ULARGE_INTEGER Start, End;
   
4.     __asm
   
5.     {
   
6.         xor  ecx, ecx
   
7.         rdpmc
   
8.         mov  Start.LowPart, eax
   
9.         mov  Start.HighPart, edx
   
10.     }
    
11.     // ... some work
    
12.     __asm
    
13.     {
    
14.         xor  ecx, ecx
    
15.         rdpmc
    
16.         mov  End.LowPart, eax
    
17.         mov  End.HighPart, edx
    
18.     }
    
19.     return (End.QuadPart - Start.QuadPart) > qwNativeElapsed;
    
20. }

复制代码

RDTSC是一个用户模式指令。
C/C++ 代码：

1. bool IsDebugged(DWORD64 qwNativeElapsed)
   
2. {
   
3.     ULARGE_INTEGER Start, End;
   
4.     __asm
   
5.     {
   
6.         xor  ecx, ecx
   
7.         rdtsc
   
8.         mov  Start.LowPart, eax
   
9.         mov  Start.HighPart, edx
   
10.     }
    
11.     // ... some work
    
12.     __asm
    
13.     {
    
14.         xor  ecx, ecx
    
15.         rdtsc
    
16.         mov  End.LowPart, eax
    
17.         mov  End.HighPart, edx
    
18.     }
    
19.     return (End.QuadPart - Start.QuadPart) > qwNativeElapsed;
    
20. }

复制代码

2. GetLocalTime()
C/C++ 代码：

1. bool IsDebugged(DWORD64 qwNativeElapsed)
   
2. {
   
3.     SYSTEMTIME stStart, stEnd;
   
4.     FILETIME ftStart, ftEnd;
   
5.     ULARGE_INTEGER uiStart, uiEnd;
   
6. 
   
7.     GetLocalTime(&stStart);
   
8.     // ... some work
   
9.     GetLocalTime(&stEnd);
   
10. 
    
11.     if (!SystemTimeToFileTime(&stStart, &ftStart))
    
12.         return false;
    
13.     if (!SystemTimeToFileTime(&stEnd, &ftEnd))
    
14.         return false;
    
15. 
    
16.     uiStart.LowPart  = ftStart.dwLowDateTime;
    
17.     uiStart.HighPart = ftStart.dwHighDateTime;
    
18.     uiEnd.LowPart  = ftEnd.dwLowDateTime;
    
19.     uiEnd.HighPart = ftEnd.dwHighDateTime;
    
20.     return (uiEnd.QuadPart - uiStart.QuadPart) > qwNativeElapsed;
    
21. }

复制代码

3. GetSystemTime()
C/C++ 代码：

1. bool IsDebugged(DWORD64 qwNativeElapsed)
   
2. {
   
3.     SYSTEMTIME stStart, stEnd;
   
4.     FILETIME ftStart, ftEnd;
   
5.     ULARGE_INTEGER uiStart, uiEnd;
   
6. 
   
7.     GetSystemTime(&stStart);
   
8.     // ... some work
   
9.     GetSystemTime(&stEnd);
   
10. 
    
11.     if (!SystemTimeToFileTime(&stStart, &ftStart))
    
12.         return false;
    
13.     if (!SystemTimeToFileTime(&stEnd, &ftEnd))
    
14.         return false;
    
15. 
    
16.     uiStart.LowPart  = ftStart.dwLowDateTime;
    
17.     uiStart.HighPart = ftStart.dwHighDateTime;
    
18.     uiEnd.LowPart  = ftEnd.dwLowDateTime;
    
19.     uiEnd.HighPart = ftEnd.dwHighDateTime;
    
20.     return (uiEnd.QuadPart - uiStart.QuadPart) > qwNativeElapsed;
    
21. }

复制代码

4. GetTickCount()
C/C++ 代码：

1. bool IsDebugged(DWORD dwNativeElapsed)
   
2. {
   
3.     DWORD dwStart = GetTickCount();
   
4.     // ... some work
   
5.     return (GetTickCount() - dwStart) > dwNativeElapsed;
   
6. }

复制代码

5. ZwGetTickCount() / KiGetTickCount()
这两个函数只在内核模式下使用。

就像用户模式的GetTickCount()或GetSystemTime()一样，内核模式的ZwGetTickCount()从KUSER_SHARED_DATA页面读取。这个页面在虚拟地址的用户模式范围内被映射为只读，在内核范围内被映射为读写。系统时钟的滴答声更新了系统时间，它直接存储在这个页面中。

ZwGetTickCount()的使用方法与GetTickCount()相同。使用KiGetTickCount()比调用ZwGetTickCount()要快，但比直接从KUSER_SHARED_DATA页面读取稍慢一些。
C/C++ 代码：

1. bool IsDebugged(DWORD64 qwNativeElapsed)
   
2. {
   
3.     ULARGE_INTEGER Start, End;
   
4.     __asm
   
5.     {
   
6.         int  2ah
   
7.         mov  Start.LowPart, eax
   
8.         mov  Start.HighPart, edx
   
9.     }
   
10.     // ... some work
    
11.     __asm
    
12.     {
    
13.         int  2ah
    
14.         mov  End.LowPart, eax
    
15.         mov  End.HighPart, edx
    
16.     }
    
17.     return (End.QuadPart - Start.QuadPart) > qwNativeElapsed;
    
18. }

复制代码

6. QueryPerformanceCounter()
C/C++ 代码：

1. bool IsDebugged(DWORD64 qwNativeElapsed)
   
2. {
   
3.     LARGE_INTEGER liStart, liEnd;
   
4.     QueryPerformanceCounter(&liStart);
   
5.     // ... some work
   
6.     QueryPerformanceCounter(&liEnd);
   
7.     return (liEnd.QuadPart - liStart.QuadPart) > qwNativeElapsed;
   
8. }

复制代码

7. timeGetTime()
C/C++ 代码：

1. bool IsDebugged(DWORD dwNativeElapsed)
   
2. {
   
3.     DWORD dwStart = timeGetTime();
   
4.     // ... some work
   
5.     return (timeGetTime() - dwStart) > dwNativeElapsed;
   
6. }

复制代码

反制措施
调试期间:只需用NOP填充定时检查，并将这些检查的结果设置为适当的值。
对于反调试绕过方案的开发：没有很大的必要去做什么，因为所有的定时检查都不是很可靠。你仍然可以拦截定时函数，加快调用之间的时间。

alglsf666

谢谢分享  

H.U.C清风

谢谢分享，已回复。