[SRC] IsDbgCrss - Funcion para saber si estamos siendo 'debuggeados'

[Karcrack]

Bueno, esta es una pequeña funcion que he hecho para detectar si estas siendo Debuggeado (o como se escriba )

Esta funcion se basa en que, con privilegios normales nuestra aplicacion no puede abrir procesos de system (csrss.exe) y por lo visto el OllyDbg tiene privilegios suficientes para que podamos abrir el proceso...

Aqui va el code:

Código (vb) [Seleccionar] Expandir

Option Explicit

'IsDbgCrss
Private Declare Function CsrGetProcessId Lib "ntdll.dll" () As Long
Private Declare Function OpenProcess Lib "kernel32.dll" (ByVal dwDesiredAccess As Long, ByVal bInheritHandle As Long, ByVal dwProcessId As Long) As Long

'---------------------------------------------------------------------------------------
' Procedure : IsDbgCsrss
' Author    : Karcrack
' Date      : 30/12/2008
' Purpose   : Check if our app is being debugged
' Usage     : If IsDbgCrss = True Then MsgBox "I'm Debugged"
' Tested On : OllyDbg v2.0 ß
' Reference : http://www.piotrbania.com/all/articles/antid.txt
'---------------------------------------------------------------------------------------
'
Public Function IsDbgCsrss() As Boolean
    IsDbgCsrss = CBool(OpenProcess(&H1F0FFF, 0, CsrGetProcessId)) '&H1F0FFF = PROCESS_ALL_ACCESS
End Function

Solo lo he probado con el OllyDbg v2.0 ß... si alguien lo prueba con otro Debugger que avise

Cabe destacar que para este codigo se necesitan privilegios de Admin... pero bueno, para ejecutar el OllyDbg en su total magnitud tambien

Saludos

[cobein]

Con Olly anda bien, con el de C++ nada :/

[Karcrack]

Con Olly anda bien, con el de C++ nada :/

Ya decia yo... porque con el OllyDbg viejo (1.0) no me funcionaba.
Por lo visto patinaron al sacar la nueva version, con los privilegios...

Saludos

[Spider-Net]

Hay un plugin del OllyDbg cuyo nombre no recuerdo que se salta todas estas protecciones. Yo la probé y funcionaba xD

[Karcrack]

Hay un plugin del OllyDbg cuyo nombre no recuerdo que se salta todas estas protecciones. Yo la probé y funcionaba xD

Quieres decir que la funcion funcionaba con el Plugin magico ese

Entonces perfecto

Merry Crysis And Happy New Year

[Spider-Net]

No, lo que quería decir es que el plugin se saltaba correctamente todas las protecciones que encontré 

Saludos

[Karcrack]

No, lo que quería decir es que el plugin se saltaba correctamente todas las protecciones que encontré 

Saludos

Ah! ... me habias ilusionado ... a ver si recuerdas el nombre, y busco como saltarme ese madilto plugin

Saludos

[krackwar]

Te la traduci a asm 

http://foro.elhacker.net/programacion_general/src_isdbgcrss_funcion_para_saber_si_estamos_siendo_debuggeados-t240264.0.html;msg1150643#new