一种绕过PTRACE反调试的办法

Linux 系统gdb等调试器，都是通过ptrace系统调用实现。Android加固中，ptrace自身防止调试器附加是一种常用的反调试手段。

调试时一般需要手工在ptrace处下断点，通过修改ptrace返回值过掉反调试。下面提供另一种思路，降低手工操作复杂度：

测试代码（反调试程序）：

#include <stdio.h>
#include <stdlib.h>
#include <sys/ptrace.h>

void a()
{
    if (ptrace(PTRACE_TRACEME, 0, 1, 0) == -1) 
    {
        printf("don't trace me !!\n");
        exit(1);
    }
    // normal execution
    puts("hello girl.");
}

int main()
{
    a();
    return 0;
}

编写辅助库：

/* Type of the REQUEST argument to `ptrace.'  */
enum __ptrace_request
{
    PTRACE_TRACEME = 0,
#define PT_TRACE_ME PTRACE_TRACEME
};

long ptrace(enum __ptrace_request request, unsigned long pid,
                   void *addr, void *data)
{
    return 0;
}

gcc -shared -fPIC helper.c -o helper.so 编译动态库。

设置环境变量：

export LD_PRELOAD=$PWD/helper.so

测试：

 

(gdb) r
Starting program: /home/kiiim/lab/a.out 
hello girl.
During startup program exited normally.

以上，将helper.so放到APP的libs目录，并设置LD_PRELOAD环境变量，即可绕过所有ptrace的反调试。

也可以patch一些其它函数，如open函数我们需要patch后不影响其正常功能：

#define _GNU_SOURCE
#include <dlfcn.h>
 
typedef int (*_open)(const char *pathname, int flags);
 
int open(const char *pathname, int flags, ...)
{
    /* Some evil injected code goes here. */
 
    _open fake_open;
    fake_open = (_open)dlsym(RTLD_NEXT,"open");
    return fake_open(pathname,flags);
}