PT_DENY_ATTACH 是一种反调试功能，有助于防止调试器附加到应用程序。以下代码可以在 main() 中实现，以防止 GDB 附加到应用程序。 :

#import <dlfcn.h>
#import <sys/types.h>
typedef int (*ptrace_ptr_t)(int _request, pid_t _pid, caddr_t _addr, int _data);
#define PT_DENY_ATTACH 31
void disable_gdb() {
void* handle = dlopen(0, RTLD_GLOBAL | RTLD_NOW);
ptrace_ptr_t ptrace_ptr = dlsym(handle, "ptrace");
ptrace_ptr(PT_DENY_ATTACH, 0, 0, 0);
dlclose(handle);
}
int main(int argc, char *argv[]) {
@autoreleasepool {
#ifdef DEBUG
//do nothing
#else
disable_gdb();
#endif
}}

最佳答案

伙计们，这个技巧确实已经被解决了，可以通过重写来绕过，但是看看that

在这里，来自 iphonedevwiki.net 的人展示了另一种在汇编中实现相同功能的方法，这使得打补丁变得更加困难。因此，要绕过此汇编实现，必须解密 Mach-O 二进制文件并覆盖函数的实现，例如，攻击者可以仅使用不执行任何操作的 nop 指令交换函数中的所有汇编指令.但是，如果您混淆了您的汇编例程，攻击者将更难识别正在发生的事情，因此只有最有经验的人才能绕过它。

对于那些不知道如何在 Swift 5 项目中编写汇编的人，这是您需要做的:

1. 创建一个新的 C 文件 + header
2. 让它们命名为 disable_debuggers_advanced.c 和 disable_debuggers_advanced.h
3. 在 disable_debuggers_advanced.c 中添加以下内容:

#include "disable_debug_advanced.h"

void mRiYXNnZnZmZGF2Ym() {

    // No Need to encode these strings, because they will be directly compiled, they are not going to be present in the 'DATA' segment of the binary.
    __asm (
           "mov r0, #31\n" // set #define PT_DENY_ATTACH (31) to r0
           "mov r1, #0\n"   // clear r1
           "mov r2, #0\n"   // clear r2
           "mov r3, #0\n"   // clear r3
           "mov ip, #26\n"  // set the instruction pointer to syscal 26
           "svc #0x80\n"    // SVC (formerly SWI) generates a supervisor call. Supervisor calls are normally used to request privileged operations or access to system resources from an operating system
           );
}

1. 在 disable_debuggers_advanced.h 中添加以下内容:

#ifndef disable_debug_advanced_h
#define disable_debug_advanced_h

#include <stdio.h>


/**
 Original name: `disable_gdb_advanced()`

 This function makes the process deny the attaching request by debugers by
 simulating what is already available on macOS:

 ptrace(PT_DENY_ATTACH, 0, 0, 0);

 by implementing it directly in assembly language.

 This method of disabling debugers is well known to attackers but there is nothing they can do to easily bypass it
 because it is a part of the kernel memory space.

 Please note that this will make XCode not being able to attach its debuger to the process too,
 so run it only in release builds.

 source: https://iphonedevwiki.net/index.php/Crack_prevention#PT_DENY_ATTACH
 */
void mRiYXNnZnZmZGF2Ym(void) __attribute__((always_inline));

#endif /* disable_debug_advanced_h */

1. 将 #include "disable_debug_advanced.h" 添加到您的桥接 header 和一个桥接 header (如果您的项目还没有)。

现在您可以调用此函数来禁用调试器。

请注意，这会破坏 XCode 调试器，因此请仅在发布版本上使用它

如果您对 __attribute__((always_inline)) 部分和奇怪的名称感到疑惑，那是因为我们希望尽可能隐藏我们的函数。如果您不熟悉函数内联，可以观看我关于函数内联的视频 here我在其中进行了深入描述，或者您可以阅读 wikipedia about it .即使认为这是一个速度编译器优化，它也可以在这里给我们带来好处，因为如果你从多个位置调用它，攻击者将更难修补应用程序中的所有函数体副本。

而名字是这样写的，因为这个内联只是给编译器的一个提示，不保证一定会发生。如果它没有发生，并且我们禁用调试器的功能在我们的二进制文件的 TEXT 段中明确定义，我们希望它至少具有混淆的名称，以便没有人可以通过阅读其汇编标签来猜测它的作用.

在我看来，甚至在创建 UIApplication 对象之前，就应该将其作为顶级函数来调用。

为了做到这一点:

1. 向您的 Swift 项目添加一个新文件并将其命名为“main.swift”(名称很重要)
2. 从 AppDelegate 的类定义中删除 @UIApplicationMain 标记。
3. 在您的 main.swift 文件中写入以下内容:

mRiYXNnZnZmZGF2Ym() // disable debuggers

// initialises the UIApplication and fires the event loop.
// This function never returns!
UIApplicationMain(CommandLine.argc, CommandLine.unsafeArgv, nil, NSStringFromClass(AppDelegate.self))

如果您想观看有关如何在 main.swift 中执行顶级代码的视频，您可以在 this video 上观看我的视频。

为了使其更加混淆和更难破解，可以使用像 this one Movfuscator 这样的汇编混淆器。这样只有少数人能够识别这些汇编指令的含义。

关于ios - 如何实现PT_DENY_ATTACH(iOS反调试)，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/39956963/