8.6 STARTUPINFO
STARTUPINFO 结构体,可以用来指定新进程的主窗口外观风格、背景颜色、标题等信息,也可以用来实现反调试技术。通常情况下,我们可以将STARTUPINFO
结构体中的dwFlags
成员设置为STARTF_DEBUGONLYTHISPROCESS
,以防止调试器附加到当前进程。设置了STARTF_DEBUGONLYTHISPROCESS
后,如果尝试通过调试器附加到该进程,则调试器将直接失败并退出。
程序启动时默认会通过explorer
资源管理器,调用CreateProcess()
函数创建的时候会把STARTUPINFO
结构体中的值设置为0,但如果通过调试器启动程序时该值并不会发生变化,我们可以通过判断结构体中的dwFlags
参数来实现反调试。
|