makin项目深度解析：通过API挂钩技术检测恶意软件的15种反调试技巧-北京尧图网络

makin项目深度解析通过API挂钩技术检测恶意软件的15种反调试技巧【免费下载链接】makinmakin - reveal anti-debugging and anti-VM tricks [This project is not maintained anymore]项目地址: https://gitcode.com/gh_mirrors/ma/makinmakin是一款专注于揭示恶意软件反调试和反虚拟机VM技巧的工具通过API挂钩技术帮助安全研究人员有效识别恶意软件的防御机制。本文将深入解析makin项目的核心功能、实现原理以及15种常见的反调试技巧检测方法。一、项目概述恶意软件检测的强大工具 ️1.1 核心功能与价值makin项目通过API挂钩技术监控系统调用能够检测恶意软件常用的反调试和反VM手段。其核心价值在于帮助安全分析师快速识别恶意软件的防御机制深入了解恶意代码的行为模式为逆向工程提供关键突破口项目主要由两个核心模块组成asho/包含API挂钩实现代码如hook.h和hookFunctions.hmakin/包含反调试检测逻辑和配置文件如checks.json1.2 技术架构概览makin采用分层架构设计API挂钩层通过Zydis反汇编库实现系统函数挂钩检测逻辑层实现各类反调试技巧的检测算法配置层通过JSON文件定义检测规则和模式![makin技术架构示意图]二、API挂钩技术反调试检测的核心 2.1 挂钩实现原理makin的API挂钩功能主要在asho/hook.h中实现。其核心原理是通过修改目标函数的机器码将程序执行流程重定向到自定义的钩子函数。关键代码如下// 64位系统挂钩实现 byte jmp[] {0x48, 0xB8, 0xCC, 0xCC, 0xCC, 0xCC, 0xCC, 0xCC, 0xCC, 0xCC, 0xFF, 0xE0}; VirtualProtectEx(GetCurrentProcess(), reinterpret_castLPVOID(nextInstruction), 100, PAGE_EXECUTE_READWRITE, old); memcpy_s(reinterpret_castPVOID(nextInstruction), 2, jmp, 2); *reinterpret_castDWORD_PTR*(reinterpret_castbyte*(nextInstruction) 2) static_castDWORD_PTR(hookFunc);2.2 关键挂钩函数makin挂钩了多个关键系统函数以监控恶意软件行为包括// ntdll.dll函数挂钩 HookFunction(NtClose, DWORD_PTR(HookNtClose), ntdll); HookFunction(NtOpenProcess, DWORD_PTR(HookNtOpenProcess), ntdll); HookFunction(NtCreateFile, DWORD_PTR(HookNtCreateFile), ntdll); HookFunction(NtQueryInformationProcess, DWORD_PTR(HookNtQueryInformationProcess), ntdll); // kernelbase.dll函数挂钩 HookFunction(IsDebuggerPresent, DWORD_PTR(HookIsDebuggerPresent), kernelbase); HookFunction(CheckRemoteDebuggerPresent, DWORD_PTR(HookCheckRemoteDebuggerPresent), kernelbase);这些挂钩函数能够监控恶意软件的系统调用行为为反调试检测提供数据支持。三、15种反调试技巧检测全解析 3.1 基于注册表的反VM检测恶意软件常通过检查注册表项判断是否运行在虚拟机中。makin在makin/checks.json中定义了相关检测规则Registry: { KeyChecks: { VMware: [vmware], VirtualBox: [virtualbox, vbox], misc: [wine, SOFTWARE\\Microsoft\\Virtual Machine\\Guest\\Parameters] }, ValueChecks: [ SystemManufacturer, SystemProductName, Identifier, SystemBiosVersion, SystemBiosDate, VideoBiosVersion ] }3.2 文件系统检测通过检查特定文件是否存在来判断虚拟机环境FileSystem: { Files: [ virtualbox, vmware, vmbox, vmmouse.sys, vmhgfs.sys, vm3dmp.sys, vmci.sys ] }3.3 进程检测监控虚拟机特有的进程名称Processes: [ vmtoolsd.exe, vmwaretray.exe, vmwareuser.exe, VGAuthService.exe, vmacthlp.exe, vmsrvc.exe ]3.4 基于API的反调试技巧技巧1IsDebuggerPresent检测恶意软件调用IsDebuggerPresent函数检查是否被调试makin通过挂钩该函数进行监控HookFunction(IsDebuggerPresent, DWORD_PTR(HookIsDebuggerPresent), kernelbase);技巧2CheckRemoteDebuggerPresent检测挂钩CheckRemoteDebuggerPresent函数检测远程调试器HookFunction(CheckRemoteDebuggerPresent, DWORD_PTR(HookCheckRemoteDebuggerPresent), kernelbase);技巧3NtQueryInformationProcess检测监控进程信息查询检测调试状态HookFunction(NtQueryInformationProcess, DWORD_PTR(HookNtQueryInformationProcess), ntdll);3.5 其他常见反调试技巧技巧4异常处理机制检测通过挂钩SetUnhandledExceptionFilter函数监控异常处理HookFunction(SetUnhandledExceptionFilter, DWORD_PTR(hookSetUnhandledExceptionFilter), kernelbase);技巧5线程信息查询监控线程信息查询操作HookFunction(NtQueryInformationThread, DWORD_PTR(HookNtQueryInformationThread), ntdll);技巧6调试对象创建检测监控调试对象的创建HookFunction(NtCreateDebugObject, DWORD_PTR(HookNtCreateDebugObject), ntdll);技巧7系统调试控制检测监控系统调试控制调用HookFunction(NtSystemDebugControl, DWORD_PTR(HookNtSystemDebugControl), ntdll);技巧8进程创建监控监控新进程创建HookFunction(NtCreateUserProcess, DWORD_PTR(HookNtCreateUserProcess), ntdll);技巧9线程创建监控监控新线程创建HookFunction(NtCreateThreadEx, DWORD_PTR(HookNtCreateThreadEx), ntdll);技巧10特权调整检测监控进程特权调整HookFunction(RtlAdjustPrivilege, DWORD_PTR(HookRtlAdjustPrivilege), ntdll);技巧11注册表操作监控监控注册表查询操作HookFunction(RegQueryValueExW, DWORD_PTR(HookRegQueryValueExW), RegQueryValueExW);技巧12系统信息查询监控监控系统信息查询HookFunction(NtQuerySystemInformation, DWORD_PTR(HookNtQuerySystemInformation), ntdll);技巧13调试过滤器状态设置监控调试过滤器状态修改HookFunction(NtSetDebugFilterState, DWORD_PTR(HookNtSetDebugFilterState), ntdll);技巧14线程信息设置监控线程信息设置HookFunction(NtSetInformationThread, DWORD_PTR(HookNtSetInformationThread), ntdll);技巧15对象查询监控监控系统对象查询HookFunction(NtQueryObject, DWORD_PTR(HookNtQueryObject), ntdll);四、项目使用指南 4.1 环境准备要使用makin项目首先需要克隆仓库git clone https://gitcode.com/gh_mirrors/ma/makin4.2 编译与构建项目使用Visual Studio解决方案进行构建打开makin.sln文件即可进行编译。4.3 自定义检测规则通过修改makin/checks.json文件可以自定义反调试和反VM检测规则添加新的注册表项、文件路径或进程名称。五、总结与展望 makin项目通过API挂钩技术为安全研究人员提供了一个强大的反调试技巧检测工具。其核心优势在于全面的API挂钩覆盖可定制的检测规则清晰的代码结构和模块化设计虽然项目已不再维护但其实现思路和技术方法仍然具有重要的学习价值。未来可以考虑添加更多高级检测功能如基于行为分析的检测算法以及对最新反调试技术的支持。通过学习和使用makin安全研究人员能够更好地理解恶意软件的防御机制为恶意代码分析和逆向工程工作提供有力支持。【免费下载链接】makinmakin - reveal anti-debugging and anti-VM tricks [This project is not maintained anymore]项目地址: https://gitcode.com/gh_mirrors/ma/makin创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考

makin项目深度解析：通过API挂钩技术检测恶意软件的15种反调试技巧

相关推荐

Next.js WordPress Starter测试策略：Jest与Storybook组件测试完整指南

终极AI斗地主助手：从零开始掌握专业级游戏策略

libgdbm-rust：革命性Rust重写GDBM数据库管理器，彻底解决内存安全问题

更多资讯

SolidWorks二次开发模板：基于.NET Framework的可交付插件工程化实践

Linux磁盘I/O监控：iostat与iotop实战排查

一文梳理AI Infra知识全景：算力、存储、训练、推理与平台

从模糊命名到清晰边界：以rea为例谈代码可维护性重构

Hive实现树形结构展开：三种方案对比与工程实践

计算机图形学速通指南：从渲染管线到软渲染器的全景地图

今日更新

智能硬件视频会议集成：从芯片选型到场景落地的全栈实践

FFmpeg音视频处理与5路RTMP推流实战：从原理到118克盒子部署

RK3528+1GB内存如何变身直播节点？硬编解码与六协议实战复盘

本周精选

金融AI落地指南：从调研报告到技术选型与工程实践

大模型上下文成本与注意力优化技术深度解析——为何O(n²)平方复杂度无法被常规优化消除｜TaoToken 统一 Key 通道实测

基于GMM的语音识别系统原理与MATLAB实现详解

本月热门

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

2026 大模型集体涨价：用 Python 做企业 Token 成本测算与选型避坑（附配置）

读完文章，想聊聊您的网站？