1）程式碼執行時間檢測

通過取系統時間，檢測關鍵程式碼執行耗時，檢測單步除錯，類似函式有：time,gettimeofday,clock_gettime.

也可以直接使用匯編指令RDTSC讀取，但測試ARM64有相容問題。

time_t t1, t2;
time (&t1);
/* Parts of Important Codes */
time (&t2);
if (t2 - t1 > 2) {
    puts ("debugged");
}

2）檢測 procfs 檔案系統變化

程序的狀態資訊能通過 procfs 系統反饋給使用者空間，除錯會使程序狀態發生變化：

char
 
 file [PATH_LEN];
char line [LINE_LEN];

snprintf (file, PATH_LEN-1, "/proc/%d/status", pid);    
FILE *fp = fopen (file, "r"); 
while (fgets (line, LINE_LEN-1, fp)) {
        if (strncmp (line, "TracerPid:", 10) == 0) {
            if (0 != atoi (&line[10])) {
                /* encrypt random .TEXT code */
 

            }
            break;
        }
}
fclose (fp);

類似可以檢測的介面還有：

/proc/pid/status
/proc/pid/task/pid/status
/proc/pid/stat
/proc/pid/task/pid/stat
/proc/pid/wchan
/proc/pid/task/pid/wchan

3）利用訊號機制

ARM程式下斷點，偵錯程式完成兩件事：

1. 儲存目標地址處指令
2. 將目標地址處指令替換成斷點指令

當命中斷點時，系統產生SIGTRAP訊號，偵錯程式收到訊號後完成下面操作：

1. 恢復斷點處原指令
2. 回退被跟蹤程序的當前PC

這時當控制權回到被除錯程式時，正好執行斷點位置指令。這就是 ARM 平臺斷點的基本原理。

可以看到，斷點是通過處理 SIGTRAP 訊號來實現的，假如我們自己註冊 SIGTRAP 的訊號處理函式，並在程式中主動執行中斷指令觸發中斷。

在中斷處理函式中，NOP 掉斷點指令，程式可正常執行。但在除錯狀態下，偵錯程式遇到斷點指令時，會去恢復原先指令，由於不是偵錯程式下的斷點，所以恢復會失敗，而偵錯程式會繼續第2步操作，回退PC暫存器，程式會在此處無限迴圈。

4）軟體斷點檢測

斷點會替換記憶體中原有指令，因此通過檢測記憶體中的斷點指令，可以檢測除錯：

#include<stdlib.h>
#include<stdio.h>
#include<elf.h>
#include<string.h>
#include<unistd.h>
#include<dlfcn.h>

voidcheckBreakPoint();
unsignedlonggetLibAddr(constchar *lib);

#define LOG_TAG "ANTIDBG_DEMO"

#include<android/log.h>
#define LOGI(...) __android_log_print(ANDROID_LOG_INFO, LOG_TAG, __VA_ARGS__)

intmain(){
    dlopen ("./libdemo.so", RTLD_NOW);
    sleep (60);
    checkBreakPoint ();

    return 0;
}

unsignedlonggetLibAddr(constchar *lib){
    puts ("Enter getLibAddr");
    unsigned long addr = 0;
    char lineBuf[256];

    snprintf (lineBuf, 256-1, "/proc/%d/maps", getpid ());
    FILE *fp = fopen (lineBuf, "r");
    if (fp == NULL) {
        perror ("fopen failed");
        goto bail;
    }
    while (fgets (lineBuf, sizeof(lineBuf), fp)) {
        if (strstr (lineBuf, lib)) {
            char *temp = strtok (lineBuf, "-");
            addr = strtoul (temp, NULL, 16);
            break;
        }
    }
bail: 
    fclose(fp);
    return addr;
}

voidcheckBreakPoint(){
    int i, j;
    unsigned int base, offset, pheader;
    Elf32_Ehdr *elfhdr;
    Elf32_Phdr *ph_t;

    base = getLibAddr ("libdemo.so");
    if (base == 0) {
        LOGI ("getLibAddr failed");
        return;
    }

    elfhdr = (Elf32_Ehdr *) base;
    pheader = base + elfhdr->e_phoff;

    for (i = 0; i < elfhdr->e_phnum; i++) {
        ph_t = (Elf32_Phdr*)(pheader + i * sizeof(Elf32_Phdr)); // traverse program header

        if ( !(ph_t->p_flags & 1) ) continue;
        offset = base + ph_t->p_vaddr;
        offset += sizeof(Elf32_Ehdr) + sizeof(Elf32_Phdr) * elfhdr->e_phnum;

        char *p = (char*)offset;
        for (j = 0; j < ph_t->p_memsz; j++) {
            if(*p == 0x01 && *(p+1) == 0xde) {
                LOGI ("Find thumb bpt %p", p);
            } else if (*p == 0xf0 && *(p+1) == 0xf7 && *(p+2) == 0x00 && *(p+3) == 0xa0) {
                LOGI ("Find thumb2 bpt %p", p);
            } else if (*p == 0x01 && *(p+1) == 0x00 && *(p+2) == 0x9f && *(p+3) == 0xef) {
                LOGI ("Find arm bpt %p", p);
            }
            p++;
        }
    }
}

5）inotify 檔案系統監控

inotify 是一個核心用於通知使用者態檔案系統變化的機制，當檔案被訪問，修改，刪除等時使用者態可以快速感知。

1.使用 inotify_init() 初始化一個 inotify 例項並返回檔案描述符，每個檔案描述符都關聯了一個事件佇列：

int fd = inotify_init ();

2.拿到這個檔案描述符後下一步就告訴核心，哪些檔案發生哪些事件時你得通知我，通過函式 inotify_add_watch 實現：

int wd = inotify_add_watch (fd, path, mask);

第一個引數即 inotify_init 返回的檔案描述符，path 表示關注的目標路徑，可以是檔案目錄等。mask 表示關注的事件的掩碼，如 IN_ACCESS 代表訪問，IN_MODIFY 代表修改等

相應的，可以通過 inotify_rm_watch 來刪除一個watch：

int ret = inotify_rm_watch (fd, wd);

這樣，每當監視的檔案發生變化時，核心便給 fd 關聯的事件佇列裡面塞一個檔案事件。檔案事件用一個 inotify_event 結構表示，可以通過 read 來讀取：

structinotify_event {
        __s32           wd;             /* watch descriptor */
        __u32           mask;           /* watch mask */
        __u32           cookie;         /* cookie to synchronize two events */
        __u32           len;            /* length (including nulls) of name */
        char            name[0];        /* stub for possible name */
};

size_t len = read (fd, buf, LEN);

• 通過監視 /proc/pid/maps 檔案的開啟事件，可防針對 360 加固的 dump 脫殼

• 檔案變化與事件觸發非必然聯絡，例如 /proc/pid/status 中的 TracerPid 值在被除錯時是變化的，但其變化沒有事件發生，原因未知可能與 inofity 的核心實現有關

6）ptrace()

ptrace() 是 Linux 的一個系統呼叫，也是 Linux 下 gdb 等偵錯程式實現的基礎。它提供了 Linux 下一個程序跟蹤另一個程序暫存器、記憶體等的能力。

由於 ptrace() 到一個執行緒後，任何訊號都將導致執行緒STOP 並將控制權交由呼叫者 ，因此如果利用每個執行緒只能有一個ptrace跟蹤 來防止附加的話，需要處理好這個關係：

while (waitpid (g_childPid, &stat, 0) ) {
    if (WIFEXITED (stat) || WIFSIGNALED(stat)) {
        XXX_DEBUG_LOG ("waitpid : child died\n");
        exit (11);
    }
    ptrace (PTRACE_CONT, g_childPid, NULL, NULL);
}

7）多程序的反除錯實現