C++怎么通过检测当前代码段内存是否被插入0xCC（INT 3软件断点）来防反汇编-C++-PHP中文网

检测0xcc断点需读取函数首字节，用volatile防止优化，依赖prot_read权限即可安全读取，无需mprotect改写；但0xcc可能是合法指令，单字节检测易误报，建议比对前3–5字节或构建时嵌入原始机器码哈希。

c++怎么通过检测当前代码段内存是否被插入0xcc（int 3软件断点）来防反汇编

检测内存是否被写入 `0xCC` 需要读取当前指令字节

直接读取当前执行位置的内存（比如 __builtin_return_address(0) 指向的位置）是可行的，但必须绕过编译器优化干扰和段权限问题。x86/x64 下 0xCC 是单字节 INT 3 指令，调试器下断点即改原指令为 0xCC，所以检测本质就是：「我正在执行的这条指令，是不是被悄悄换成了 0xCC？」

关键限制：不能用 std::this_thread::get_id() 或栈回溯代替；不能依赖符号或 PDB；不能假设代码段可写——它通常是只读+执行（PROT_READ | PROT_EXEC），但**可读**。

用 reinterpret_cast<const uint8_t>(return_addr)</const> 获取返回地址指向的字节指针
用 volatile 读取（防优化删掉该次访存）：例如 volatile uint8_t b = *(volatile uint8_t*)ptr
注意：返回地址指向的是「下一条将执行的指令」，而当前函数入口处真正要检测的，其实是函数第一条指令所在地址（即 &func_name），不是返回地址
若在函数开头检测，应检测 &current_function，而非 __builtin_return_address(0)

`mprotect` 改页权限前必须对齐到页边界

有些方案想先 mprotect 当前代码页为可读可写，再读字节——这很危险，且不必要。你只是读，不是写；只要页面有 PROT_READ 权限（正常代码段都有），就可安全读取 0xCC。

但如果真要验证页属性（比如判断是否被调试器映射为异常页），必须把地址向下对齐到页边界（通常 4KB）：

C++14

C++14 对 C++11 的修正与增强版本，适合旧系统维护和较老工具链兼容。

下载

uintptr_t page = (uintptr_t)addr & ~(getpagesize() - 1);
if (mprotect((void*)page, getpagesize(), PROT_READ) != 0) {
    // 权限改失败，可能已被锁定或跨页
}

getpagesize() 在 Linux/macOS 有效；Windows 用 GetSystemInfo().dwPageSize
跨页函数（极少见）需分别检查起始页和结束页
调用 mprotect 本身可能触发 SEGV_ACCERR，尤其在 ASLR + W^X 环境下，不建议为单纯检测 0xCC 去动权限

Windows 下需处理 DEP 和 CFG 干扰

Windows 默认启用数据执行保护（DEP）和控制流防护（CFG），它们不阻止读取代码页，但可能让自反射式内存访问触发 ETW 日志或 AMSI 扫描——尤其是当检测逻辑出现在 DLL 入口、TLS 回调或导出函数中时。

避免在 DllMain 中做此类检测：可能因 loader 锁或内存未完全映射导致读取乱码
用 VirtualQuery 替代 ReadProcessMemory：后者需要 PROCESS_VM_READ 权限，在沙箱或低完整性进程里常失败

示例检测片段（Windows）：

MEMORY_BASIC_INFORMATION mbi;
if (VirtualQuery(&target_func, &mbi, sizeof(mbi)) == sizeof(mbi)) {
    if (mbi.Protect & PAGE_EXECUTE_READ) {
        volatile uint8_t first = *(volatile uint8_t*)mbi.BaseAddress;
        if (first == 0xCC) { /* 被下断点 */ }
    }
}