isdebuggerpresent基本没用但仍需调用，因其开销极低，可作为第一道轻量级筛查，捕获粗心调试者或自动化工具；但必须配合ntqueryinformationprocess、父进程检测、异常触发等多重手段，不可单独依赖。
为什么 IsDebuggerPresent 基本没用但还得调用它
Windows 下最常被想到的反调试函数是 IsDebuggerPresent，它读取当前进程的 PEB->BeingDebugged 字节。问题在于：这个字节可被调试器（比如 x64dbg）在附加后立刻清零，检测即失效。但它仍有价值——作为第一道轻量级筛查，开销极低，且能捕获部分自动化工具或粗心的调试者。实际使用时必须配合其他手段，不能单独依赖。
实操建议：
- 只在关键逻辑前调用一次，避免高频轮询（易被行为分析识别）
- 若返回
true，立即终止或触发混淆分支，不要打印日志、弹窗等暴露意图的操作 - 注意：该 API 在 Wow64 进程中对 64 位调试器可能返回
false，需结合NtQueryInformationProcess补充验证
用 NtQueryInformationProcess 检查 ProcessBasicInformation 更可靠
NtQueryInformationProcess 是未公开的 NT API，能读取更底层的进程信息。通过查询 ProcessBasicInformation 类别，可获取 PEB 地址，再手动读取 BeingDebugged 和新增的 BitField（含 HeapFlags 等调试痕迹）。相比 IsDebuggerPresent，它绕过了部分壳/调试器对 PEB 的简单 patch。
实操建议：
- 函数地址需运行时通过
GetProcAddress获取ntdll.dll中的NtQueryInformationProcess，避免静态导入被轻易识别 - 结构体
PROCESS_BASIC_INFORMATION需自行定义，注意 32/64 位字段对齐差异（PebBaseAddress在 64 位下是ULONG64） - 读取
PEB内存需用ReadProcessMemory，但当前进程可直接解引用指针——前提是关闭 CFG 和堆栈保护（否则访问非法内存会触发异常）
检查父进程是否为常见调试器（GetParentProcessId + 名称比对）
很多调试器（如 VisualStudio、ollydbg.exe、x64dbg.exe）会以自身为父进程启动目标程序。通过 OpenProcess 获取父进程句柄，再用 QueryFullProcessImageName 读取镜像路径，能有效识别这类场景。
实操建议：
- 先用
GetProcessIdOfThread(GetCurrentThread())获取当前线程所属进程 ID，再调用NtQueryInformationProcess（类别ProcessBasicInformation）拿到UniqueProcessId和InheritedFromUniqueProcessId（即父 PID） - 不要用
CreateToolhelp32Snapshot—— 它在受保护进程或某些沙箱中可能失败，且性能较差 - 比对进程名时忽略大小写，但避免硬编码完整路径；只需匹配末尾文件名（如
L"vsjitdebugger.exe"、L"windbg.exe"）即可 - 注意：Windows 10+ 后台服务或某些启动方式可能导致父进程为
svchost.exe或explorer.exe，这类需额外白名单过滤
触发异常并观察 EXCEPTION_DEBUG_EVENT 是否被拦截
向自己发送一个可控异常（如 int 3 或 __debugbreak()），然后在 SEH（__try/__except）中捕获。如果进程正被调试，系统会优先将异常转给调试器，SEH 的 __except 块可能不执行，或执行延迟明显。这是行为层面的检测，较难被静态绕过。
实操建议：
- 用
__try { __debugbreak(); } __except(EXCEPTION_EXECUTE_HANDLER) { /* 正常路径 */ }，若__except块未运行，大概率正在被调试 - 不要在主线程频繁触发——容易被 EDR 标记为可疑行为；可放在某个冷门函数中，且仅执行一次
- 注意：某些内核级调试器（如
WinDbg Kernel Mode）仍可能劫持异常，此时需结合时间差检测（记录rdtsc或GetTickCount64调用前后耗时，异常处理延迟 >50ms 可疑）
真正难的是让这些检测不互相干扰、不引入崩溃风险，也不被现代 EDR 的 Hook 和内存扫描直接识别。比如硬编码字符串、未混淆的 API 名、连续调用多个反调试函数，都会成为签名特征。实际部署前，务必在目标环境（尤其是开启 Windows Defender Exploit Guard 或第三方 EDR 的机器）上验证存活率。
C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
