技能介绍

反调试技术的实际挑战

现代恶意软件和受版权保护的软件常通过反调试技术检测分析环境，例如在Linux下用ptrace限制调试器附加、在Windows下检查PEB中的调试标志位，或利用NtQueryInformationProcess探测调试会话。这些检测手段分布在用户态与内核态，触发条件和绕过策略差异较大，手动梳理容易遗漏关键细节。

技能如何覆盖检测与绕过

该技能整合了跨平台反调试技术，核心能力包括：

覆盖Linux与Windows的主流检测方法：ptrace系统调用、PEB标志位、NtQueryInformationProcess、时序攻击、信号检测（如SIGTRAP）、TLS回调、VEH（向量异常处理）技巧
明确区分用户态（user-mode）与内核态（kernel-mode）检测的逻辑差异，针对不同模式提供对应的补丁策略
提供绕过方法的快速选择：按检测类别推荐首选工具（如Frida、ScyllaHide）和备用方案
当二进制包含控制流扁平化、VM保护或字符串加密时，自动路由至code-obfuscation-deobfuscation技能；当反调试逻辑嵌入自定义VM调度器时，关联vm-and-bytecode-reverse技能；若需符号化跳过检测，可调用symbolic-execution-tools

适用边界与注意点

仅聚焦反调试技术的检测与绕过，不处理代码混淆、VM逆向或符号执行本身
高级参考文件ANTI_DEBUG_MATRIX.md提供技术×操作系统×检测方法×绕过方法的完整矩阵，包含单项技术的可靠性评分、误报说明，以及GDB、x64dbg、WinDbg、Frida、ScyllaHide等工具的兼容性图表
需结合具体二进制的运行环境和保护逻辑选择检测技术，避免直接套用通用方案