颜瑞彬，高 见，2+，李天洋

(1.中国人民公安大学 信息网络安全学院，北京 100038；2.中国人民公安大学 安全防范与风险评估公安部重点实验室，北京 102623)

0 引 言

近年来，随着软件保护技术不断发展，对于用户态程序的逆向分析越来越困难。逆向分析人员在调试用户态程序时，受到反调试技术、代码混淆、程序加壳等各类软件保护技术的阻碍。在Windows环境下，由于反调试技术种类众多，实现简单，因此，大量用户态程序均通过反调试技术进行加固保护。

在各个领域中，反调试技术虽然保护了用户态程序，但也造成了很多的问题。例如，在网络安全领域中，根据CNCERT互联网安全威胁报告[1]，境内大量终端遭到木马的感染或僵尸网络恶意程序的攻击。由于反调试技术存在于木马或恶意程序中，安全人员无法顺利地分析此类用户态程序关键信息。在软件工程领域中，无论是在使用竞品分析技术开发软件时，还是在使用净室技术避免侵犯著作权时，反调试技术的应用均会阻碍逆向分析人员正常分析。因此，如何对抗反调试技术逐渐成为一个亟需解决的问题。现阶段，检测反调试技术的方法并不完善，大量研究均针对几种简单API反调试技术，无法检测其它种类反调试技术。同时，现存的检测反调试技术的框架存在着仅能识别部分反调试技术的问题或经常容易出现误报的情况。

为解决相关问题，本文提出了一种针对Windows操作系统的用户态反调试检测模型。此模型可以检测用户态程序使用的反调试技术的类型和具体位置。……