学步园

在看雪浏览时看到的一篇dummy大牛写的文章,他是那么说的:在使用 CreateProcess 创建进程时,需要传递 
STARTUPINFO 的结构的指针,
而常常我们并不会一个一个设置其结构的值,
连把其他不用的值清0都会忽略,
而 ollydbg 也这样做了,
我们可以使用 GetStartupInfo 检查启动信息,
如果很多值为"不可理解"的,那么就说明自己不是由 explorer 来创建的.(explorer.exe 使用 shell32 中 ShellExecute 的来运行程序, ShellExecute 会清不用的值)

还有一点 ollydbg 会向 STARTUPINFO 中的     dwFlags 设置 STARTF_FORCEOFFFEEDBACK,而 explorer 不会.

procedure Anti();
var
  si: STARTUPINFO;
begin
  GetStartupInfo(si);
  if
    (si.dwX <> 0) or
    (si.dwY <> 0) or
    (si.dwXCountChars <> 0) or
    (si.dwYCountChars <> 0) or
    (si.dwFillAttribute <> 0) or
    (si.dwXSize <> 0) or
    (si.dwYSize <> 0) or
    (si.dwFlags and STARTF_FORCEOFFFEEDBACK = 1) then
  begin
    asm
      popad
            add esp, 2
    end
  end
  else
  begin
    MessageBox(0, '没有发现调试器. 原理GetStartupInfo', nil, 0);
  end;
end;