游戏反调试中硬件断点检测（DR0-DR7）与防护对抗浅析

atang100

在游戏逆向动态调试过程中，硬件断点因不修改内存代码段（不触发 CRC 校验）而被广泛使用，但也极易被反作弊模块捕捉：

1. 检测机制：反调试线程通常周期性调用 GetThreadContext，检查 ContextRecord->Dr0 到 Dr3 是否非零，以及 Dr7 的启用状态位；或者通过注册 VEH（向量化异常处理程序）引发故意异常，并在异常回调的 PCONTEXT 中检查调试寄存器。
2. 规避思路：
   - Hook NtGetContextThread：在驱动或应用层 Hook 拦截上下文查询，过滤清空 Dr0-Dr7 相关槽位后再返回给目标进程。
   - 驱动层抹除暴露面：在内核态清除目标线程 ETHREAD 的 DebugActive 标志，使用户态 API 查询或异常分发时感知不到硬件调试状态。
   - 调试器插件处理：使用 ScyllaHide 或 x64dbg 内置的反反调试插件，自动对线程上下文中的硬件调试寄存器进行模拟回填与混淆。

untaxed

果断MARK，前十有我必火！