程序阻碍OD调试的方式2

1.

介绍一下API函数CreateToolhelp32Snapshot

CreateToolhelp32Snapshot

函数通过获取进程信息为指定的进程、进程使用的堆[HEAP]、模块[MODULE]、线程建立一个快照.

说到底，可以获取系统中正在运行的进程信息，线程信息，等

折叠编辑本段函数原型:

HANDLE WINAPI CreateToolhelp32Snapshot(

DWORD dwFlags, //用来指定"快照"中需要返回的对象，可以是TH32CS_SNAPPROCESS等

DWORD th32ProcessID //一个进程ID号，用来指定要获取哪一个进程的快照，当获取系统进程列表或获取 当前进程快照时可以设为0

);

折叠编辑本段dwFlags

指定快照中包含的系统内容，这个参数能够使用下列数值(常量)中的一个或多个。

TH32CS_INHERIT - 声明快照句柄是可继承的。

TH32CS_SNAPALL - 在快照中包含系统中所有的进程和线程。

TH32CS_SNAPHEAPLIST - 在快照中包含在th32ProcessID中指定的进程的所有的堆。

TH32CS_SNAPMODULE - 在快照中包含在th32ProcessID中指定的进程的所有的模块。

TH32CS_SNAPPROCESS - 在快照中包含系统中所有的进程。

TH32CS_SNAPTHREAD - 在快照中包含系统中所有的线程。

Const TH32CS_SNAPHEAPLIST = &H1

Const TH32CS_SNAPPROCESS = &H2

Const TH32CS_SNAPTHREAD = &H4

Const TH32CS_SNAPMODULE = &H8

Const TH32CS_SNAPALL = (TH32CS_SNAPHEAPLIST | TH32CS_SNAPPROCESS | TH32CS_SNAPTHREAD | TH32CS_SNAPMODULE)

Const TH32CS_INHERIT = &H80000000

折叠编辑本段th32ProcessID

指定将要快照的进程ID。如果该参数为0表示快照当前进程。该参数只有在设置了TH32CS_SNAPHEAPLIST或者TH32CS_SNAPMODULE后才有效，在其他情况下该参数被忽略，所有的进程都会被快照。

折叠编辑本段返回值:

折叠解释

调用成功，返回快照的句柄，调用失败，返回INVALID_HANDLE_VALUE 。

折叠备注:

使用GetLastError函数查找该函数产生的错误状态码。

注意，在Win NT中，要删除快照，使用CloseHandle函数;在Win CE中，要删除快照，使用CloseToolhelp32Snapshot函数。(好搜百科上的很详细)。

2.示例：

该程序通过调用API函数获取当前主机进程快照然后通过字符串对比函数lstrcmpiA()与“OLLYDBG.EXE”进行比较，如果进程中出现“OLLYDBG.EXE”字符，

DWORD th32ProcessID //一个进程ID号，用来指定要获取哪一个进程的快照，当获取系统进程列表或获取 当前进程快照时可以设为0

当进程快照被设为0时，则程序无条件跳转到程序结束处，程序结束。