前两周帮一个做金融 App 的团队审代码发现他们的反调试逻辑只是调用了 ptrace 就完事了检测函数没做任何保护。攻击者只要在越狱环境下用 Frida 把那个函数 hook 掉整层防护就形同虚设。反调试不是写一段检测代码那么简单需要理解攻击者怎么破解再做针对性加固。这篇把常用方法、代码实现和破解对抗完整梳理一遍从防御和攻击两个角度展开方便团队对照自己的实现查漏补缺。常用反调试方法与代码实现ptrace 拒绝附加启动时调用 ptrace 并传入 PT_DENY_ATTACH拒绝调试器附加。OC 里通过 dlopen 加载 ptrace 符号再调用#import dlfcn.h void denyAttach() { void* handle dlopen(/usr/lib/system/libsystem_kernel.dylib, RTLD_NOW); int (*ptrace_ptr)(int, pid_t, caddr_t, int) dlsym(handle, ptrace); ptrace_ptr(PT_DENY_ATTACH, 0, 0, 0); }sysctl 进程标志检测通过 sysctl 查询进程的 P_TRACED 标志判断是否被调试。这个检测放晚一点执行比如应用启动几秒后避免攻击者一上来就在启动流程里定位到检测点。配合多线程延迟执行让检测时机不可预测。LLDB 断点痕迹检测检查代码段里是否被写入了断点指令ARM 的 BKPT 指令。实现成本高、误报风险存在适合对安全性要求高的应用。几个检测点组合使用比单一检测可靠得多。攻击者怎么破解理解了攻击路径才能针对性防护。破解反调试主要有几条路patch 检测函数用 IDA 或 Hopper 定位检测函数把 return 改掉让它永远返回未调试。破解方式是针对未混淆的二进制符号名一清二楚检测函数一眼就能找到。Frida hook在运行时 hook ptrace 或 sysctl 调用让它们返回假结果进程继续正常运行。这种方式针对的是没有做调用链保护的检测代码检测逻辑写在一个函数里、调用点明显hook 起来很容易。debugserver 附加越狱环境下用 debugserver 直接附加进程可以绕过部分启动期的检测因为检测已经跑完了才附加上来。破解者会组合使用这些手段先静态分析定位检测点再动态绕过。debugserver 附加越狱环境下用 debugserver 直接附加进程绕过部分启动期检测。加固方式应对这些破解手段核心思路是让检测代码找不到、改不动。用IpaGuard对 IPA 做符号混淆后类名方法名变成无意义乱码检测函数在静态分析阶段不容易被定位参数名属性名一并处理逻辑更难读懂调试信息被清理Hopper 和 IDA 分析时少了符号辅助定位关键函数的成本明显提高。再配合多次检测点分散布局、延迟随机触发、检测结果加密比对等手法攻击者 patch 掉一个检测点还有下一个单点被绕过不至于全盘失效。检测逻辑拆散到多个模块里避免集中在一个函数中。验证加固后做对抗测试用 LLDB 附加、Frida hook 分别测试确认检测逻辑在真实攻击手段下仍然生效同时确认正常调试开发阶段不受影响。