如何让Windows认为用户态进程处于被调试状态（PEB BeingDebugged为True）

Windows设置BeingDebugged为True的核心判定条件 #

Windows内核会在以下两种场景自动将进程PEB的BeingDebugged设为True，并设置DebugPort字段：

• 进程被外部进程通过CreateProcess函数，以DEBUG_PROCESS或DEBUG_ONLY_THIS_PROCESS标志启动
• 外部进程调用DebugActiveProcess/DebugActiveProcessEx成功附加到目标进程

你之前调用DebugActiveProcess(GetCurrentProcessId())失败的原因是：Windows不允许进程调试自身，调试器与被调试进程必须是独立的进程上下文，因此该调用会返回失败。

简便可行的实现方案 #

方案1：启动子进程调试主进程 #

通过主进程启动一个轻量级子进程，让子进程充当调试器附加到主进程，这样Windows会自动将主进程的BeingDebugged设为True，IsDebuggerPresent()也会返回True。

示例C++代码：

#include <windows.h>
#include <cstdio>
#include <iostream>

// Rundll32调用的入口函数，负责调试主进程
extern "C" __declspec(dllexport) void __stdcall DebugMain(HWND, HINSTANCE, LPSTR cmdLine, int) {
    DWORD mainPid = atoi(cmdLine);
    if (!DebugActiveProcess(mainPid)) {
        return;
    }

    // 维持调试连接，处理调试事件
    DEBUG_EVENT debugEvent;
    while (WaitForDebugEvent(&debugEvent, INFINITE)) {
        // 继续进程执行
        ContinueDebugEvent(debugEvent.dwProcessId, debugEvent.dwThreadId, DBG_CONTINUE);
        // 主进程退出时，子进程也退出
        if (debugEvent.dwDebugEventCode == EXIT_PROCESS_DEBUG_EVENT) {
            break;
        }
    }
}

int main() {
    char selfPath[MAX_PATH];
    GetModuleFileNameA(NULL, selfPath, MAX_PATH);
    DWORD mainPid = GetCurrentProcessId();

    // 构造rundll32命令行，启动子进程调试主进程
    char cmdLine[512];
    sprintf_s(cmdLine, "rundll32.exe \"%s\",DebugMain %lu", selfPath, mainPid);
    
    STARTUPINFOA si = { sizeof(si) };
    PROCESS_INFORMATION pi;
    if (CreateProcessA(NULL, cmdLine, NULL, NULL, FALSE, 0, NULL, NULL, &si, &pi)) {
        CloseHandle(pi.hThread);
        CloseHandle(pi.hProcess);
    }

    // 验证状态
    if (IsDebuggerPresent()) {
        std::cout << "成功：BeingDebugged为True，IsDebuggerPresent返回True" << std::endl;
    } else {
        std::cout << "失败：未触发调试状态" << std::endl;
    }

    // 保持进程运行
    system("pause");
    return 0;
}

编译后运行，主进程会被子进程附加调试，满足你的需求。

方案2：通过外部进程以调试模式启动目标进程 #

如果你的进程是由另一个程序启动的，可以在调用CreateProcess时指定DEBUG_PROCESS标志，这样目标进程启动时BeingDebugged就会被自动设为True：

STARTUPINFOA si = { sizeof(si) };
PROCESS_INFORMATION pi;
// 以调试模式启动目标进程
CreateProcessA("your_target_process.exe", NULL, NULL, NULL, FALSE, DEBUG_PROCESS, NULL, NULL, &si, &pi);

// 维持调试连接，处理调试事件
DEBUG_EVENT debugEvent;
while (WaitForDebugEvent(&debugEvent, INFINITE)) {
    ContinueDebugEvent(debugEvent.dwProcessId, debugEvent.dwThreadId, DBG_CONTINUE);
    if (debugEvent.dwDebugEventCode == EXIT_PROCESS_DEBUG_EVENT) {
        break;
    }
}

关于硬件断点方案的说明 #

你提到的在不可达区域添加硬件断点的方案并不可行：硬件断点本身不会触发Windows将BeingDebugged设为True，只有当调试器存在并设置断点时，才会关联调试状态。自行设置硬件断点只会触发单步异常，不会让Windows认为进程处于被调试状态。

内容的提问来源于stack exchange，提问作者afar