工具
ScyllaHide 用户态反反调试库
面向 32 位和 64 位 Windows 程序的用户态（ring 3）反反调试库，通过挂钩系统函数，让被调试程序察觉不到调试器。其文档逐项说明各个选项：处理 BeingDebugged、NtGlobalFlag 和堆标志等 PEB 调试标志，应对借助 ThreadHideFromDebugger 隐藏的线程，在窗口查询和进程列表中隐藏调试器的窗口与进程，应对以无效句柄调用 NtClose 的检测，以及输入屏蔽、计时检测、硬件断点检测和基于异常的检测；附加选项可注入 DLL、阻止创建线程，并转储以 RunPE 方式启动的进程。它以插件形式集成到 x64dbg、OllyDbg v1/v2、IDA 和 TitanEngine，也可用独立的 InjectorCLI 把钩子库注入到任意调试器下的进程。
- 目标
- 二进制
- 类别
- 调试与动态分析
- 关联
- 基础工具
- 来源复核于
使用条件与局限
- 前提条件：需要 Windows；审阅时的版本为 v1.4，于 2023-03-24 发布，所审阅的 master 分支提交日期为 2023-07-29。插件覆盖 x64dbg、OllyDbg v1 和 v2、TitanEngine v2 以及 IDA；README 注明 IDA v6 插件已不再支持，并表示借助 x64dbg 和 IDA 插件可完整支持 PE x64 程序调试。
- 局限：它只在用户态工作，README 建议需要内核态（ring 0）反反调试时改用 TitanHide。每个选项针对特定的反调试检测：文档建议计时、硬件断点保护、阻止线程创建和 NtYieldExecution 等选项只在确有需要时启用，并且只在虚拟机中使用会终止并转储新建进程的 RunPE 脱壳选项。
- 许可：采用 GPL-3.0 许可。项目派生自 Bitbucket 上原始的 ScyllaHide 仓库；完整手册是附在 docs-2019-05-17 发布中的 PDF，其 LaTeX 源文件位于 Documentation/ 目录。
关于此条目
说明已依据一手来源复核；这不代表已运行验证、经过安全审计或确认兼容。
一手来源
- README.md GitHub · x64dbg/ScyllaHide · 修订 baa5c8e
- Documentation/ScyllaHideDocumentation.tex GitHub · x64dbg/ScyllaHide · 修订 baa5c8e
- LICENSE GitHub · x64dbg/ScyllaHide · 修订 baa5c8e
- https://github.com/x64dbg/ScyllaHide/releases/tag/v1.4
- https://github.com/x64dbg/ScyllaHide/releases/download/docs-2019-05-17/ScyllaHide.pdf