# ScyllaHide 用户态反反调试库 > 面向 32 位和 64 位 Windows 程序的用户态（ring 3）反反调试库，通过挂钩系统函数，让被调试程序察觉不到调试器。其文档逐项说明各个选项：处理 BeingDebugged、NtGlobalFlag 和堆标志等 PEB 调试标志，应对借助 ThreadHideFromDebugger 隐藏的线程，在窗口查询和进程列表中隐藏调试器的窗口与进程，应对以无效句柄调用 NtClose 的检测，以及输入屏蔽、计时检测、硬件断点检测和基于异常的检测；附加选项可注入 DLL、阻止创建线程，并转储以 RunPE 方式启动的进程。它以插件形式集成到 x64dbg、OllyDbg v1/v2、IDA 和 TitanEngine，也可用独立的 InjectorCLI 把钩子库注入到任意调试器下的进程。 - 类型：工具 - 目标：二进制 - 类别：调试与动态分析 - 关联：基础工具 - 来源复核于：2026-11-05 - 收录于：2026-11-06 - 原始资源： - 一手来源： - 目录页面： - 记录 JSON： - 英文版：[English](https://awesomerea.org/resources/scyllahide/index.md) ## 使用条件与局限 - **前提条件：**需要 Windows；审阅时的版本为 v1.4，于 2023-03-24 发布，所审阅的 master 分支提交日期为 2023-07-29。插件覆盖 x64dbg、OllyDbg v1 和 v2、TitanEngine v2 以及 IDA；README 注明 IDA v6 插件已不再支持，并表示借助 x64dbg 和 IDA 插件可完整支持 PE x64 程序调试。 - **局限：**它只在用户态工作，README 建议需要内核态（ring 0）反反调试时改用 TitanHide。每个选项针对特定的反调试检测：文档建议计时、硬件断点保护、阻止线程创建和 NtYieldExecution 等选项只在确有需要时启用，并且只在虚拟机中使用会终止并转储新建进程的 RunPE 脱壳选项。 - **许可：**采用 GPL-3.0 许可。项目派生自 Bitbucket 上原始的 ScyllaHide 仓库；完整手册是附在 docs-2019-05-17 发布中的 PDF，其 LaTeX 源文件位于 Documentation/ 目录。 ## 一手来源 1. 2. 3. 4. 5. ## 同分区更多条目：原生二进制 - [YARA-X Rust 版 YARA 模式匹配工具](https://awesomerea.org/zh/resources/yara-x/index.md) · 工具 - [ReClass.NET 进程内存结构重建工具](https://awesomerea.org/zh/resources/reclass-net/index.md) · 工具 - [Keypatch IDA Pro 汇编修补插件](https://awesomerea.org/zh/resources/keypatch/index.md) · 工具 - [edb-debugger 图形化调试器](https://awesomerea.org/zh/resources/edb-debugger/index.md) · 工具 - [BinNavi 二进制分析 IDE](https://awesomerea.org/zh/resources/binnavi/index.md) · 工具 - [flare-emu 二进制分析框架模拟执行库](https://awesomerea.org/zh/resources/flare-emu/index.md) · 工具 ## 关于此条目 说明已依据一手来源复核。 原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。