前两周帮一个做金融 App 的团队审代码，发现他们的反调试逻辑只是调用了 ptrace 就完事了，检测函数没做任何保护。攻击者只要在越狱环境下用 Frida 把那个函数 hook 掉，整层防护就形同虚设。反调试不是写一段检测代码那么简单，需要理解攻击者怎么破解，再做针对性加固。这篇把常用方法、代码实现和破解对抗完整梳理一遍，从防御和攻击两个角度展开，方便团队对照自己的实现查漏补缺。
常用反调试方法与代码实现
ptrace 拒绝附加： 启动时调用 ptrace 并传入 PT_DENY_ATTACH，拒绝调试器附加。OC 里通过 dlopen 加载 ptrace 符号再调用：
#import <dlfcn.h>
void denyAttach() {
void* handle = dlopen("/usr/lib/system/libsystem_kernel.dylib", RTLD_NOW);
int (*ptrace_ptr)(int, pid_t, caddr_t, int) = dlsym(handle, "ptrace");
ptrace_ptr(PT_DENY_ATTACH, 0, 0, 0);
}
sysctl 进程标志检测： 通过 sysctl 查询进程的 P_TRACED 标志，判断是否被调试。这个检测放晚一点执行，比如应用启动几秒后，避免攻击者一上来就在启动流程里定位到检测点。配合多线程延迟执行，让检测时机不可预测。
LLDB 断点痕迹检测： 检查代码段里是否被写入了断点指令（ARM 的 BKPT 指令）。实现成本高、误报风险存在，适合对安全性要求高的应用。几个检测点组合使用比单一检测可靠得多。
攻击者怎么破解
理解了攻击路径才能针对性防护。破解反调试主要有几条路：
patch 检测函数： 用 IDA 或 Hopper 定位检测函数，把 return 改掉让它永远返回"未调试"。破解方式是针对未混淆的二进制，符号名一清二楚，检测函数一眼就能找到。
Frida hook： 在运行时 hook ptrace 或 sysctl 调用，让它们返回假结果，进程继续正常运行。这种方式针对的是没有做调用链保护的检测代码，检测逻辑写在一个函数里、调用点明显，hook 起来很容易。debugserver 附加： 越狱环境下用 debugserver 直接附加进程，可以绕过部分启动期的检测，因为检测已经跑完了才附加上来。破解者会组合使用这些手段，先静态分析定位检测点，再动态绕过。
debugserver 附加： 越狱环境下用 debugserver 直接附加进程，绕过部分启动期检测。
加固方式
应对这些破解手段，核心思路是让检测代码"找不到、改不动"。用 IpaGuard 对 IPA 做符号混淆后，类名方法名变成无意义乱码，检测函数在静态分析阶段不容易被定位；参数名属性名一并处理，逻辑更难读懂；调试信息被清理，Hopper 和 IDA 分析时少了符号辅助，定位关键函数的成本明显提高。再配合多次检测点分散布局、延迟随机触发、检测结果加密比对等手法，攻击者 patch 掉一个检测点还有下一个，单点被绕过不至于全盘失效。检测逻辑拆散到多个模块里，避免集中在一个函数中。
验证
加固后做对抗测试：用 LLDB 附加、Frida hook 分别测试，确认检测逻辑在真实攻击手段下仍然生效，同时确认正常调试（开发阶段）不受影响。