AntiDBG

antidbg는 Windows용 x64 사용자 모드 안티 디버깅 라이브러리로, 소프트웨어를 디버깅으로부터 보호하도록 설계되었습니다.

이 라이브러리를 안티 디버깅 보호의 기반으로 고려하되, 유일한 방어 수단으로 삼지 마십시오.

이 라이브러리는:

사용이 매우 간편합니다 (함수 호출 한 번만 필요).
높은 성능과 최소한의 리소스 사용을 위해 설계되었습니다 (CPU 사용률 1%; 메모리 2MB 미만).
외부 의존성이 전혀 없습니다.
완전한 MIT 라이선스입니다.
CFG를 준수합니다.

구조

위협 모델은 디버거가 어떤 종류의 권한 수준에서든 이 보호 시스템으로 보호되는 소프트웨어를 가로챌 수 있다고 가정하며, 권한 수준이 높을수록 탐지 효과가 떨어집니다.

이 소프트웨어는 다음과 같은 방법으로 사소한 CPL > 0 가로채기를 우회하도록 강화되었습니다:

인라인 어셈블리를 통한 시스템 콜로 모든 종류의 API 후킹을 회피합니다.
현재 프로세스에 대해 가상 메모리 보호 및 인젝션 완화 정책을 시행합니다.
비합법적인 계측 콜백을 탐지하거나 덮어써서 RAX의 시스템 콜 스푸핑을 방지합니다.
디스크 상 vs 메모리 내 비교를 통해 모니터링되는 .text 섹션에 대한 모든 종류의 인라인 패치를 탐지합니다.
예외 처리 전달(VEH, SEH, LPTOP_LEVEL_EXCEPTION_FILTER) 및 소프트웨어 중단점을 분석합니다.
PAGE_GUARD 리다이렉션 동작을 테스트합니다.
중요한 스텁을 쓰기 불가능한 메모리로 보호하고, 이후 별도 스레드에서 하드웨어 가속 해싱으로 모니터링합니다.
TLS callbacks로 프로세스 진입점을 디버거 부착으로부터 보호하고, 스레드 시작 주소 검사를 수행합니다.
DbgBreakPoint 및 DbgUiRemoteBreakin과 같은 디버거 진입점에 트랩을 생성하여 프로세스를 충돌시키거나 반환합니다.
디버거 이벤트 및 프로세스 정지로부터 모든 스레드를 숨깁니다. 스레드 우선순위 상태가 영향을 받지 않도록 보장합니다.
보호가 시작되는 즉시 전역 벡터화 핸들러를 설정합니다.

검사를 수행하는 유일한 방법이 시스템 콜이 불가능한 내보낸 함수를 사용하는 것이라면, 해당 함수는 수동으로 리버스 엔지니어링되어 보호 스레드의 모듈 주소 공간에서 실행되도록 재구성됩니다. 모든 사용자 모드 메모리 구조는 API를 사용하는 대신 직접 메모리 내성을 통해 순회됩니다.

보호 루틴은 일부 실행 경로를 사용자 모드 후킹에 대한 보호 없이 명시적으로 남겨두어 메모리 허니팟 역할을 합니다. 이들은 상태 비교 및 공격자 교란에 사용됩니다.

보호 루틴은 의사 무작위로 실행됩니다. 엔트로피는 순수 하드웨어 기반 ASLR, 스택 동작 및 약간의 수학으로 결정되며, 커널을 호출하거나 사용자 모드 API를 사용하거나 하이퍼바이저에 의해 조건부 또는 무조건 종료 명령을 발행하지 않습니다.

보안 위반이 탐지되면, 보호 시스템은 모든 예외 핸들러를 우회하여 STATUS_SXS_EARLY_DEACTIVATION과 함께 INT 29h를 호출하여 현재 프로세스를 충돌시킵니다. 경우에 따라 현재 프로세스를 종료하기 위해 커널에 APC를 큐에 넣기도 합니다.

탐지

이 라이브러리의 메인 진입점(abdg.c)에서 발견되며, 순서대로 설명됩니다.

요약된 설명이며, 특정 탐지는 여기 설명된 것보다 더 많은 추가/하위 검사를 수행할 수 있습니다.

antidebug\archived 폴더에서 다른 탐지 개념의 소스 코드를 더 찾을 수 있습니다.

1. kernel32의 내보낸 함수를 사용하여 PEB의 BeingDebugged 필드를 읽습니다.
2. 내보낸 IsRemoteDebuggerPresent를 호출하여 대상 프로세스가 자체 컨텍스트 외부에서 디버깅되고 있는지 확인합니다.
3. INT 2D 소프트웨어 인터럽트를 실행하여 해당 명령어 다음의 바이트가 건너뛰어지고 EXCEPTION_BREAKPOINT 핸들러를 통해 라우팅되지 않는지 확인합니다.
4. 중단점 인터럽트 INT 3D를 실행한 다음, 예외가 가로채지는지 또는 정상적으로 통과되는지 관찰합니다.
5. ICE/0xF1을 호출하여 EXCEPTION_SINGLE_STEP을 발생시키고, 디버거가 이 예외를 RFlags 레지스터에 단일 단계 비트가 설정된 상태에서 명령어를 실행하여 생성된 정상 예외로 간주하는지 확인합니다.
6. 플래그를 설정하고 디버거가 에서 이를 지우는지 확인하여 스택 세그먼트 레지스터를 조사합니다. 일반적으로 디버거는 각 디버거 이벤트가 전달된 후 트랩 플래그를 지웁니다.

사용법

가드 모드: 스레드가 프로그램에서 실행되기 시작하고 부착된 디버거를 지속적으로 모니터링합니다. 언제든지 디버거가 탐지되면, 프로그램은 시도(디버그 모드로 컴파일된 경우)를 기록하고 다른 프로그램이 충돌을 중지하지 못하도록 강제로 종료합니다.

예:

#include "adbg.h"

int main() {
    StartDebugProtection();

    return 0;
}

단일 실행 모드: 언제든지 호출하여 디버거가 프로세스에 부착되었는지 탐지할 수 있는 함수입니다.

예:

#include "adbg.h"

int main() {
    if (isProgramBeingDebugged()) {
        printf("Debugger detected.\n");
    }
    else {
        printf("No debugger was detected.\n");
    }

    return 0;
}

빌드

1. 바이너리 모드

테스트 러너 실행 파일을 빌드하려면 -DBUILD_EXAMPLE=ON을 활성화하십시오. 이는 example/main.c를 컴파일하고 진입점으로 코어 라이브러리를 오염시키지 않고 antidebug에 링크합니다.

Visual Studio (GUI)

Visual Studio에서 저장소 폴더를 엽니다 (또는 생성된 .sln 파일을 엽니다).
원하는 구성을 선택합니다 (x64-Release 또는 x64-Debug).
antidebug_runner를 시작 프로젝트로 설정하고 Build를 클릭합니다 (또는 F5를 눌러 실행).

CLI (MSVC / Ninja / Clang)

프로젝트 루트에서:

cmake -B build -S . -DBUILD_EXAMPLE=ON
cmake --build build --config Release

실행 파일은 다음 위치에 있습니다:

MSVC 멀티 구성: build/Release/antidebug_runner.exe
Ninja 단일 구성: build/antidebug_runner.exe

디버그 빌드에 대한 참고: 디버그 모드(--config Debug)로 컴파일하면 core/debug.c를 통해 콘솔/디버거 진단 로그가 활성화됩니다. 릴리스 모드는 로깅을 완전히 제거합니다.

2. 라이브러리 모드 (정적 또는 공유)

기본적으로 CMake는 정적 라이브러리(antidebug.lib 또는 libantidebug.a)를 생성합니다. **동적 링크 라이브러리(DLL)**를 빌드하려면 -DBUILD_SHARED_LIBS=ON을 전달하십시오.

옵션 A: MSVC (`cl.exe`)

Visual Studio 생성기 사용:

# Static Library (.lib)
cmake -B build -S . -A x64 -DBUILD_SHARED_LIBS=OFF
cmake --build build --config Release

# Dynamic Library (.dll + import .lib)
cmake -B build -S . -A x64 -DBUILD_SHARED_LIBS=ON
cmake --build build --config Release

옵션 B: Clang-CL (MSVC 통합이 포함된 LLVM)

clang-cl과 함께 Ninja 사용:

# Ensure clang-cl is in your PATH or run from the VS x64 Native Tools Command Prompt
cmake -B build -S . -G Ninja -DCMAKE_C_COMPILER=clang-cl -DCMAKE_BUILD_TYPE=Release -DBUILD_SHARED_LIBS=OFF
cmake --build build

옵션 C: Clang (MinGW / LLVM-MinGW)

64비트 LLVM-MinGW 셸(PATH에 x86_64-w64-mingw32-clang)을 실행하고 Ninja를 사용하십시오:

# Static Library (.a)
cmake -B build -S . -G Ninja -DCMAKE_C_COMPILER=clang -DCMAKE_BUILD_TYPE=Release -DBUILD_SHARED_LIBS=OFF
cmake --build build

# Shared Library (.dll)
cmake -B build -S . -G Ninja -DCMAKE_C_COMPILER=clang -DCMAKE_BUILD_TYPE=Release -DBUILD_SHARED_LIBS=ON
cmake --build build

3. CMake를 통한 설치

컴파일된 라이브러리와 헤더를 로컬 접두사에 설치하려면:

cmake --install build --prefix "C:/local/antidebug"

이것은 다음을 생성합니다:

C:/local/antidebug/
├── bin/
│   └── antidebug.dll           (if BUILD_SHARED_LIBS=ON)
├── lib/
│   └── antidebug.lib           (or libantidebug.a)
└── include/
    └── antidebug/
        ├── adbg.h
        └── ...

법적 고지 및 면책 조항

이 프로젝트의 악의적인 사용을 통해 발생하는 모든 손해에 대해 책임지지 않습니다.

BUILD 문서 생성은 AI로 이루어졌으니, 문제가 있으면 보고해 주십시오.

라이선스: MIT

antidbg

인기