KR100685672B1 - 컴퓨터 프로그램에 의한 자동입력 방지방법 - Google Patents

컴퓨터 프로그램에 의한 자동입력 방지방법 Download PDF

Info

Publication number
KR100685672B1
KR100685672B1 KR1020050001726A KR20050001726A KR100685672B1 KR 100685672 B1 KR100685672 B1 KR 100685672B1 KR 1020050001726 A KR1020050001726 A KR 1020050001726A KR 20050001726 A KR20050001726 A KR 20050001726A KR 100685672 B1 KR100685672 B1 KR 100685672B1
Authority
KR
South Korea
Prior art keywords
program
automatic input
api function
computer program
determining
Prior art date
Application number
KR1020050001726A
Other languages
English (en)
Other versions
KR20060059757A (ko
Inventor
박희안
고항훈
김희준
Original Assignee
주식회사 안철수연구소
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 안철수연구소 filed Critical 주식회사 안철수연구소
Publication of KR20060059757A publication Critical patent/KR20060059757A/ko
Application granted granted Critical
Publication of KR100685672B1 publication Critical patent/KR100685672B1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Storage Device Security (AREA)

Abstract

컴퓨터 프로그램 실행 중에 다른 프로그램을 이용하여 상기 특정 컴퓨터 프로그램으로의 자동입력을 감시 및 방지하는 컴퓨터 프로그램에 의한 자동입력 방지방법이 개시된다. 이를 위하여, 보호대상 프로그램이 실행되면, 후킹핸들러가 자동입력기능과 관련된 API함수를 후킹하는 단계; 소정 프로그램에 의해 상기 자동입력기능과 관련된 API함수가 호출되면, 상기 후킹핸들러가 소정 비교조건을 토대로 상기 소정 프로그램이 컴퓨터프로그램에 의한 자동입력인지 여부를 판단하는 단계; 상기 판단결과, 컴퓨터 프로그램에 의한 자동입력이면 상기 후킹핸들러가 제어처리부로 상기 판단결과를 알리는 단계; 제어모듈이 상기 후킹하는 단계에서 후킹된 API함수의 변조여부를 일정시간 간격으로 모니터링하는 단계; 및 상기 제어처리부에 의해 기록되는 저장영역의 기록정보 변조여부를 일정시간 간격으로 검사하는 단계를 포함하여, 정당하지 못한 방법으로 프로그램이 진행되는 것을 방지한다.
API함수, 오토마우스, 자동입력, 후킹, 후킹핸들러

Description

컴퓨터 프로그램에 의한 자동입력 방지방법{PREVENTING METHOD OF COMPUTER PROGRAMMED AUTOMATIC INPUT}
도1은 종래기술에 따른 일반적 프로그램 모델의 구성을 간략하게 나타내는 도면.
도2는 본 발명에 따른 컴퓨터 프로그램에 의한 자동입력 방지방법을 설명하기 위한 시스템 모델.
도3은 본 발명에 따른 컴퓨터 프로그램에 의한 자동입력 방지방법을 나타내는 순서도.
도4는 본 발명에 따른 후킹핸들러의 동작을 나타내는 순서도.
도5는 본 발명에 따른 제어모듈의 동작을 나타내는 순서도.
* 도면의 주요부분에 대한 부호설명*
100: 프로그램
110: 실행파일
120: 시스템DLL
130: IAT
140: 후킹핸들러
150: 제어모듈
200: 감시시스템
210: 제어처리부
220: 후킹처리부
300: 시스템 메모리
310: 제어처리부 기록 저장영역
320: 후킹핸들러 알림 기록 저장영역
본 발명은 컴퓨터 프로그램 보안방법에 관한 것으로, 보다 상세하게는 특정 컴퓨터 프로그램 실행 중에 다른 프로그램을 이용하여 상기 특정 컴퓨터 프로그램으로의 자동입력을 감시 및 방지하는 컴퓨터 프로그램에 의한 자동입력 방지방법에 관한 것이다.
최근 들어, 정보 통신망과 PC의 발달 및 보급의 대중화에 인터넷이 결합되면서 기존에 오프라인으로 처리하였던 각종정보제공 서비스 및 상거래 행위들이 온라인 방식으로 시간과 장소에 관계없이 처리가 가능하다. 이에 따라, 시스템 서버와 클라이언트 사이에 실시간 멀티미디어 통신이 가능해짐에 따라 온라인 네트웍을 이용한 각종 네트웍 게임이 개발되고, 가상현실(Virtual Reality)을 제공하는 컴퓨터 프로그램이 인터넷 네트워크에 의하여 급속도로 확산되고 있다.
이러한 인터넷을 이용한 컴퓨터 프로그램은 온라인으로 게임자체 뿐만 아니 라 대화와 공동작업이 가능하도록 구성되어 있다.
바둑이나 체스와 같이 두 사람이 참여하는 게임도 있지만 인터넷의 속성을 가장 잘 활용하는 것으로 다수의 사용자가 참여하는 머드(MUD; Multiple-user Dungeon 또는 Multi-user Dimension)게임이 있다.
머드 게임은 롤 플레잉 게임과 어드벤처 게임을 혼합한 형태로 최초에는 텍스트 모드로만 운영되었으나 점차로 다양한 미디어를 통한 서비스로 발전하고 있는 네트워크 게임이다. 그리고, 머드 게임은 게임의 기본규칙 이외에는 주어진 각본없이 일정한 가상환경에서 게임 참가자가 각자의 상상력과 능력을 발휘하여 자기역할을 수행하고 한편으로는 다른 게임 참가자와 협동하면서 과제를 해결하도록 되어 있다.
그러나, 게임 참가자들이 컴퓨터 프로그램에 의한 자동입력 방법을 통해(예컨대, 오토마우스 프로그램을 이용하여 키보드/마우스 이벤트를 자동으로 발생) 자동으로 게임이 진행되도록 설정하는 방법을 동원하여 게임을 참여하는 경우가 있다. 이를 좀 더 상세히 설명하면 다음과 같다.
도1은 종래기술에 따른 일반적 프로그램 모델의 구성을 간략하게 나타내는 도면이다.
도1에 도시한 바와 같이, 상기 모델은, 소정 운영체제에서의 프로그램(100); 및 상기 프로그램이 참조하는 시스템 메모리(300)를 포함한다.
상기 프로그램(100)은, 실행파일(110); 상기 실행파일(100)에 의해 수행되는API함수를 소정DLL파일별로 저장시킨 시스템 DLL(120); 및 API함수의 주소가 기재 된 IAT(Import Address Table)(130)을 포함하며, 각 프로그램 별로 별도의 IAT(130) 및 시스템 DLL(120)을 각각 포함한다.
시스템DLL(Dynamic linking library)(120)은 상기 실행파일(110)이 처리하는 API함수에 대한 순서정보를 갖는다. 이에 따라, 상기 시스템 DLL(120)은 적어도 하나 이상의 DLL파일을 포함하며, 상기 DLL파일은 적어도 하나 이상의 API함수를 각각 포함한다.
이와 같이 구성된 일반적인 프로그램(예컨대, 게임프로그램(100a))(100)이 운영체제에 의해 실행되고, 이와 더불어 게임에 악영향을 끼치는 자동입력을 위한 프로그램이 실행되면, 상기 실행파일(110)에 의하여 호출된 입력관련 API함수는 상기 자동입력을 위한 프로그램에 의해 자동으로 마우스나 키보드 관련 입력이 수행된다.
이와 같이, 정당하지 못한 방법을 이용하는 사용자가 증가함에 따라 게임 자체가 공정하게 진행되지 못하게 되므로, 일반 사용자들이 피해를 입게 되는 문제점이 있었다.
이와 같은 피해는, 게임의 사용자 감소를 초래하게 되며, 결과적으로는 게임사의 매출에 직접적인 악영향을 끼치게 되는 문제점이 있었다.
본 발명의 목적은 특정 프로그램으로 입력되는 자동입력을 방지하는 컴퓨터 프로그램에 의한 자동입력 방지방법을 제공하는 데 있다.
또한, 본 발명의 다른 목적은, 본 발명에 따라 설정된 방지처리 장치 내용의 변조를 방지하는 컴퓨터 프로그램에 의한 자동입력 방지방법을 제공하는 데 있다.
그리고, 본 발명의 또 다른 목적은, 본 발명에 따라 설정된 본 발명에 따라 기록되는 메모리의 변조를 방지하는 컴퓨터 프로그램에 의한 자동입력 방지방법을 제공하는 데 있다.
상기 목적을 달성하기 위하여, 본 발명에 따른 컴퓨터 프로그램에 의한 자동입력 방지방법은, (a) 보호대상 프로그램이 실행되면, 후킹핸들러가 자동입력기능과 관련된 API함수를 후킹하는 단계; (b) 소정 프로그램에 의해 상기 자동입력기능과 관련된 API함수가 호출되면, 상기 후킹핸들러가 소정 비교조건을 토대로 상기 소정 프로그램이 컴퓨터프로그램에 의한 자동입력인지 여부를 판단하는 단계; 및 (c) 상기 판단결과, 컴퓨터 프로그램에 의한 자동입력이면 상기 후킹핸들러가 제어처리부로 상기 판단결과를 알리는 단계를 포함하는 것을 특징으로 한다.
이때, 상기 컴퓨터 프로그램에 의한 자동입력 방지방법은, (d) 제어모듈이 상기 (a) 단계에서 후킹된 API함수의 변조여부를 일정시간 간격으로 모니터링하는 단계를 더 포함하는 것을 특징으로 한다.
그리고, 상기 컴퓨터 프로그램에 의한 자동입력 방지방법은, (e) 제어처리부에 의해 기록되는 저장영역의 기록정보 변조여부를 일정시간 간격으로 검사하는 단계를 더 포함하는 것을 특징으로 한다.
본 발명은 입력관련 API함수를 소정 방법들로 후킹한 후, 상기 API함수호출 시 소정 조건을 근거로 입력관련 API함수의 정상동작 여부를 판단하여, 컴퓨터 프 로그램에 의한 자동입력을 감시할 수 있다. 또한, 실행 중인 모든 프로그램의 비정상적인 API함수 후킹 여부를 일정시간 간격으로 검사하고, 상기 소정 조건에 사용되는 정보와 제어처리부 사이의 공유정보의 변조여부를 일정시간 간격으로 검사함으로써, 컴퓨터 프로그램에 의한 자동입력을 방지할 수 있다.
이하에서는, 첨부도면 및 바람직한 실시예를 참조하여 본 발명을 상세히 설명한다. 도면상에서 동일 또는 유사한 구성요소에 대하여는 동일한 참조번호를 부여하였다.
도2는 본 발명에 따른 컴퓨터 프로그램에 의한 자동입력 방지방법을 설명하기 위한 프로그램 모델이다.
도2에 도시한 바와 같이, 상기 모델은, 소정 운영체제에서 활성화된 게임프로그램(100a); 상기 활성화된 프로그램들(100a, 100b,..., 100n) 가운데 악의적인 자동입력 프로그램을 체크/감시하는 감시시스템(200); 및 상기 게임프로그램에 의해 참조되는 시스템 메모리(300)를 포함한다.
상기 감시시스템(200)에 의해 보호를 받는 게임프로그램(100a)은, 도1에 도시한 활성화된 프로그램(100a, 100b,..., 100n)과 유사하나, 다음과 같은 점에서 다르다.
즉, 소정 운영체제에서 본 발명에 의해 보호 대상인 게임프로그램(100a)을 구동시키면, a) 상기 감시시스템(200)은 후킹 핸들러(140)의 실행 코드가 있는 DLL 파일을 인젝션 하여 시스템 DLL(120) 의 API 함수를 후킹하고, b) 상기 감시시스템(200)에 의해 IAT(130)내의 입력관련함수 주소가 상기 후킹핸들러(140)의 주소로 덮어쓰기 되었으며, c) 소정 시간간격으로 API함수의 후킹 변조여부를 판단하는 코드를 지닌 제어모듈(150)이 상기 게임프로그램(100a)에 추가되고, d) 시스템 메모리(300)에 제어처리부 기록 저장영역(310)과 후킹핸들러 알림기록 저장영역(320)을 각각 생성하여 공유시킨다.
보다 상세히 설명하면, 감시시스템(200)은, 악의적인 자동입력 프로그램에 의한 자동입력 발생시 상기 게임프로그램(100a)을 제어하는 제어처리부(210); 게임프로그램(100a) 구동시 API함수후킹 및/또는 IAT후킹을 수행하는 후킹처리부(220)를 포함한다.
이때, 후킹처리부(220)는 상기 게임프로그램(100a)이 활성화 되면 후킹핸들러(140)의 실행코드가 있는 DLL파일을 인젝션(injection)한다. 이렇게 인젝션되면, 해당 DLL파일의 입력관련 API함수들이 후킹되고, 상기 후킹된 입력관련 API함수에 대한 핸들러 기능이 수행되며, 자동입력을 제어처리부(210)로 알리는 기능을 수행한다.
이러한 후킹처리부(220)는 상기 게임프로그램(100a) 내에 포함될 수도 있고, 상기 게임프로그램(100a)과 독립적인 프로그램 형태로 존재할 수도 있으며, DLL파일로 존재할 수도 있으나, 상술한 고유기능은 모두 동일하다.
한편, 시스템 메모리(300)는 상기 제어처리부(210)의 기록을 위한 저장영역(310)과 후킹핸들러(140)에 의한 자동입력 감시결과를 기록하는 저장영역(320)을 포함한다. 여기서, 제어처리부(210)는 상기 저장영역(310)에 보호대상 프로그램 ID리스트와 상기 제어처리부(210)와 통신하기 위한 이벤트 이름을 기록한다. 그리고, 상기 후킹핸들러(140)는, 악의적인 자동입력 프로그램을 발견하면, 해당 프로그램 ID, 해당 프로그램 이름, 호출 API함수 이름을 상기 시스템메모리(300)에 기록한다.
이하, 본 발명에 따른 컴퓨터 프로그램에 의한 자동입력 방지방법을 첨부된 도면을 참고하여 설명한다.
먼저, 게임프로그램(100a)이 구동되면, 후킹처리부(220)를 실행시켜 실행중인 모든 프로그램과 이후 실행되는 프로그램들이 참고하는 키보드/마우스 관련 이벤트 API함수들을 후킹한다(S201). 이때, API함수 후킹 방법과 IAT후킹 방법 중에서 어느 후킹 방법을 사용하여도 무방하다. 만일, IAT후킹 방법을 사용하면, 입력 API함수 호출시 참조하는 IAT(130)에는 후킹핸들러(140)의 주소가 덮어쓰기 되어있으므로, 후킹핸들러(140)가 실행되어 도4와 같은 조건비교를 수행하며, API함수 후킹방법을 사용하면, 입력 API함수 호출 시, 호출 되는 함수의 최초 실행 코드의 일부가 변경 되어 후킹 핸들러(140)가 먼저 실행 되므로 도4와 같은 조건비교를 수행한다(S202).
이어 상기 조건비교결과, 악의적인 컴퓨터프로그램에 의한 자동입력으로 판명될 경우, 상기 후킹핸들러(140)가 제어처리부(210)로 알리고, 상기 제어처리부(210)가 현재 진행중인 게임프로그램(100a)을 중지시킨다(S203-S204).
도4를 참고하여 상기 단계202를 상세히 설명한다.
현재 활성화된 프로그램이 입력관련 API함수를 호출하면 후킹핸들러(140)가 실행되고, 상기 후킹핸들러(140)는 현재 활성화된 프로그램이 보호대상 프로그램인 지를 판단한다(S202a). 즉, 현재 활성화된 프로그램이 게임프로그램(100a)인지를 확인한다.
상기 판단결과, 보호대상 프로그램이 아니면, 현재 활성화된 윈도우(예컨대, 현재 모니터상에 포커싱된)가 상기 게임프로그램(100a)에 속하는 프로그램인지를 판단한다(S202b).
상기 202b단계의 판단결과, 상기 윈도우가 게임프로그램(100a)에 속하는 프로그램이라면, 악의적인 컴퓨터프로그램에 의한 자동입력으로 판단하여 상기 제어처리부(210)에 보고한다. 이는 현재 활성화된 프로그램이 입력관련 API함수를 호출한 프로그램이고, 게임프로그램(100a)은 아니면서 게임프로그램(100a)의 입력에 영향을 주는 프로그램이기 때문이다.
그러나, 상기 202b단계의 판단결과, 상기 입력관련 윈도우가 게임프로그램(100a)에 속하지 않는다면, 정상적인 입력으로 판단하여 해당 API함수를 호출한다(S202c-S202d). 즉, 현재 활성화된 프로그램이 입력관련 API함수를 호출했지만, 게임프로그램(100a)과는 관련이 없으므로 정상적인 프로그램으로 판단한다.
또한, 상기 202a단계의 판단결과, 보호대상 프로그램에 해당되면(즉, 게임프로그램이라면), 상기 API함수를 호출한 모듈이 인증된 모듈인지 여부를 판단한다(S202e). 이때, 상기 모듈의 인증여부 판단은, 호출한 API함수의 리턴값 비교를 통해 알 수 있다.
이에 따라, 인증된 모듈이면 해당 API함수를 호출하나, 인증된 모듈이 아니면 악의적인 컴퓨터프로그램에 의한 자동입력으로 판단하여 상기 제어처리부(210) 에 보고한다(S202d, S202g).
여기서, 대부분의 상기 입력장치 관련 API함수에 대하여 후킹핸들러(140)는 도4와 같은 조건비교를 통해 컴퓨터 프로그램에 의한 자동입력을 판단하나, SendMessageA, SendMessageW와 같은 API함수는 MsgID를 비교하여 입력관련 MsgID인 경우에만 상기 도4와 같은 조건비교를 수행한다.
한편, 입력관련 API 함수 후킹은, 각 프로그램 영역의 특정 API 함수들의 실행 코드 또는 해당 함수와 관련된 IAT(130) 내의 관련 함수 주소를 변경 하는 것 이므로, 쉽게 발견되고 변조되어 무력화될 수 있다.
따라서, 게임프로그램(100a) 실행시, 상기 게임프로그램(100a)에 도5와 같은 동작을 수행하는 제어모듈(150)을 삽입하여, 본 발명에서 수행된 API함수 후킹의 변조 여부를 판단할 수 있다(S205). 이와 같은 판단 역시 API함수 후킹에 의해 후킹된 입력관련 API함수의 변조여부 판단과, IAT후킹에 의해 후킹된 입력관련 API함수의 변조여부 판단 두 가지로 나뉠 수 있다.
먼저, API함수 후킹의 경우이면, 상기 제어모듈(150)은, API함수 주소의 첫 바이트가 JMP코드여부를 판단한다(S205a). 상기 단계205a의 판단결과 JMP코드가 아니면, 상기 API함수가 변조되었음을 제어처리부(210)에 알린다(S205b).
그러나, JMP 코드이면, 상기 JMP코드의 주소가 인젝션된 DLL의 코드영역을 가리키는지 판단한다(S205c).
상기 단계205c의 판단결과, 인젝션된 DLL의 코드영역을 가르키면, 정상적으 로 후킹된 API함수이고(S205d), 가르키지 않으면, 상기 후킹된API함수가 변조된 것으로 판단하여 제어처리부(210)에 알린다(S205b).
한편, IAT후킹의 경우이면, 상기 제어모듈(150)은, 인젝션된 DLL의 메모리 주소영역이 변조되었는지를 아래와 같은 비교루틴을 통해 감시한다.
즉, 상기 제어모듈(150)은 후킹 처리부(220)에서 후킹한 IAT(130)내의 입력 함수의 주소가 상기 후킹 처리부(220)의 실행 코드가 담겨진 인젝션된 DLL의 코드영역을 가르키는지 판단하여, 변조여부를 판단한다. 즉, 상기 판단결과, 인젝션된DLL코드영역을 가르키면, 정상적으로 후킹된 API함수이고, 가르키지 않으면, 상기 후킹된 API함수가 변조된 것으로 판단하여 제어처리부(210)에 알린다.
또 다른 한편으로, 각 프로그램별 API함수 후킹핸들러(140)에서 도4와 같은 조건비교에 필요한 정보 및 자동입력 판단결과 관련정보를 제어처리부(210)에 알려주기 위하여 인젝션된 DLL과 제어처리부(210) 간에 시스템 메모리(300)를 공유한다.
이러한 시스템 메모리(300) 정보를 보호하기 위하여, 상기 시스템 메모리(300)를 두 부분으로 나눠 보호한다. 즉, 제어처리부(210)에 의해 기록되는 저장영역(310)와 자동입력 판단결과 관련정보가 기록되는 저장영역(320)로 구분한다. 예컨대, 상기 저장영역(310)에는 보호대상 프로그램 ID리스트와 제어처리부(210)와 통신하기 위한 이벤트이름이 기록되고, 상기 저장영역(320)에는 프로그램ID, 프로그램 이름 및 API함수 이름이 기록된다.
이어, 제어처리부(210)가 저장영역(310)의 기록정보 변조여부를 일정시간 간격으로 검사한다(S206).
즉, 제어처리부(210)는 상기 저장영역(310)의 내용이 변경되는 경우, 상기 저장영역(310)에 대한 CRC(Cyclic Redundancy Code)값을 생성 또는 갱신하여 저장한 후, 일정 시간마다 상기 저장영역(310)에 대한 CRC값을 상기 저장된 CRC값과 비교하여 상기 시스템 메모리(300)의 공유정보 변조 여부를 판단함으로써, 컴퓨터프로그램에 의한 자동입력을 보호한다.
한편, 상기 프로그램별로 공유하는 공유메모리는 별도로 생성하지 않고, 인젝션되는 DLL의 쉐어드 섹션(Shared Section)을 활용할 수 도 있다.
지금까지 본 발명을 바람직한 실시예를 참조하여 상세히 설명하였지만, 당업자는 본 발명의 사상 및 범위를 벗어나지 않고 다양한 변형 또는 수정이 가능하다는 것을 알 것이다.
이상 설명한 바와 같이, 본 발명에 따라 컴퓨터 프로그램에 의한 자동입력을 방지함으로써, 정당하지 못한 방법으로 특정 프로그램(예컨대, 게임 프로그램)이 진행되는 것을 방지하는 효과가 있다.
또한, 본 발명에 따라 컴퓨터 프로그램에 의한 자동입력을 방지함으로써, 소정 게임 프로그램에 대한 공정한 게임진행을 유도하여 게임유저의 증가를 이끌어내고, 게임 제공회사의 매출을 증가시키는 효과가 있다.

Claims (22)

  1. (a) 보호대상 프로그램이 실행되면, 후킹핸들러가 자동입력과 관련된 API함수를 후킹하는 단계;
    (b) 소정 프로그램에 의해 상기 자동입력과 관련된 API함수가 호출되면, 상기 후킹핸들러가 소정 비교조건을 토대로 상기 소정 프로그램이 컴퓨터프로그램에 의한 자동입력인지 여부를 판단하는 단계; 및
    (c) 상기 판단결과, 컴퓨터 프로그램에 의한 자동입력이면 상기 후킹핸들러가 제어처리부로 상기 판단결과를 알리는 단계를 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법
  2. 제1항에 있어서, 상기 (a) 단계는
    IAT(Import Address Table)후킹 및/또는 API함수 후킹을 사용하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법.
  3. 제1항에 있어서, 상기 (b) 단계는
    (b-1) 상기 소정 프로그램이 보호대상 프로그램에 해당여부를 판단하는 단계;
    (b-2) 상기 (b-1) 단계의 판단결과, 보호대상 프로그램에 해당되지 않으면, 현재 활성화된 윈도우가 상기 보호대상 프로그램과 관련되어 활성화 되었는지를 판 단하는 단계; 및
    (b-3) 상기 (b-2) 단계의 판단결과, 보호대상 프로그램과 관련되어 활성화 되었으면, 컴퓨터 프로그램에 의한 자동입력으로 판단하는 단계를 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법.
  4. 제3항에 있어서, 상기 (b-3) 단계는
    상기 (b-2) 단계의 판단결과, 보호대상 프로그램과 관련 없이 활성화 되었으면, 원시 API함수를 호출하는 단계를 더 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법.
  5. 제3항 또는 제4항에 있어서, 상기 (b-2) 단계는
    (b-2-1) 상기 (b-1) 단계의 판단결과, 보호대상 프로그램에 해당되면 상기 API함수를 호출한 특정 모듈의 인증여부를 판단하는 단계;
    (b-2-2) 상기 (b-2-1) 단계의 판단결과, 인증된 모듈이면 원시 API함수를 호출하나, 인증된 모듈이 아니면 상기 제어처리부에 보고하는 단계를 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법.
  6. 제5항에 있어서, 상기 인증여부의 판단은
    상기 API함수의 리턴값 비교를 통해 판단하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법.
  7. 제1항에 있어서,
    (d) 제어모듈이 상기 (a) 단계에서 후킹된API함수의 변조여부를 일정시간 간격으로 모니터링하는 단계를 더 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법.
  8. 제7항에 있어서, 상기 (d) 단계는
    (d-1) 상기 후킹된 API함수 주소의 첫 바이트가 JMP코드인지를 판단하는 단계;
    (d-2) 상기 (d-1) 단계의 판단결과, JMP코드이면 상기 JMP코드의 주소가 인젝션된 DLL의 코드 영역을 가리키는지 여부를 판단하는 단계;
    (d-3) 상기 (d-2) 단계의 판단결과, 상기 인젝션된DLL코드영역을 가리키면 변조되지 않은 API함수로 판단하는 단계를 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법.
  9. 제8항에 있어서, 상기 (d-2) 단계는,
    상기 (d-1) 단계의 판단결과, JMP코드가 아니면 상기 후킹된API함수가 변조된 것으로 판단하여 상기 제어처리부로 알리는 단계를 더 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법.
  10. 제8항 또는 제9항에 있어서, 상기 (d-3) 단계는,
    상기 (d-2) 단계의 판단결과, 상기 인젝션된 DLL코드영역을 가르키지 않으면 상기 후킹된 API함수가 변조된 것으로 판단하여 상기 제어처리부로 알리는 단계를 더 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법.
  11. 제1항 또는 제7항에 있어서,
    (e) 제어처리부에 의해 기록되는 저장영역의 기록정보 변조여부를 일정시간 간격으로 검사하는 단계를 더 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법.
  12. 제11항에 있어서, 상기 (e) 단계는
    (e-1) 상기 저장영역 기록정보 변경 시에 상기 기록정보에 대한 CRC값을 생성 또는 갱신하여 저장하는 단계; 및
    (e-2) 상기 (e-1) 단계에서 저장된 CRC값을 일정시간 간격으로 상기 저장영역의CRC값과 비교하여 다르면, 변조된 것으로 판단하여 상기 보호대상 프로그램을 중지시키는 단계를 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법.
  13. 컴퓨터 프로그램에 의한 자동입력 방지방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체에 있어서,
    (a) 보호대상 프로그램이 실행되면, 후킹핸들러가 자동입력과 관련된 API함수를 후킹하는 단계;
    (b) 소정 프로그램에 의해 상기 자동입력과 관련된 API함수가 호출되면, 상기 후킹핸들러가 소정 비교조건을 토대로 상기 소정 프로그램이 컴퓨터프로그램에 의한 자동입력인지 여부를 판단하는 단계; 및
    (c) 상기 판단결과, 컴퓨터 프로그램에 의한 자동입력이면 상기 후킹핸들러가 제어처리부로 상기 판단결과를 알리는 단계를 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
  14. 제13항에 있어서, 상기 (a) 단계는
    IAT(Import Address Table)후킹 및/또는 API함수 후킹을 사용하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
  15. 제13항에 있어서, 상기 (b) 단계는
    (b-1) 상기 소정 프로그램이 보호대상 프로그램에 해당여부를 판단하는 단계;
    (b-2) 상기 (b-1) 단계의 판단결과, 보호대상 프로그램에 해당되지 않으면, 현재 활성화된 윈도우가 상기 보호대상 프로그램과 관련되어 활성화 되었는지를 판 단하는 단계; 및
    (b-3) 상기 (b-2) 단계의 판단결과, 보호대상 프로그램과 관련되어 활성화 되었으면, 컴퓨터 프로그램에 의한 자동입력으로 판단하는 단계를 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
  16. 제 15항에 있어서, 상기 (b-2) 단계는
    (b-2-1) 상기 (b-1) 단계의 판단결과, 보호대상 프로그램에 해당되면 상기 API함수를 호출한 특정 모듈의 인증여부를 판단하는 단계;
    (b-2-2) 상기 (b-2-1) 단계의 판단결과, 인증된 모듈이면 원시 API함수를 호출하나, 인증된 모듈이 아니면 상기 제어처리부에 보고하는 단계를 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
  17. 제13항에 있어서,
    (d) 제어모듈이 상기 (a) 단계에서 후킹된API함수의 변조여부를 일정시간 간격으로 모니터링하는 단계를 더 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
  18. 제17항에 있어서, 상기 (d) 단계는
    (d-1) 상기 후킹된 API함수 주소의 첫 바이트가 JMP코드인지를 판단하는 단계;
    (d-2) 상기 (d-1) 단계의 판단결과, JMP코드이면 상기 JMP코드의 주소가 인젝션된 DLL의 코드 영역을 가리키는지 여부를 판단하는 단계; 및
    (d-3) 상기 (d-2) 단계의 판단결과, 상기 인젝션된DLL코드영역을 가리키면 변조되지 않은 API함수로 판단하는 단계를 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
  19. 제18항에 있어서, 상기 (d-2) 단계는,
    상기 (d-1) 단계의 판단결과, JMP코드가 아니면 상기 후킹된API함수가 변조된 것으로 판단하여 상기 제어처리부로 알리는 단계를 더 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
  20. 제18항 또는 제19항에 있어서, 상기 (d-3) 단계는,
    상기 (d-2) 단계의 판단결과, 상기 인젝션된 DLL코드영역을 가르키지 않으면 상기 후킹된 API함수가 변조된 것으로 판단하여 상기 제어처리부로 알리는 단계를 더 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
  21. 제13항 또는 제17항에 있어서,
    (e) 제어처리부에 의해 기록되는 저장영역의 기록정보 변조여부를 일정시간 간격으로 검사하는 단계를 더 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
  22. 제21항에 있어서, 상기 (e) 단계는
    (e-1) 상기 저장영역 기록정보 변경 시에 상기 기록정보에 대한 CRC값을 생성 또는 갱신하여 저장하는 단계; 및
    (e-2) 상기 (e-1) 단계에서 저장된 CRC값을 일정시간 간격으로 상기 저장영역의CRC값과 비교하여 다르면, 변조된 것으로 판단하여 상기 보호대상 프로그램을 중지시키는 단계를 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
KR1020050001726A 2004-11-29 2005-01-07 컴퓨터 프로그램에 의한 자동입력 방지방법 KR100685672B1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020040098894 2004-11-29
KR20040098894 2004-11-29

Publications (2)

Publication Number Publication Date
KR20060059757A KR20060059757A (ko) 2006-06-02
KR100685672B1 true KR100685672B1 (ko) 2007-02-23

Family

ID=37156894

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020050001726A KR100685672B1 (ko) 2004-11-29 2005-01-07 컴퓨터 프로그램에 의한 자동입력 방지방법

Country Status (1)

Country Link
KR (1) KR100685672B1 (ko)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100976861B1 (ko) 2008-01-21 2010-08-23 주식회사 안철수연구소 하드웨어를 통해 발생하는 자동 입력 감지 방법 및 그 장치
KR101005593B1 (ko) 2009-04-17 2011-01-05 엔에이치엔비즈니스플랫폼 주식회사 훅을 이용한 컴퓨터 보안 서비스 제공 방법 및 장치
KR101201495B1 (ko) 2010-08-10 2012-11-14 주식회사 잉카인터넷 컴퓨터시스템에서 자동 입력 차단장치 및 방법
WO2013103233A1 (ko) * 2012-01-02 2013-07-11 (주)네오위즈게임즈 메모리 조작 방지 방법 및 클라이언트 단말

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100968268B1 (ko) * 2007-11-20 2010-07-06 주식회사 안철수연구소 마우스 및 키보드 자동 입력 감지 방법
WO2010107149A1 (en) * 2009-03-19 2010-09-23 Ahnlab., Inc. Method and apparatus for detecting automatic input event generated by hardware device
KR101210258B1 (ko) * 2010-05-25 2012-12-10 주식회사 잉카인터넷 온라인 게임에서 핵 툴 사용 정보 표시방법
KR101249764B1 (ko) * 2010-08-10 2013-04-03 주식회사 잉카인터넷 접근차단 게임 핵 프로세스 검출 및 실행차단방법
KR102586561B1 (ko) * 2020-12-15 2023-10-10 이용희 입력장치 인증 기반 보안 방법 및 장치

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001337864A (ja) * 2000-03-22 2001-12-07 Hitachi Ltd アクセス制御システム
JP2004126634A (ja) * 2002-09-30 2004-04-22 Nec Software Chubu Ltd ファイル保護システム
JP2008041221A (ja) * 2006-08-10 2008-02-21 Tdk Corp 情報媒体

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001337864A (ja) * 2000-03-22 2001-12-07 Hitachi Ltd アクセス制御システム
JP2004126634A (ja) * 2002-09-30 2004-04-22 Nec Software Chubu Ltd ファイル保護システム
JP2008041221A (ja) * 2006-08-10 2008-02-21 Tdk Corp 情報媒体

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
'핵쉴드' 출시 뉴스; 디지털타임즈(2004.12.21), 피시

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100976861B1 (ko) 2008-01-21 2010-08-23 주식회사 안철수연구소 하드웨어를 통해 발생하는 자동 입력 감지 방법 및 그 장치
KR101005593B1 (ko) 2009-04-17 2011-01-05 엔에이치엔비즈니스플랫폼 주식회사 훅을 이용한 컴퓨터 보안 서비스 제공 방법 및 장치
KR101201495B1 (ko) 2010-08-10 2012-11-14 주식회사 잉카인터넷 컴퓨터시스템에서 자동 입력 차단장치 및 방법
WO2013103233A1 (ko) * 2012-01-02 2013-07-11 (주)네오위즈게임즈 메모리 조작 방지 방법 및 클라이언트 단말

Also Published As

Publication number Publication date
KR20060059757A (ko) 2006-06-02

Similar Documents

Publication Publication Date Title
KR100681696B1 (ko) 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법
KR100685672B1 (ko) 컴퓨터 프로그램에 의한 자동입력 방지방법
US7716495B2 (en) Protection against runtime function attacks
US7565697B2 (en) Systems and methods for preventing unauthorized use of digital content
EP0443423B1 (en) Method and apparatus for executing trusted-path commands
US20070199074A1 (en) Systems and methods for preventing unauthorized use of digital content
CN100511254C (zh) 一种可反外挂的网络游戏系统及网络游戏系统反外挂的方法
RU2541879C2 (ru) Механизм против мошенничества на основе доверенного объекта
EP1253502A2 (en) Trusted computer system
Berthome et al. Repackaging android applications for auditing access to private data
US7607122B2 (en) Post build process to record stack and call tree information
US20090143144A1 (en) Add-in card based cheat detection platform for online applications
TWI720313B (zh) 基本輸入輸出系統活動之本地監督及供應
US20090144825A1 (en) Chipset based cheat detection platform for online applications
Baca et al. Prioritizing countermeasures through the countermeasure method for software security (CM-Sec)
Schluessler et al. Is a bot at the controls? Detecting input data attacks
CN116074130B (zh) 系统防护方法、装置、设备和介质
Hu et al. Security issues in massive online games
Mé et al. Experimenting a Policy-Based HIDS Based on an Information Flow Control Model
KR100731550B1 (ko) 악성 컴퓨터 프로그램 실시간 감지 방법
Genç et al. Cut-and-mouse and ghost control: Exploiting antivirus software with synthesized inputs
KR102502495B1 (ko) 안티 치트 검출을 위한 시스템 및 방법
CN115146235A (zh) 用于确定执行状态的系统和方法
KR101699693B1 (ko) 온라인 게임에서 비정상적인 함수 호출을 탐지하는 방법 및 프로그램
CN114741696A (zh) 恶意代码行为监控组件测试方法、装置、设备及存储介质

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20130228

Year of fee payment: 7

FPAY Annual fee payment

Payment date: 20140217

Year of fee payment: 8

FPAY Annual fee payment

Payment date: 20150216

Year of fee payment: 9

FPAY Annual fee payment

Payment date: 20180219

Year of fee payment: 12

FPAY Annual fee payment

Payment date: 20200217

Year of fee payment: 14