KR100681696B1 - 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법 - Google Patents

컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법 Download PDF

Info

Publication number
KR100681696B1
KR100681696B1 KR1020050006586A KR20050006586A KR100681696B1 KR 100681696 B1 KR100681696 B1 KR 100681696B1 KR 1020050006586 A KR1020050006586 A KR 1020050006586A KR 20050006586 A KR20050006586 A KR 20050006586A KR 100681696 B1 KR100681696 B1 KR 100681696B1
Authority
KR
South Korea
Prior art keywords
program
api function
memory data
hooking
determination
Prior art date
Application number
KR1020050006586A
Other languages
English (en)
Other versions
KR20060059759A (ko
Inventor
정덕영
이태화
고항훈
Original Assignee
주식회사 안철수연구소
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 안철수연구소 filed Critical 주식회사 안철수연구소
Publication of KR20060059759A publication Critical patent/KR20060059759A/ko
Application granted granted Critical
Publication of KR100681696B1 publication Critical patent/KR100681696B1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G06F11/3037—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system component is a memory, e.g. virtual memory, cache
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/08—Error detection or correction by redundancy in data representation, e.g. by using checking codes
    • G06F11/10—Adding special bits or symbols to the coded information, e.g. parity check, casting out 9's or 11's
    • G06F11/1004—Adding special bits or symbols to the coded information, e.g. parity check, casting out 9's or 11's to protect a block of data words, e.g. CRC or checksum

Abstract

컴퓨터의 특정 응용 프로그램 실행 중 메모리 데이터 관련 API 함수를 후킹한 후, 상기 해킹 프로그램에 의한 메모리 데이터 접근을 차단함으로써 해당 함수의 실행 결과가 보호 하고자 하는 프로그램에 영향을 주지 못하도록 조기에 방지할 수 있도록 한 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법이 개시된다. 방법은, (A) 보호 프로그램 실행 도중, 후킹 핸들러가 메모리 데이터 접근관련 API 함수를 후킹하는 단계; (B) 소정 프로그램에 의해 상기 API 함수가 호출되면, 상기 후킹 핸들러가 소정 비교조건을 토대로 상기 소정 프로그램이 악의적인 비정상적 메모리 데이터 접근 프로그램인지를 판단하는 단계; 및 (C) 상기 단계(B)의 판단결과, 상기 소정 프로그램이 악의적인 비정상적 메모리 데이터 접근 프로그램일 경우, 상기 후킹 핸들러가 제어 처리부로 상기 판단결과를 보고하는 단계로 구성된다.
해킹, 후킹, API, 핸들, 핸들러, PID

Description

컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법{METHOD FOR PREVENTING FROM INVENTING DATA OF MEMORY IN A COMPUTER APPLICATION PROGRAM}
본 명세서에서 첨부되는 다음의 도면 들은 본 발명의 바람직한 실시예를 예시하는 것이며, 후술하는 발명의 상세한 설명과 함께 본 발명의 기술사상을 더욱 이해 시키는 역할을 하는 것이므로, 본 발명은 그러한 도면에 기재된 사항에만 한정되어 해석되어서는 아니된다.
도 1은 종래기술에 따른 일반적 프로그램 모델의 구성을 나타낸 예시도이다.
도 2는 본 발명에 따른 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법을 설명하기 위한 시스템 모델이다.
도 3은 본 발명에 따른 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법을 설명하기 위한 동작 흐름도이다.
도 4는 본 발명에 따른 후킹 핸들러의 동작을 보인 동작 흐름도이다.
도 5는 본 발명에 따른 제어모듈의 동작을 보인 동작 흐름도이다.
* 도면의 주요부분에 대한 부호설명*
100: 프로그램
110: 실행파일
120: 시스템 DLL
130: IAT
140, 420: 후킹 핸들러
150: 제어모듈
200: 감시 시스템
210: 제어 처리부
220: 후킹 처리부
300: 시스템 메모리
310: 제어 처리부 기록 메모리
320: 후킹 핸들러 알림 기록 메모리
400: 서비스 테이블
본 발명은 컴퓨터 응용 프로그램의 보안기술에 관한 것으로서, 보다 상세하게는 컴퓨터의 특정 응용 프로그램 실행 중 메모리 데이터 관련 API 함수를 후킹한 후, 상기 해킹 프로그램에 의한 메모리 데이터 접근을 차단함으로써 해당 함수의 실행 결과가 보호 하고자 하는 프로그램에 영향을 주지 못하도록 조기에 방지할 수 있도록 한 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법에 관한 것이다.
최근 들어, 정보 통신망과 PC의 발달 및 보급의 대중화에 인터넷이 결합되면서 기존에 오프라인으로 처리하였던 각종정보제공 서비스 및 상거래 행위들이 온라 인 방식으로 시간과 장소에 관계없이 처리가 가능하다. 이에 따라, 시스템 서버와 클라이언트 사이에 실시간 멀티미디어 통신이 가능해짐에 따라 온라인 네트웍을 이용한 각종 네트웍 게임이 개발되고, 가상현실(Virtual Reality)을 제공하는 컴퓨터 프로그램이 인터넷 네트워크에 의하여 급속도로 확산되고 있다.
이러한 인터넷을 이용한 컴퓨터 프로그램은 온라인으로 게임자체 뿐만 아니라 대화와 공동작업이 가능하도록 구성되어 있다.
바둑이나 체스와 같이 두 사람이 참여하는 게임도 있지만 인터넷의 속성을 가장 잘 활용하는 것으로 다수의 사용자가 참여하는 머드(MUD; Multiple-user Dungeon 또는 Multi-user Dimension)게임이 있다.
머드 게임은 롤 플레잉 게임과 어드벤처 게임을 혼합한 형태로 최초에는 텍스트 모드로만 운영되었으나 점차로 다양한 미디어를 통한 서비스로 발전하고 있는 네트워크 게임이다. 그리고, 머드 게임은 게임의 기본규칙 이외에는 주어진 각본없이 일정한 가상환경에서 게임 참가자가 각자의 상상력과 능력을 발휘하여 자기역할을 수행하고 한편으로는 다른 게임 참가자와 협동하면서 과제를 해결하도록 되어 있다.
그러나, 게임 참가자들이 컴퓨터 프로그램에 의한 자동입력 방법을 통해(예컨대, 오토마우스 프로그램을 이용하여 키보드/마우스 이벤트를 자동으로 발생) 자동으로 게임이 진행되도록 설정하는 방법을 동원하여 게임을 참여하는 경우가 있다. 이를 좀 더 상세히 설명하면 다음과 같다.
도 1은 종래기술에 따른 일반적 프로그램 모델의 구성을 간략하게 나타내는 도면이다.
이에 도시한 바와 같이, 상기 모델은, 소정 운영체제에서의 프로그램(100) 및 상기 프로그램이 참조하는 시스템 메모리(300)를 포함한다.
상기 프로그램(100)은, 실행파일(110), 상기 실행파일(100)에 의해 수행되는API 함수를 소정 DLL 파일 별로 저장하고 있는 시스템 DLL(120) 및 상기 API 함수의 주소가 기재된 IAT(Import Address Table)(130)를 포함하며, 상기 각 프로그램 별로 별도의 IAT(130) 및 시스템 DLL(120)이 각각 포함된다.
상기 시스템 DLL(Dynamic linking library)(120)은 상기 실행파일(110)이 처리하는 API 함수에 대한 순서정보를 갖는다. 이에 따라, 상기 시스템 DLL(120)은 적어도 하나 이상의 DLL 파일을 포함하며, 상기 DLL 파일은 적어도 하나 이상의 API 함수를 각각 포함한다.
이와 같이 구성된 일반적인 프로그램(예컨대, 게임 프로그램(100a))(100)이 운영체제에 의해 실행되고, 이와 더불어 게임에 악영향을 끼치는 메모리 접근 프로그램(예컨대, 해킹 프로그램 등)이 실행되면, 상기 실행파일(110)에 의하여 호출된 메모리 관련 API 함수(예를 들면, OpenProcess API 함수, Read/WriteProcessMemory API 함수 등)는 상기 메모리 접근 프로그램에 의해 자동으로 데이터 조작이 수행된다. 즉, 게임에 악영향을 끼치는 메모리 접근 프로그램이 API 함수 후킹방식이나 IAT 후킹방식을 이용하여 운영체제에서 지원하는 메모리 관련 API 함수 실행값을 변조시킨다.
이와 같이, 정당하지 못한 방법을 이용하는 사용자가 증가함에 따라 게임 자 체가 공정하게 진행되지 못하게 되므로, 일반 사용자들이 피해를 입게 되는 문제점이 있었다.
이와 같은 피해는, 게임의 사용자 감소를 초래하게 되며, 결과적으로는 게임사의 매출에 직접적인 악영향을 끼치게 되는 문제점이 있었다.
따라서, 컴퓨터 보안 업체들은 이를 조기에 막고 방지하기 위한 여러 가지 방법들을 연구 및 제안하고 있다.
본 발명은 상기 문제점을 해결하기 위하여 창안된 것으로서, 본 발명의 목적은 컴퓨터의 특정 응용 프로그램 실행 중 메모리 데이터 관련 API 함수를 후킹한 후, 해킹 프로그램에 의해 상기 API 함수가 호출될 경우에 넘겨 받게 되는 고유한 번호(PID ; Process ID)를 체크하여, 상기 해킹 프로그램에 의한 메모리 데이터 접근을 차단함으로써 해당 함수의 실행 결과가 보호 하고자 하는 프로그램에 영향을 주지 못하도록 조기에 방지할 수 있도록 한 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법을 제공하는데 있다.
상기와 같은 목적을 달성하기 위한 본 발명에 따른 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법은, (A) 보호 프로그램 실행 도중, 후킹 핸들러가 메모리 데이터 접근관련 API 함수를 후킹하는 단계;
(B) 소정 운영 체제 하에서 구동되는 활성화된 프로그램에 의해 상기 API 함수가 호출되면, 상기 후킹 핸들러가 소정 비교조건을 토대로 상기 활성화된 프로그램이 악의적인 비정상적 메모리 데이터 접근 프로그램인지를 판단하는 단계; 및
(C) 상기 단계(B)의 판단결과, 상기 활성화된 프로그램이 악의적인 비정상적 메모리 데이터 접근 프로그램일 경우, 상기 후킹 핸들러가 제어 처리부로 상기 판단결과를 보고하는 단계를 포함하는 것을 특징으로 한다.
본 발명에 의하면, 컴퓨터의 특정 응용 프로그램이 실행 중 그 응용 프로그램의 메모리 데이터 접근관련 API 함수들을 주기적으로 후킹(Hooking) 함으로써 그 보호 하고자 하는 응용 프로그램의 메모리 데이터 변조를 미연에 방지할 수 있게 된다.
하기 설명 및 첨부 도면에서 구체적인 처리 흐름과 같은 많은 특정 상세 들이 본 발명의 보다 전반적인 이해를 제공하기 위해 나타나 있다. 이들 특정 상세 들 없이 본 발명이 실시될 수 있다는 것은 이 기술분야에서 통상의 지식을 가진 자에게 자명할 것이다. 그리고, 본 발명의 요지를 불필요하게 흐릴 수 있는 공지 기능 및 구성에 대한 상세한 설명은 생략한다.
본 발명은 응용 프로그램 실행 중 메모리 데이터 접근관련 API 함수를 주기적으로 후킹한 후, 해킹 프로그램에 의해 상기 API 함수가 호출될 경우에 넘겨 받게 되는 고유한 번호(PID ; Process ID)를 체크하여, 상기 해킹 프로그램에 의한 메모리 데이터 접근을 초기에 차단할 수 있다. 또한, 실행 중인 상기 응용 프로그램에 대한 비정상적인 API 후킹 여부를 일정시간 간격으로 검사하고, 소정 조건에 사용되는 정보와 보호모듈 사이의 공유정보의 변조여부를 일정시간 간격으로 검사함으로써, 해킹 프로그램에 의한 응용 프로그램의 메모리 데이터 조작을 미연에 방지할 수 있다.
이하, 첨부된 도면을 참조하여 본 발명에 따른 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법의 바람직한 실시예를 상술한다.
도 2는 본 발명에 따른 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법을 설명하기 위한 프로그램 모델이다.
이에 도시한 바와 같이, 상기 모델은, 소정 운영체제 하에서 구동되는 활성화된 게임 프로그램(100a), 상기 활성화된 프로그램들(100a, 100b,..., 100n) 중 악의적인 메모리 데이터 접근 프로그램을 체크/감시하는 감시 시스템(200) 및 상기 게임 프로그램에 의해 참조되는 시스템 메모리(300)를 포함한다.
상기 감시 시스템(200)에 의해 보호 받는 상기 게임 프로그램(100a)은, 종래도 1에 도시된 활성화된 프로그램(100a, 100b,..., 100n)과는, 다음과 같은 점에서 다르다.
즉, 소정 운영체제 하에서, 본 발명에 의해 보호 대상인 게임 프로그램(100a)이 구동되면, a) 상기 감시 시스템(200)은 후킹 핸들러(140)의 실행 코드가 있는 DLL 파일을 제어모듈(150)로 인젝션 하여 시스템 DLL(120)의 메모리 데이터 접근 관련 API 함수를 후킹하고, b) 상기 감시 시스템(200)에 의해, IAT(130) 내의 상기 API 함수 주소는 상기 후킹 핸들러(140)의 주소로 덮어쓰기 되어 있으며, c) 소정 시간간격으로 API 함수의 후킹 변조여부를 판단하는 코드를 지닌 제어모듈(150)이 상기 게임 프로그램(100a)에 추가되고, d) 시스템 메모리(300)에 제어처리부 기록 메모리(310)와 후킹 핸들러 알림기록 메모리(320)를 각각 생성하여 공유시킨다.
이를 상술하면 다음과 같다.
상기 감시 시스템(200)은, 악의적인 메모리 데이터 접근 프로그램에 의한 입력 접근 발생시 상기 게임 프로그램(100a)을 제어하는 제어 처리부(210), 상기 게임 프로그램(100a) 구동시 API 함수 후킹 및/또는 IAT 후킹을 수행하는 후킹 처리부(220)를 포함한다.
이때, 상기 후킹 처리부(220)는 상기 게임 프로그램(100a)이 활성화 되면, 상기 후킹 핸들러(140)의 실행코드가 있는 DLL 파일을 상기 제어모듈(150)로 인젝션(injection)한다. 이렇게 인젝션 되면, 해당 DLL 파일의 메모리 데이터 접근 관련 API 함수들이 후킹되고, 상기 후킹된 API 함수에 대한 핸들러 기능이 수행되며, 메모리 데이터의 입출력 정보를 상기 제어 처리부(210)로 통보하는 기능을 수행한다.
이러한 상기 후킹 처리부(220)는 상기 게임 프로그램(100a) 내에 포함될 수도 있고, 상기 게임 프로그램(100a)과 독립적인 프로그램 형태로 존재할 수도 있으며, 또는 DLL 파일로 존재할 수도 있으나, 상술한 고유기능은 모두 동일하다.
한편, 상기 시스템 메모리(300)는 상기 제어 처리부(210)의 기록을 위한 제어 처리부 기록 메모리(310)와 상기 후킹 핸들러(140)에 의한 메모리 데이터 접근 감시결과를 기록하는 후킹 핸들러 알림 기록 메모리(320)를 포함한다. 여기서, 상기 제어 처리부(210)는 상기 제어 처리부 기록 메모리(310)에 보호대상 프로그램 ID 리스트와 상기 제어 처리부(210)와 통신하기 위한 이벤트 이름을 기록한다. 그리고, 상기 후킹 핸들러(140)는, 악의적인 메모리 데이터 접근 프로그램을 발견하 면, 해당 프로그램 ID, 해당 프로그램 이름, 호출 API 함수 명을 상기 시스템 메모리(300)에 기록한다.
이하, 도 3 및 도 4를 참조하여, 본 발명에 따른 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법을 설명한다.
도 3은 본 발명에 따른 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법을 설명하기 위한 동작 흐름도이다.
먼저, 상기 게임 프로그램(100a)이 구동되면, 상기 후킹 처리부(220)이 실행되어, 현재 실행중인 모든 프로그램과 이후 실행되는 프로그램들이 참고하는 메모리 데이터 접근 관련 API 함수들(예를 들면, 핸들을 취득해야만 접근 가능한 상위레벨의 OpenProcess 함수 등)을 후킹한다(S201). 이때, 상기 후킹 방법으로는, API 함수 후킹 방법 및 IAT 후킹 방법 중 어느 후킹 방법을 사용하여도 무방하다.
상기 IAT 후킹 방법을 사용할 경우에는, 상기 API 함수 호출시 참조하는 IAT(130)에 상기 후킹 핸들러(140)의 주소가 덮어쓰기 되어 있기 때문에 상기 후킹 핸들러(140)가 실행되어 도 4와 같은 조건비교를 수행하게 되며, 상기 API 함수 후 킹 방법을 사용할 경우에는, 상기 API 함수 호출 시 호출 되는 함수의 최초 실행 코드의 일부가 변경되어 상기 후킹 핸들러(140)가 먼저 실행 되기 때문에 도 4와 같은 조건비교를 수행하게 된다(S202).
이어 상기 조건비교 결과, 해킹 프로그램에 의한 악의적인 메모리 데이터 접근으로 판명될 경우, 상기 후킹 핸들러(140)가 이를 상기 제어 처리부(210)로 통보하고, 상기 제어 처리부(210)가 현재 진행중인 게임 프로그램(100a)을 중지 시킨다 (S203-S204).
이하, 도 4를 참조하여 상기 단계(S202)를 상세히 설명한다.
먼저, 상기 후킹 핸들러(140)의 실행중, 현재 활성화된 프로그램이 메모리 데이터 접근관련 API 함수를 호출하면, 상기 후킹 핸들러(140)는 현재 상기 API 함수를 호출한 활성화된 프로그램이 보호대상 프로그램인지를 판단한다(S202a). 즉, 현재 활성화된 프로그램이 게임프로그램(100a)인지를 확인한다.
상기 단계(S202a)의 판단결과, 보호대상 프로그램이 아니면, 상기 API 함수 호출당시 파라미터를 통해 접근하려는 프로그램이 상기 게임 프로그램(100a)(예컨대, 보호대상 프로그램)에 속하는 프로그램인지를 판단한다(S202b). 즉, 상기 파라미터는 PID(Process ID)이며, 응용 프로그램이 상기 API 함수를 호출할 경우 획득하는 고유의 식별자이다.
상기 단계(202b)의 판단결과, 상기 윈도우가 게임 프로그램(100a)에 속하는 프로그램이라면, 악의적인 비정상적 메모리 데이터 접근으로 판단하여 상기 제어 처리부(210)에 보고한다(S202c). 이는 현재 활성화된 프로그램이 메모리 데이터 접근관련 API 함수를 호출한 프로그램이고, 상기 게임 프로그램(100a)은 아니면서 게임 프로그램(100a)의 메모리에 영향을 주는 프로그램이기 때문이다.
그러나, 상기 단계(202b)의 판단결과, 상기 파라미터 입력관련 윈도우가 게임 프로그램(100a)에 속하지 않는다면, 정상적인 접근으로 판단하여 해당 API 함수를 호출한다(S202d). 즉, 현재 활성화된 프로그램이 메모리 데이터 접근관련 API 함수를 호출했지만, 게임 프로그램(100a)과는 관련이 없으므로 정상적인 프로그램 으로 판단한다.
한편, 상기 단계(202a)의 판단결과, 보호대상 프로그램에 해당되면(즉, 게임프로그램이라면), 해당 API 함수를 호출한다(S202d).
상기 실시예에서는, Windows 9X 계열에서 상위 레벨의 메모리 데이터 접근관련 API 함수(예컨대, OpenProcess 함수 등)의 후킹에 대해서만 기술하였다.
그러나, Windows 9X 계열의 다른 API 함수(예컨대, ReadProcessMemory, WriteProcessMemory 함수 등) 역시 동일한 방법을 따르며, Windows NT 계열에서의 API 함수(OpenProcess 함수, Read/WriteProcessMemory 함수 등)는 전부 커널모드(Kernel Mode)의 서비스 테이블(Service Table)(400)을 후킹하게 된다.
이하, 상기 일 실시예에 대한 다른 실시예로서, 상기 서비스 테이블(Service Table)의 후킹에 대하여 설명한다.
상기 API 함수들이 호출 되었을 때, 내부적으로 커널에서 제공하는 함수를 다시 호출 하게 되는데, 상기 서비스 테이블(Service Table)은 이 커널에서 제공하는 함수들의 목록 테이블이며, 상기 API 함수들은 이 테이블에서 자신이 호출 하려는 커널의 함수 주소를 찾아 호출 하게 된다.
또한, 상기 서비스 테이블(Service Table)에 대한 후킹은 이 테이블(Table)에 저장된 함수 주소를 후킹 핸들러(420)가 자신의 주소로 바꾸는 것을 의미하며, 이후는 상기 API 함수 후킹과 동일하게 동작 한다. 상기 서비스 테이블(Service Table) 함수 후킹은 커널 모드 드라이버를 통해서 구현이 되므로 구현이 어려우나 해커에 의해 쉽게 발견 되지 않고, API 함수 후킹 보다 안정성이 높다.
한편, 메모리 데이터 접근관련 API 함수의 후킹은, 각 프로그램 영역의 특정 API 함수들의 실행 코드 또는 해당 함수와 관련된 IAT(130) 내의 관련 함수 주소를 변경 하는 것 이므로, 쉽게 발견되어 변조됨으로써 무력화될 수 있다.
따라서, 게임 프로그램(100a) 실행시, 상기 게임 프로그램(100a)에 도 5와 같은 동작을 수행하는 제어모듈(150)을 삽입하여, 본 발명에서 수행된 API 함수 후킹의 변조 여부를 판단할 수 있다(S205). 이와 같은 판단 역시, API 함수 후킹에 의해 후킹된 메모리 데이터 접근관련 API 함수의 변조여부 판단 및 IAT 후킹에 의해 후킹된 메모리 데이터 접근관련 API 함수의 변조여부 판단 두 가지로 나뉠 수 있다.
먼저, API 함수 후킹의 경우, 상기 제어모듈(150)은, API 함수 주소의 첫 바이트가 JMP 코드인지의 여부를 판단한다(S205a). 상기 단계(205a)의 판단결과 JMP코드가 아니면, 상기 API 함수가 변조 되었음을 상기 제어 처리부(210)에 보고한다(S205b).
그러나, 상기 단계(205a)의 판단결과 JMP 코드이면, 상기 JMP 코드의 주소가 인젝션된 DLL의 코드영역을 가리키는지 판단한다(S205c).
상기 단계(205c)의 판단결과, 인젝션된 DLL의 코드영역을 가르키면, 정상적으로 후킹된 API 함수이고(S205d), 상기 단계(205c)의 판단결과 가르키지 않으면, 상기 후킹된 API 함수가 변조된 것으로 판단하여 제어처리부(210)에 보고한다(S205b).
한편, IAT 후킹의 경우, 상기 제어모듈(150)은, 인젝션된 DLL의 메모리 주소 영역이 변조 되었는지를 아래와 같은 비교루틴을 통해 감시한다.
즉, 상기 제어모듈(150)은 후킹 처리부(220)에서 후킹한 IAT(130)내의 입력 함수의 주소가 상기 후킹 처리부(220)의 실행 코드가 담겨진 인젝션된 DLL의 코드영역을 가르키는지 판단하여, 변조여부를 판단한다. 즉, 상기 판단결과, 인젝션된DLL 코드영역을 가르키면, 정상적으로 후킹된 API 함수이고, 가르키지 않으면, 상기 후킹된 API함수가 변조된 것으로 판단하여 제어처리부(210)에 알린다.
또 다른 한편으로, 각 프로그램별 API 함수 후킹 핸들러(140)에서 도 4와 같은 비교조건에 필요한 정보 및 메모리 데이터 접근 판단결과에에 따른 관련정보를 상기 제어 처리부(210)에 보고하기 위하여 인젝션된 DLL과 상기 제어 처리부(210) 간에 상기 시스템 메모리(300)를 공유한다.
상기 시스템 메모리(300) 정보를 보호하기 위하여, 상기 시스템 메모리(300)를 두 부분으로 나눠 보호한다. 즉, 상기 두 부분은 상기 제어 처리부(210)에 의해 기록되는 저장영역인 제어 처리부 기록 메모리(310)와 메모리 데이터 접근 판단결과에 따른 관련정보가 기록되는 저장영역인 후킹 핸들러 알림 기록 메모리(320)로 구분된다. 예컨대, 상기 저장영역(310)에는 보호대상 프로그램 ID 리스트와 상기 제어 처리부(210)와 통신하기 위한 이벤트 이름이 기록되고, 상기 저장영역(320)에는 프로그램 ID, 프로그램 이름 및 API 함수 이름이 기록된다.
이어, 상기 제어 처리부(210)가 저장영역(310)의 기록정보 변조여부를 일정시간 간격으로 검사한다(S206).
즉, 상기 제어 처리부(210)는 상기 저장영역(310)의 내용이 변경되는 경우, 상기 저장영역(310)에 대한 CRC(Cyclic Redundancy Code) 값을 생성 또는 갱신하여 저장한 후, 일정 시간마다 상기 저장영역(310)에 대한 CRC 값을 상기 저장된 CRC 값과 비교하여 상기 시스템 메모리(300)의 공유정보 변조 여부를 판단함으로써, 컴퓨터 프로그램에 의한 자동입력을 보호한다.
한편, 상기 프로그램별로 공유하는 공유 메모리는 별도로 생성하지 않고, 인젝션되는 DLL의 쉐어드 섹션(Shared Section)을 활용할 수도 있다.
상기의 예에서는, 본 발명에 따른 후킹 핸들러에 의해, 악의적인 응용 프로그램이 메모리 테이터 접근관련 상위 레벨의 API 함수로 접근하는 것을 차단하는 동작이 전술 되었다.
이때, 하위레벨의 API 함수(예컨대, Read/WriteProcessMemory 함수 등)는 상기 상위레벨의 API 함수(예컨대, OpenProcess 함수 등)를 통해 획득한 핸들이 있어야만 사용 가능한 함수이다. 따라서, 상기 상위레벨의 API 함수를 방어하면 메모리 접근 차단 기능은 불필요해 보이지만, 임의로 프로세스 핸들을 생성할 수 있으므로, 상기 두 API 함수(ReadProcessMemory 함수, WriteProcessMemory 함수)를 호출할 수도 있게 된다. 따라서, 더욱 확실한 접근 차단을 위해 메모리 접근 함수들에 대한 보호 기능이 추가로 필요하다.
Windows 9X 계열 및 Windows NT 계열에서의 API 함수(Read/WriteProcessMemory 함수)에 대한 후킹 핸들러의 후킹방법 또한, 도 4의 비교조건을 토대로 수행되기 때문에 이에 대한 상술은 생략하기로 한다.
이상에서는 본 발명을 특정의 바람직한 실시예로서 설명하였으나, 본 발명은 상기한 실시예에 한정되지 아니하며, 특허 청구의 범위에서 청구하는 본 발명의 요지를 벗어남이 없이 당해 발명이 속하는 분야에서 통상의 지식을 가진 자라면 누구든지 다양한 변형이 가능할 것이다.
따라서, 본 발명에 의하면, 응용 프로그램 실행 중 메모리 데이터 접근관련 API 함수를 후킹한 후, 해킹 프로그램에 의해 상기 API 함수가 호출될 경우에 넘겨 받게 되는 고유한 번호(PID ; Process ID)를 체크하여, 상기 해킹 프로그램에 의한 메모리 데이터 접근을 초기에 차단할 수 있다.
또한, 실행 중인 상기 응용 프로그램에 대한 비정상적인 API 후킹 여부를 일정시간 간격으로 검사하고, 소정 조건에 사용되는 정보와 보호모듈 사이의 공유정보의 변조여부를 일정시간 간격으로 검사함으로써, 해킹 프로그램에 의한 응용 프로그램의 메모리 데이터 조작을 미연에 방지할 수 있다.

Claims (20)

  1. (A) 보호 프로그램 실행 도중, 후킹 핸들러가 메모리 데이터 접근관련 API 함수를 후킹하는 단계;
    (B) 소정 운영 체제 하에서 구동되는 활성화된 프로그램에 의해 상기 API 함수가 호출되면, 상기 후킹 핸들러가 소정 비교조건을 토대로 상기 활성화된 프로그램이 악의적인 비정상적 메모리 데이터 접근 프로그램인지를 판단하는 단계; 및
    (C) 상기 단계(B)의 판단결과, 상기 활성화된 프로그램이 악의적인 비정상적 메모리 데이터 접근 프로그램일 경우, 상기 후킹 핸들러가 제어 처리부로 상기 판단결과를 보고하는 단계를 포함하는 것을 특징으로 하는 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법.
  2. 제 1 항에 있어서, 상기 단계(A)는,
    IAT(Import Address Table) 후킹 및 API 함수 후킹 중 적어도 하나의 방법을 이용하는 것을 특징으로 하는 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법.
  3. 제 1 항에 있어서, 상기 단계(B)는,
    B-1) 상기 후킹 핸들러가 현재 상기 API 함수를 호출한 활성화된 프로그램이 보호대상 프로그램인지를 판단하는 단계;
    B-2) 상기 단계(B-1)의 판단결과, 보호대상 프로그램이 아니면, 상기 API 함 수 호출당시 파라미터를 통해 접근하려는 프로그램이 보호대상 프로그램 인지를 판단하는 단계; 및
    B-3) 상기 단계(B-2)의 판단결과, 보호대상 프로그램일 경우, 악의적인 비정상적 메모리 데이터 접근으로 판단하는 단계를 포함하는 것을 특징으로 하는 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법.
  4. 제 3 항에 있어서, 상기 단계(B-2)는,
    상기 단계(B-1)의 판단결과, 보호대상 프로그램에 해당되면, 원시 API 함수를 호출하는 단계를 더 포함하는 것을 특징으로 하는 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법.
  5. 제 3 항에 있어서, 상기 상기 파라미터는,
    PID(Process ID)이며, 컴퓨터 응용 프로그램이 상기 API 함수를 호출할 경우 획득하는 고유의 식별자인 것을 특징으로 하는 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법.
  6. 제 3 항에 있어서, 상기 단계(B-3)는,
    상기 단계(B-2)의 판단결과, 보호대상 프로그램이 아닐 경우, 현재 활성화된 프로그램이 메모리 데이터 접근관련 API 함수를 호출했지만, 상기 보호대상 프로그램과는 관련이 없기 때문에 원시 API 함수를 호출하는 단계를 더 포함하는 것을 특 징으로 하는 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법.
  7. 제 1 항에 있어서, 상기 방법은,
    (D) 제어모듈이 상기 단계(A)에서 후킹된 API 함수의 변조여부를 일정시간 간격으로 모니터링하는 단계를 더 포함하는 것을 특징으로 하는 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법.
  8. 제 7 항에 있어서, 상기 단계(D)는,
    (D-1) 상기 후킹된 API 함수 주소의 첫 바이트가 JMP 코드인지의 여부를 판단하는 단계;
    (D-2) 상기 단계(D-1)의 판단결과, JMP 코드일 경우, 상기 JMP 코드의 주소가 인젝션된 DLL의 코드 영역을 가리키는지의 여부를 판단하는 단계; 및
    (D-3) 상기 단계(D-2)의 판단결과, 상기 인젝션된 DLL 코드영역을 가리킬 경우, 변조되지 않은 API 함수로 판단하고, 상기 단계(D-2)의 판단결과, 상기 인젝션된 DLL 코드영역을 가르키지 않을 경우, 상기 후킹된 API 함수가 변조된 것으로 판단하여 상기 제어 처리부로 알리는 단계를 포함하는 것을 특징으로 하는 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법.
  9. 제 8 항에 있어서, 상기 단계(D-2)는,
    상기 단계(D-1)의 판단결과, JMP 코드가 아닐 경우, 상기 후킹된 API 함수가 변조된 것으로 판단하여 제어 처리부로 보고하는 단계를 더 포함하는 것을 특징으로 하는 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법.
  10. 제 1 항에 있어서, 상기 방법은,
    (E) 제어 처리부에 의해 기록되는 저장영역의 기록정보 변조여부를 일정시간 간격으로 검사하는 단계를 더 포함하는 것을 특징으로 하는 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법.
  11. 제 10 항에 있어서, 상기 단계(E)는,
    (E-1) 상기 저장영역 기록정보 변경 시에 상기 기록정보에 대한 CRC(Cyclic Redundancy Code) 값을 생성 또는 갱신하여 저장하는 단계; 및
    (E-2) 상기 저장된 CRC(Cyclic Redundancy Code) 값을 일정시간 간격으로 상기 저장영역의 CRC(Cyclic Redundancy Code) 값과 비교하여 다르면 변조된 것으로 판단하여 상기 보호대상 프로그램을 중지시키는 단계를 포함하는 것을 특징으로 하는 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법.
  12. (A) 보호 프로그램 실행 도중, 후킹 핸들러가 메모리 데이터 접근관련 API 함수를 후킹하는 단계;
    (B) 소정 운영 체제 하에서 구동되는 활성화된 프로그램에 의해 상기 API 함수가 호출되면, 상기 후킹 핸들러가 소정 비교조건을 토대로 상기 활성화된 프로그램이 악의적인 비정상적 메모리 데이터 접근 프로그램인지를 판단하는 단계; 및
    (C) 상기 단계(B)의 판단결과, 상기 활성화된 프로그램이 악의적인 비정상적 메모리 데이터 접근 프로그램일 경우, 상기 후킹 핸들러가 제어 처리부로 상기 판단결과를 보고하는 단계를 포함하는 것을 특징으로 하는 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
  13. 제 12 항에 있어서, 상기 단계(A)는,
    IAT(Import Address Table) 후킹 및 API 함수 후킹 중 적어도 하나의 방법을 이용하는 것을 특징으로 하는 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
  14. 제 12 항에 있어서, 상기 단계(B)는,
    B-1) 상기 후킹 핸들러가 현재 상기 API 함수를 호출한 활성화된 프로그램이 보호대상 프로그램인지를 판단하는 단계;
    B-2) 상기 단계(B-1)의 판단결과, 보호대상 프로그램이 아니면, 상기 API 함수 호출당시 파라미터를 통해 접근하려는 프로그램이 보호대상 프로그램 인지를 판단하는 단계; 및
    B-3) 상기 단계(B-2)의 판단결과, 보호대상 프로그램일 경우, 악의적인 비정상적 메모리 데이터 접근으로 판단하는 단계를 포함하는 것을 특징으로 하는 컴퓨 터 응용 프로그램의 메모리 데이터 조작 방지 방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
  15. 제 14 항에 있어서, 상기 단계(B-2)는,
    상기 단계(B-1)의 판단결과, 보호대상 프로그램에 해당되면, 원시 API 함수를 호출하는 단계를 포함하는 것을 특징으로 하는 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
  16. 제 12 항에 있어서, 상기 기록매체는,
    (D) 제어모듈이 상기 단계(A)에서 후킹된 API 함수의 변조여부를 일정시간 간격으로 모니터링하는 단계를 더 포함하는 것을 특징으로 하는 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
  17. 제 16 항에 있어서, 상기 단계(D)는,
    (D-1) 상기 후킹된 API 함수 주소의 첫 바이트가 JMP 코드인지의 여부를 판단하는 단계;
    (D-2) 상기 단계(D-1)의 판단결과, JMP 코드일 경우, 상기 JMP 코드의 주소가 인젝션된 DLL의 코드 영역을 가리키는지의 여부를 판단하는 단계; 및
    (D-3) 상기 단계(D-2)의 판단결과, 상기 인젝션된 DLL 코드영역을 가리킬 경우, 변조되지 않은 API 함수로 판단하고, 상기 단계(D-2)의 판단결과, 상기 인젝션된 DLL 코드영역을 가르키지 않을 경우, 상기 후킹된 API 함수가 변조된 것으로 판단하여 상기 제어 처리부로 알리는 단계를 포함하는 것을 특징으로 하는 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
  18. 제 17 항에 있어서, 상기 단계(D-2)는,
    상기 단계(D-1)의 판단결과, JMP 코드가 아닐 경우, 상기 후킹된 API 함수가 변조된 것으로 판단하여 제어 처리부로 보고하는 단계를 더 포함하는 것을 특징으로 하는 컴퓨터 프로그램에 의한 자동입력 방지방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
  19. 제 12 항에 있어서, 상기 기록매체는,
    (E) 제어 처리부에 의해 기록되는 저장영역의 기록정보 변조여부를 일정시간 간격으로 검사하는 단계를 더 포함하는 것을 특징으로 하는 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
  20. 제 19 항에 있어서, 상기 단계(E)는,
    (E-1) 상기 저장영역 기록정보 변경 시에 상기 기록정보에 대한 CRC(Cyclic Redundancy Code) 값을 생성 또는 갱신하여 저장하는 단계; 및
    (E-2) 상기 저장된 CRC(Cyclic Redundancy Code) 값을 일정시간 간격으로 상기 저장영역의 CRC(Cyclic Redundancy Code) 값과 비교하여 다르면, 변조된 것으로 판단하여 상기 보호대상 프로그램을 중지시키는 단계를 포함하는 것을 특징으로 하는 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
KR1020050006586A 2004-11-29 2005-01-25 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법 KR100681696B1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR20040098909 2004-11-29
KR1020040098909 2004-11-29

Publications (2)

Publication Number Publication Date
KR20060059759A KR20060059759A (ko) 2006-06-02
KR100681696B1 true KR100681696B1 (ko) 2007-02-15

Family

ID=37156895

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020050006586A KR100681696B1 (ko) 2004-11-29 2005-01-25 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법

Country Status (1)

Country Link
KR (1) KR100681696B1 (ko)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101052735B1 (ko) * 2009-03-06 2011-07-29 주식회사 안철수연구소 메모리 조작유무를 감지하는 방법 및 이를 이용한 장치
WO2012023674A1 (ko) * 2010-08-20 2012-02-23 주식회사 파수닷컴 Ｄｒｍ 환경에서의 클립보드 보호 시스템 및 그 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 기록매체
KR20230113892A (ko) 2022-01-24 2023-08-01 주식회사 에이치피에스피 컴퓨터 장치의 로그 데이터 분류 시스템

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100943318B1 (ko) * 2007-08-21 2010-02-19 소프트캠프(주) 클립보드 보안방법
KR100955725B1 (ko) * 2007-12-28 2010-05-03 엔에이치엔비즈니스플랫폼 주식회사 메모리 해킹 차단 방법 및 시스템
KR100953355B1 (ko) * 2008-04-22 2010-04-20 주식회사 안철수연구소 온라인 전자거래 프로그램 보호방법
KR100951852B1 (ko) 2008-06-17 2010-04-12 한국전자통신연구원 응용 프로그램 비정상행위 차단 장치 및 방법
WO2010093071A1 (ko) * 2009-02-12 2010-08-19 주식회사 안철수연구소 인터넷 사이트 보안 시스템 및 그 방법
KR101014814B1 (ko) * 2009-07-22 2011-02-14 주식회사 즐게임 커널 감시기가 설치된 컴퓨터 시스템 및 커널 감시 방법
US8607094B2 (en) 2009-09-29 2013-12-10 Hyundai Motor Company Operational system test method
KR101249764B1 (ko) * 2010-08-10 2013-04-03 주식회사 잉카인터넷 접근차단 게임 핵 프로세스 검출 및 실행차단방법
KR101155123B1 (ko) * 2010-10-26 2012-06-11 한국과학기술원 커널 코드의 오류로부터 응용 프로그램의 메모리를 보호하는 장치 및 방법
KR101086451B1 (ko) 2011-08-30 2011-11-25 한국전자통신연구원 클라이언트 화면 변조 방어 장치 및 방법
KR101308112B1 (ko) * 2012-01-02 2013-09-12 (주)네오위즈게임즈 메모리 조작 방지 방법 및 클라이언트 단말
KR101438979B1 (ko) * 2012-12-31 2014-09-11 현대자동차주식회사 소프트웨어 검사 방법 및 시스템
CN106997316B (zh) * 2017-04-11 2020-02-21 上海联彤网络通讯技术有限公司 内存异常增长的检测系统及方法
KR102141456B1 (ko) * 2019-01-10 2020-08-06 (주)제니퍼소프트 자동 프로파일링이 가능한 모니터링 시스템

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR970022747A (ko) * 1995-10-26 1997-05-30 리 패치 동적으로 링크된 실행 모듈의 사용을 보호하기 위한 시스템 및 방법
KR19980016875A (ko) * 1996-08-29 1998-06-05 양재신 자동차의 트렁크 리드에 설치된 손잡이장치
KR20020029657A (ko) * 2002-01-12 2002-04-19 우제학 디지털 컨텐츠의 정보보호 방법 및 시스템
JP2004234053A (ja) 2003-01-28 2004-08-19 Internatl Business Mach Corp <Ibm> コンピュータシステム、コンピュータ装置、記憶装置のデータ保護方法、およびプログラム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR970022747A (ko) * 1995-10-26 1997-05-30 리 패치 동적으로 링크된 실행 모듈의 사용을 보호하기 위한 시스템 및 방법
KR19980016875A (ko) * 1996-08-29 1998-06-05 양재신 자동차의 트렁크 리드에 설치된 손잡이장치
KR20020029657A (ko) * 2002-01-12 2002-04-19 우제학 디지털 컨텐츠의 정보보호 방법 및 시스템
JP2004234053A (ja) 2003-01-28 2004-08-19 Internatl Business Mach Corp <Ibm> コンピュータシステム、コンピュータ装置、記憶装置のデータ保護方法、およびプログラム

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101052735B1 (ko) * 2009-03-06 2011-07-29 주식회사 안철수연구소 메모리 조작유무를 감지하는 방법 및 이를 이용한 장치
WO2012023674A1 (ko) * 2010-08-20 2012-02-23 주식회사 파수닷컴 Ｄｒｍ 환경에서의 클립보드 보호 시스템 및 그 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 기록매체
US9098713B2 (en) 2010-08-20 2015-08-04 Fasoo.Com Co., Ltd Clipboard protection system in DRM environment and recording medium in which program for executing method in computer is recorded
KR20230113892A (ko) 2022-01-24 2023-08-01 주식회사 에이치피에스피 컴퓨터 장치의 로그 데이터 분류 시스템

Also Published As

Publication number Publication date
KR20060059759A (ko) 2006-06-02

Similar Documents

Publication Publication Date Title
KR100681696B1 (ko) 컴퓨터 응용 프로그램의 메모리 데이터 조작 방지 방법
KR100685672B1 (ko) 컴퓨터 프로그램에 의한 자동입력 방지방법
US10296437B2 (en) Framework for efficient security coverage of mobile software applications
US10181029B1 (en) Security cloud service framework for hardening in the field code of mobile software applications
RU2698776C2 (ru) Способ ведения базы данных и соответствующий сервер
JP6829718B2 (ja) 複数のソフトウェアエンティティにわたって悪意あるビヘイビアを追跡するためのシステムおよび方法
US9009823B1 (en) Framework for efficient security coverage of mobile software applications installed on mobile devices
US9367681B1 (en) Framework for efficient security coverage of mobile software applications using symbolic execution to reach regions of interest within an application
US9183377B1 (en) Unauthorized account monitoring system and method
CN101098226B (zh) 一种病毒在线实时处理系统及其方法
US20070250927A1 (en) Application protection
Berthome et al. Repackaging android applications for auditing access to private data
US20070209032A1 (en) Driver verifier
WO2016131830A1 (en) Mining sandboxes
CN106326735B (zh) 防注入的方法和装置
CN108388793A (zh) 一种基于主动防御的虚拟机逃逸防护方法
CN111062032A (zh) 异常检测方法和系统及计算机可读存储介质
CN116074130B (zh) 系统防护方法、装置、设备和介质
Mé et al. Experimenting a Policy-Based HIDS Based on an Information Flow Control Model
CN111783087A (zh) 可执行文件恶意执行的检测方法及装置、终端、存储介质
CN107818260B (zh) 保障系统安全的方法及装置
CN114238947A (zh) Windows系统的软件保护方法、系统、设备及介质
CN113297628A (zh) 一种修改行为审计方法、装置、设备及可读存储介质
KR100457405B1 (ko) 타이머 ａｐｉ 후킹 여부 판단방식에 의한 스피드 핵 사용여부 검출방법
CN104834861B (zh) 木马的查杀方法和装置

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20130228

Year of fee payment: 7

FPAY Annual fee payment

Payment date: 20140206

Year of fee payment: 8

FPAY Annual fee payment

Payment date: 20150206

Year of fee payment: 9

FPAY Annual fee payment

Payment date: 20160210

Year of fee payment: 10

FPAY Annual fee payment

Payment date: 20170206

Year of fee payment: 11

FPAY Annual fee payment

Payment date: 20180206

Year of fee payment: 12

FPAY Annual fee payment

Payment date: 20190207

Year of fee payment: 13

FPAY Annual fee payment

Payment date: 20200206

Year of fee payment: 14