WO2019235664A1 - 프로그램 보호를 위한 디버거 차단 방법 및 시스템 - Google Patents

프로그램 보호를 위한 디버거 차단 방법 및 시스템 Download PDF

Info

Publication number
WO2019235664A1
WO2019235664A1 PCT/KR2018/006499 KR2018006499W WO2019235664A1 WO 2019235664 A1 WO2019235664 A1 WO 2019235664A1 KR 2018006499 W KR2018006499 W KR 2018006499W WO 2019235664 A1 WO2019235664 A1 WO 2019235664A1
Authority
WO
WIPO (PCT)
Prior art keywords
preemption
debugger
debug
signal
thread
Prior art date
Application number
PCT/KR2018/006499
Other languages
English (en)
French (fr)
Inventor
정상민
임승현
전상훈
Original Assignee
라인플러스 주식회사
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 라인플러스 주식회사 filed Critical 라인플러스 주식회사
Priority to KR1020207028367A priority Critical patent/KR102623022B1/ko
Priority to PCT/KR2018/006499 priority patent/WO2019235664A1/ko
Publication of WO2019235664A1 publication Critical patent/WO2019235664A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/36—Preventing errors by testing or debugging software
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/12—Protecting executable software
    • G06F21/14—Protecting executable software against software analysis or reverse engineering, e.g. by obfuscation

Definitions

  • debugger blocking method for protecting a program
  • debugger blocking system for performing the debugger blocking method
  • computer program stored in a computer readable recording medium in combination with a computer for executing the debugger blocking method on a computer, and a recording medium thereof.
  • Debugging is essential in the analysis of applications through reverse engineering. Debugging is the act of checking for and fixing errors in a program, and the program used to do this is called a debugger. Such debugging can be performed on a normal program without errors. In this case, not only can the intended behavior of the original program be changed, but also can be used for malicious purposes to grasp the operation principle inside the program.
  • Korean Patent No. 10-1328012 relates to an apparatus for obfuscating an application code and a method thereof, and a technology for converting an important code and a calling code for calling an important code into a native code form among codes used in an application. Is starting.
  • this conventional technology requires an additional execution time to execute obfuscated code, and has a problem in that the original code must be loaded into memory at a specific point in time to perform the original operation.
  • the debugger blocking method that can block the debugger
  • the debugger blocking system that performs the debugger blocking method
  • the computer And a computer program stored on a computer readable recording medium for executing the debugger blocking method on a computer, and the recording medium.
  • a method for blocking a debugger executed by a processor of a computer comprising: preempting a preemption process for preempting the debugger process in response to a debuggee process associated with the computer program being executed to protect debugging operations for the computer program. Executing; And connecting the executed preemption process to the debugger process through a system call to preempt a debugging operation for the debugger process.
  • a computer program stored on a computer readable recording medium for computer executing the debugger blocking method is provided.
  • a computer program for recording a computer program for executing the method of blocking the debugger is provided.
  • At least one processor implemented to execute computer readable instructions, wherein the at least one processor executes a debuggee process associated with the computer program to protect debugging operations for the computer program. Responsively executing a preemption process for preempting the debug process and connecting the executed preemption process to the debug process via a system call to preempt a debugging operation for the debug process. .
  • FIG. 1 is a diagram illustrating an example of a network environment according to an embodiment of the present invention.
  • FIG. 2 is a block diagram illustrating an internal configuration of an electronic device and a server according to an embodiment of the present invention.
  • FIG. 3 is a diagram illustrating an example of a process of blocking a debugger according to an embodiment of the present invention.
  • FIG. 4 is a flowchart illustrating an example of a debugger blocking method according to an embodiment of the present invention.
  • FIG. 5 is a flowchart illustrating an example of the operation of a preemption process according to an embodiment of the present invention.
  • FIG. 6 is a flowchart illustrating an example of an operation of a debug process according to an embodiment of the present invention.
  • the debugger blocking system may be implemented by a computer such as the computer device 200 described with reference to FIG. 2, and the method of blocking the debugger according to the embodiments of the present invention may be implemented. It can be done through.
  • a computer may be driven by a computer program (for example, an application installed in a computer device to receive a specific service) according to an embodiment of the present invention, and the computer may be run according to the control of the driven computer program.
  • Debugger blocking method according to an embodiment of the can be performed.
  • the computer program described above can be stored in a computer readable recording medium in combination with a computer to cause the computer to execute a debugger blocking method.
  • FIG. 1 is a diagram illustrating an example of a network environment according to an embodiment of the present invention.
  • the network environment of FIG. 1 illustrates an example including a plurality of electronic devices 110, 120, 130, and 140, a plurality of servers 150 and 160, and a network 170.
  • 1 is an example for describing the present invention, and the number of electronic devices or the number of servers is not limited as shown in FIG. 1.
  • the plurality of electronic devices 110, 120, 130, and 140 may be fixed terminals or mobile terminals implemented as computer devices.
  • Examples of the plurality of electronic devices 110, 120, 130, and 140 include a smart phone, a mobile phone, a navigation device, a computer, a notebook computer, a digital broadcasting terminal, a personal digital assistant (PDA), and a portable multimedia player (PMP). Tablet PC).
  • FIG. 1 illustrates the shape of a smart phone as an example of the electronic device 1 110, in the embodiments of the present invention, the electronic device 1 110 may use a wireless or wired communication method to substantially connect the network 170. It may mean one of various physical devices that can communicate with other electronic devices 120, 130, 140 and / or servers 150, 160.
  • the communication method is not limited, and may include not only a communication method using a communication network (for example, a mobile communication network, a wired internet, a wireless internet, a broadcasting network) that the network 170 may include, but also a short range wireless communication between devices.
  • the network 170 may include a personal area network (PAN), a local area network (LAN), a campus area network (CAN), a metropolitan area network (MAN), a wide area network (WAN), and a broadband network (BBN). And one or more of networks such as the Internet.
  • the network 170 may also include any one or more of network topologies, including bus networks, star networks, ring networks, mesh networks, star-bus networks, trees, or hierarchical networks, but It is not limited.
  • Each of the servers 150 and 160 communicates with the plurality of electronic devices 110, 120, 130, and 140 through the network 170 to provide a command, code, file, content, service, or the like. It may be implemented in devices.
  • the server 150 may be a system that provides a first service to a plurality of electronic devices 110, 120, 130, and 140 connected through the network 170, and the server 160 may also have a network ( It may be a system that provides a second service to the plurality of electronic devices 110, 120, 130, and 140 connected through the 170.
  • the server 150 may provide a service associated with an application (computer program) installed in the plurality of electronic devices 110, 120, 130, and 140 as the first service.
  • the server 160 may provide a service for providing an installation file of an application for the first service to a plurality of electronic devices 110, 120, 130, and 140 as the second service.
  • FIG. 2 is a block diagram illustrating an example of a computer device according to an embodiment of the present invention.
  • Each of the plurality of electronic devices 110, 120, 130, and 140 or each of the servers 150 and 160 described above may be implemented by the computer device 200 shown in FIG. 2.
  • a computer program according to an embodiment may be installed and run on the computer device 200, and the computer device 200 may block Java debugger according to embodiments of the present invention under the control of the driven computer program. The method can be performed.
  • the computer device 200 may include a memory 210, a processor 220, a communication interface 230, and an input / output interface 240.
  • the memory 210 may be a computer-readable recording medium, and may include a permanent mass storage device such as random access memory (RAM), read only memory (ROM), and a disk drive.
  • RAM random access memory
  • ROM read only memory
  • the non-volatile mass storage device such as a ROM and a disk drive may be included in the computer device 200 as a separate permanent storage device separate from the memory 210.
  • the memory 210 may store an operating system and at least one program code. These software components may be loaded into the memory 210 from a computer-readable recording medium separate from the memory 210.
  • Such a separate computer-readable recording medium may include a computer-readable recording medium such as a floppy drive, disk, tape, DVD / CD-ROM drive, memory card, and the like.
  • the software components may be loaded into the memory 210 via the communication interface 230 rather than the computer readable recording medium.
  • software components may be loaded into memory 210 of computer device 200 based on a computer program installed by files received via network 170.
  • the processor 220 may be configured to process instructions of a computer program by performing basic arithmetic, logic, and input / output operations. Instructions may be provided to the processor 220 by the memory 210 or the communication interface 230. For example, the processor 220 may be configured to execute a command received according to a program code stored in a recording device such as the memory 210.
  • the communication interface 230 may provide a function for the computer device 200 to communicate with other devices (eg, storage devices described above) through the network 170. For example, a request, a command, data, a file, etc. generated by the processor 220 of the computer device 200 according to a program code stored in a recording device such as the memory 210 may be controlled according to the control of the communication interface 230. 170 may be transferred to other devices. Conversely, signals, commands, data, files, and the like from other devices may be received by the computer device 200 via the communication interface 230 of the computer device 200 via the network 170. Signals, commands, data, and the like received through the communication interface 230 may be transmitted to the processor 220 or the memory 210, and the files and the like may be further included in the storage medium (described above). Persistent storage).
  • the input / output interface 240 may be a means for interfacing with the input / output device 250.
  • the input device may include a device such as a microphone, a keyboard or a mouse
  • the output device may include a device such as a display or a speaker.
  • the input / output interface 240 may be a means for interfacing with a device in which functions for input and output are integrated into one, such as a touch screen.
  • the input / output device 250 may be configured as the computer device 200 and one device.
  • the computer device 200 may include fewer or more components than the components of FIG. 2. However, it is not necessary to clearly show most of the prior art components.
  • the computer device 200 may be implemented to include at least some of the input and output devices 250 described above, or may further include other components such as a transceiver, a database, and the like.
  • FIG. 3 is a diagram illustrating an example of a process of blocking a debugger according to an embodiment of the present invention.
  • the computer device 200 preempts the debuggee process 310 associated with the computer program through the preemption process 320 in order to protect debugging operations for the computer program installed and run on the computer device 200. can do.
  • the debugger process 330 which wishes to debug the debugger process 310 may be connected to the debugger process 310 because the debugger process 310 is already preempted by the preemption process 320. It is not possible to obtain the effect of blocking the debugger.
  • the computer device 200 may immediately execute the preemption process 320 immediately in response to the debugger process 310 being executed, thereby eliminating the possibility that the debugger process 330 is first connected to the debugger process 310.
  • the code for executing the preemption process 320 may include a computer program that is intended to protect against debugging operations.
  • the computer device 200 immediately executes the preemption process 320 according to the code included in the computer program.
  • the debug process 310 may be controlled to preempt.
  • the computer device 200 may execute a preemption process 320 having the same rights as the debugger process 310 through a fork for the debugger process 310 when the debugger process 310 is executed. Can be run.
  • a fork for a process can be the process of cloning a process to create a child process.
  • the debugger process 330 requires a process of elevating authority to be connected with the debugger process 310, but when generating the preemption process 320 through a fork, the debugger process 310 has the same authority as the debugger process 310. Since a process having a preemption process 320 is generated, a process for elevating authority may be omitted.
  • the method of generating the preemption process 320 using such a fork is only one embodiment, and is not limited thereto as long as it is a process generation method for generating a process capable of preempting a debugging operation for the debugger process 310.
  • a separate process may be created as the preemption process 320 without duplicating the debugger process 310, and the privilege may be elevated to connect with the debugger process 310.
  • the preemption process 320 may be connected to the debugger process 310 through, for example, a process trace (“ptrace”) that is a system call application programming interface (API) found in a Unix-based operating system.
  • ptrace a process trace
  • API application programming interface
  • the preemption process 320 may pass the process identifier (PID) of the debugger process 310 to the operating system through a system call such as ptrace, in which case the operating system and the preemption process 320 calling ptrace.
  • PID process identifier
  • the debugger process 310 identified through the process identifier may be connected and the preemption process 320 may be recognized as a debugger.
  • the preemption process 320 may be connected to each thread generated in the debug process 310.
  • FIG. 3 shows n threads created in debug process 310.
  • the preemption process 320 may be connected to each of the n threads. Since the preemption process 320 is a process generated to preempt the debugger process 310, the preemption process 320 may include a function of receiving and processing a signal from the debugger process 310. On the other hand, since the debugger process 310 is a process for a computer program, the debugger process 310 may create a separate thread (hereinafter, referred to as a 'monitor thread') for processing a signal from the preemption process 320. have. 3 shows an example in which thread n processes a signal from preemption process 320 as a monitor thread.
  • FIG. 4 is a flowchart illustrating an example of a debugger blocking method according to an embodiment of the present invention.
  • the debugger blocking method according to the present embodiment may be performed by the computer device 200 described above.
  • the processor 220 of the computer device 200 may be implemented to execute a control instruction according to code of an operating system and / or code of at least one program included in the memory 210.
  • the above program code may be code of an application to be debugged.
  • the application may include code for blocking the debugger
  • the processor 220 may block the debugger of FIG. 4 according to a control command provided by a code of an application stored in the computer device 200.
  • Computer apparatus 200 may be controlled to perform steps 410 and 420 that the method includes.
  • the code of the program may be provided through a program separate from the application to be debugged.
  • a debug process is a process associated with an application to be debugged, and a preemption process generated by a separate program may preempt the debug process.
  • a program separate from the application to be debugged may be further generated in the computer device 200.
  • the computer device 200 may execute a preemption process for preempting the debugger process in response to the execution of a debuggee process associated with the computer program to protect a debugging operation for the computer program.
  • the computer device 200 may generate and execute a preemption process having the same authority as the debugger process through a fork for the debugger process when the debugger process is executed.
  • there is no limit to the method for executing the preemption process as long as the method can be created and executed in addition to the fork.
  • the computer device 200 may preempt the debugging operation on the debugger process by attaching the preempted process to the debugger process through a system call.
  • the preemption process may be connected to the debugger process through ptrace, which is a system call API.
  • the computer device 200 may allow the preemption process executed based on a predefined calling method to be connected to the debugger process.
  • the preemption process can recognize a process created in association with a computer program to be protected as a debug process.
  • the preemption process allows the operating system to execute a pre- You can control the connection to the buggy process. As described earlier, because the preemption process has preempted the debug process for debugging operations, no other debugger process can be connected to the debug process, so the debugger is blocked.
  • Steps 510-560 of FIG. 5 describe the logical operation of the preemption process, and may be substantially the operations caused by the computer device 200 to be performed by the processor of the computer device 200.
  • FIG. 5 an example of a process performed by the computer device 200 is included in the steps 510 to 560 of FIG. 4.
  • the computer device 200 may find a thread created before execution of the preemption process in association with the debugger process and connect the preemption process through a system call.
  • the preemption process may be associated with each of the threads created by the debug process, and there may be a thread created by the debug process before execution of the preemption process.
  • the preemption process can find threads created before execution of the preemption process and connect them with the threads through system calls. In this case, according to an embodiment, step 510 may be omitted.
  • the computer device 200 may control the preemption process so that the preemption process waits for a signal to be transmitted from the debugger process. Logically, this may be a process in which the preemption process waits for a signal to be received from the debugger process.
  • the computer device 200 may determine whether the preemption process receives a thread generation signal from the debugger process. The computer device 200 may perform step 540 when the preemption process receives a thread generation signal from the debugger process, or step 550 when not receiving the thread generation signal.
  • the computer device 200 may attach the preemption process to a thread generated by the debugger process through a system call. This may be a process in which the preemption process is connected to a thread created through a system call such as ptrace to a task of that thread.
  • the computer device 200 may connect the preemption process with the generated thread, and then perform the operation 520 again to control the preemption process to receive a signal signal from the debugger process.
  • the computer device 200 may determine whether the preemption process receives the termination signal from the debugger process. The computer device 200 performs step 560 if the preemption process receives an end signal from the debugger process, and performs step 520 again if it does not receive the preemption process, so that the preemption process of the signal signal from the debugger process is performed. It can be controlled to wait for reception.
  • the computer device 200 may detach a thread connected to the preemption process and terminate the preemption process.
  • the preemption process may also terminate because the preemption process for preempting the debug process is also unnecessary.
  • the preemption process may be terminated stably by disconnecting the threads of the debug process in response to receiving the termination signal of the debug process.
  • signals related to debugging operations other than the thread creation signal and the termination signal may be ignored.
  • the preemption process preempts the debugging operation of the debugger process like the debugger process, but since the preemption process does not actually act as a debugger, the computer device 200 waits for the signal signal to be received in step 520. If other signals related to the operation are received, the other signals can be ignored.
  • Steps 610 through 650 of FIG. 6 illustrate the logical operation of the debugger process and may be operations that are caused to be performed by the computer device 200 by a processor of the computer device 200.
  • steps 610 to 650 are included in step 420 of FIG. 4 to describe an example of a process performed by the computer device 200.
  • the computer device 200 may create a monitor thread that processes a signal from the preemption process.
  • the monitor thread can process signals from the preemption process.
  • the computer device 200 may control the debugger process to wait for a signal to be received from the preemption process. This may logically be the process by which the monitor thread waits for a signal to be sent from the preemption process.
  • the computer device 200 may transmit a thread generation signal to the preemption process.
  • This may be a process in which a debug process (or a monitor thread) transmits a thread generation signal for notifying that a thread has been created in the debug process to the preemptive process.
  • the debug process may check whether the thread generation signal is received in step 530 of FIG. 5.
  • the computer device 200 may determine whether the debugger process receives the termination signal from the preemption process.
  • the computer device 200 may perform step 650 if the debug process receives an end signal from the preemption process, or perform step 620 again if it does not receive so that the debug process passes from the preemption process. You can control the debugger process to wait for a signal to receive. In other words, the monitor thread can ignore signals other than the exit signal from the preemption process.
  • the computer device 200 may detach a thread connected to the debugger process and terminate the debugger process. This may be a process in which the debug process is terminated. In other words, the debugger process can safely terminate after detaching all threads connected to the debugger process as it receives the termination signal from the preemption process. This may be a process for terminating the debugger process if only the preemption process terminates first and the preemption process terminates to prevent the debugger process from remaining and being debugged by another debugger.
  • the debugger process may preemptively preempt the preemption process for mutual debugging protection, so that the debugger process and the preemptive process preempt each other's debugger ports may be considered.
  • the debugger process may also proceed to preempt the preemption process and may receive a thread creation signal from the preemption process.
  • the monitor thread may ignore signals other than the thread generation signal and the termination signal from the preemption process.
  • the computer device 200 may prevent the access of the debugger process to the preemption process by connecting the executed debug process to the preemption process through a system call to preempt the debugging operation for the preemption process.
  • the debugger process receives the end signal of the preemption process and terminates the preemption process. You can see if it is available and you can preserve the protection by running the preemption process again to re-empty the debugger port. For example, if the debug process receives an end signal from the preemption process at step 420, the computer device 200 may fork another debug preemption process with the same privileges as the debug process through the fork to the debug process. You can maintain the preemption of debugging behavior for the debugger process by running the command line and attaching another preempted process to the debugger process through a system call.
  • some external factor for example, abnormally terminated
  • the preemption process receives the debug signal of the debug process and whether or not the debug process terminates and / or abnormally terminates. It can be determined whether the debug process can be re-executed. For example, the computer device 200 may determine in step 420 that the preemption process terminates abnormally by receiving the termination signal from the debug process, and re-execute the debug process.
  • the debugger may be blocked by preempting the process of the program to be protected so that the debugger process does not attach to the debuggee process.
  • the system or apparatus described above may be implemented as a hardware component, a software component or a combination of hardware components and software components.
  • the devices and components described in the embodiments are, for example, processors, controllers, arithmetic logic units (ALUs), digital signal processors, microcomputers, field programmable gate arrays (FPGAs). May be implemented using one or more general purpose or special purpose computers, such as a programmable logic unit (PLU), a microprocessor, or any other device capable of executing and responding to instructions.
  • the processing device may execute an operating system (OS) and one or more software applications running on the operating system.
  • the processing device may also access, store, manipulate, process, and generate data in response to the execution of the software.
  • OS operating system
  • the processing device may also access, store, manipulate, process, and generate data in response to the execution of the software.
  • processing device includes a plurality of processing elements and / or a plurality of types of processing elements. It can be seen that it may include.
  • the processing device may include a plurality of processors or one processor and one controller.
  • other processing configurations are possible, such as parallel processors.
  • the software may include a computer program, code, instructions, or a combination of one or more of the above, and configure the processing device to operate as desired, or process it independently or collectively. You can command the device.
  • Software and / or data may be any type of machine, component, physical device, virtual equipment, computer storage medium or device in order to be interpreted by or to provide instructions or data to the processing device. It can be embodied in.
  • the software may be distributed over networked computer systems so that they may be stored or executed in a distributed manner.
  • Software and data may be stored on one or more computer readable recording media.
  • Method according to the embodiment is implemented in the form of program instructions that can be executed by various computer means may be recorded on a computer readable medium.
  • the computer readable medium may include program instructions, data files, data structures, etc. alone or in combination.
  • the program instructions recorded on the media may be those specially designed and constructed for the purposes of the embodiments, or they may be of the kind well-known and available to those having skill in the computer software arts.
  • Examples of computer-readable recording media include magnetic media such as hard disks, floppy disks, and magnetic tape, optical media such as CD-ROMs, DVDs, and magnetic disks, such as floppy disks.
  • Examples of program instructions include not only machine code generated by a compiler, but also high-level language code that can be executed by a computer using an interpreter or the like.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Quality & Reliability (AREA)
  • Multimedia (AREA)
  • Technology Law (AREA)
  • Computer Security & Cryptography (AREA)
  • Debugging And Monitoring (AREA)

Abstract

프로그램 보호를 위한 디버거 차단 방법 및 시스템을 제공한다. 컴퓨터의 프로세서에 의해 실행되는 디버거 차단 방법은, 컴퓨터 프로그램에 대한 디버깅 동작의 보호를 위해 상기 컴퓨터 프로그램과 연관된 디버기(debuggee) 프로세스가 실행됨에 응답하여 상기 디버기 프로세스를 선점하기 위한 선점 프로세스를 실행시키는 단계; 및 상기 실행된 선점 프로세스를 시스템 호출을 통해 상기 디버기 프로세스에 연결시켜 상기 디버기 프로세스에 대한 디버깅 동작을 선점하는 단계를 포함할 수 있다.

Description

프로그램 보호를 위한 디버거 차단 방법 및 시스템
아래의 설명은 프로그램 보호를 위한 디버거 차단 방법, 디버거 차단 방법을 수행하는 디버거 차단 시스템, 컴퓨터와 결합되어 디버거 차단 방법을 컴퓨터에 실행시키기 위해 컴퓨터 판독 가능한 기록매체에 저장된 컴퓨터 프로그램 및 그 기록매체에 관한 것이다.
클라이언트 단말로 배포된 어플리케이션들은 역공학(리버싱)을 통해서 그 동작 방식을 파악할 수 있으며, 이러한 역공학을 통해 어플리케이션의 기능의 도용이 가능해진다. 또한, 어플리케이션의 원래의 기능을 수정하여 어플리케이션이 의도된 동작과 다르게 동작하도록 하여 어플리케이션을 통해 제공되는 서비스와 해당 서비스를 제공하는 시스템의 신뢰성에 좋지 않은 영향을 줄 수 있게 된다.
이러한 역공학을 통한 어플리케이션의 분석 과정에서는 디버깅(debugging)이 필수적으로 활용된다. 디버깅은 프로그램의 오류를 확인하고 수정하는 행위를 말하며, 이러한 행위를 위해 사용되는 프로그램을 디버거라고 한다. 이러한 디버깅은 오류가 없는 정상적인 프로그램에 대해서도 수행될 수 있으며, 이 경우 원래 프로그램의 의도된 동작을 변경할 수 있을 뿐만 아니라, 프로그램 내부의 동작 원리를 파악하기 위한 악의적인 목적으로 사용될 수 있다.
기존에는 빌드된 프로그램을 보호하기 위해 코드의 수정과 동작 형태의 이해를 어렵게 하고자 본래의 동작 방식을 변경하거나 일부분을 암호화 하는 방식의 난독화 기법을 사용하였다. 예를 들어, 한국등록특허 제10-1328012호는 애플리케이션 코드 난독화 장치 및 그 방법에 관한 것으로, 애플리케이션에 사용되는 코드 중 중요 코드 및 중요 코드를 호출하기 위한 호출 코드를 네이티브 코드 형태로 변환하는 기술을 개시하고 있다.
그러나 이러한 종래기술은 난독화된 코드를 실행하기 위해 추가적인 실행 시간이 필요하게 되며, 원래의 동작을 수행하기 위해서 특정 시점에서는 메모리상에 원래의 코드가 로딩되어야 한다는 문제점이 있다.
보호하고자 하는 프로그램의 프로세스를 선점하여 디버거(debugger) 프로세스가 디버기(debuggee) 프로세스에 접속(attach)하지 못하도록 함으로써, 디버거를 차단할 수 있는 디버거 차단 방법, 디버거 차단 방법을 수행하는 디버거 차단 시스템, 컴퓨터와 결합되어 디버거 차단 방법을 컴퓨터에 실행시키기 위해 컴퓨터 판독 가능한 기록매체에 저장된 컴퓨터 프로그램 및 그 기록매체를 제공한다.
컴퓨터의 프로세서에 의해 실행되는 디버거 차단 방법에 있어서, 컴퓨터 프로그램에 대한 디버깅 동작의 보호를 위해 상기 컴퓨터 프로그램과 연관된 디버기(debuggee) 프로세스가 실행됨에 응답하여 상기 디버기 프로세스를 선점하기 위한 선점 프로세스를 실행시키는 단계; 및 상기 실행된 선점 프로세스를 시스템 호출을 통해 상기 디버기 프로세스에 연결시켜 상기 디버기 프로세스에 대한 디버깅 동작을 선점하는 단계를 포함하는 디버거 차단 방법을 제공한다.
컴퓨터와 결합되어 상기 디버거 차단 방법을 컴퓨터 실행시키기 위해 컴퓨터 판독 가능한 기록매체에 저장된 컴퓨터 프로그램을 제공한다.
상기 디버거 차단 방법을 컴퓨터에 실행시키기 위한 컴퓨터 프로그램이 기록되어 있는 것을 특징으로 하는 컴퓨터 판독 가능한 기록매체를 제공한다.
컴퓨터에서 판독 가능한 명령을 실행하도록 구현되는 적어도 하나의 프로세서를 포함하고, 상기 적어도 하나의 프로세서에 의해, 컴퓨터 프로그램에 대한 디버깅 동작의 보호를 위해 상기 컴퓨터 프로그램과 연관된 디버기(debuggee) 프로세스가 실행됨에 응답하여 상기 디버기 프로세스를 선점하기 위한 선점 프로세스를 실행시키고, 상기 실행된 선점 프로세스를 시스템 호출을 통해 상기 디버기 프로세스에 연결시켜 상기 디버기 프로세스에 대한 디버깅 동작을 선점하는, 컴퓨터 장치를 제공한다.
보호하고자 하는 프로그램의 프로세스를 선점하여 디버거(debugger) 프로세스가 디버기(debuggee) 프로세스에 접속(attach)하지 못하도록 함으로써, 디버거를 차단할 수 있다.
도 1은 본 발명의 일실시예에 따른 네트워크 환경의 예를 도시한 도면이다.
도 2는 본 발명의 일실시예에 있어서, 전자 기기 및 서버의 내부 구성을 설명하기 위한 블록도이다.
도 3은 본 발명의 일실시예에 있어서, 디버거를 차단하는 과정의 예를 도시한 도면이다.
도 4는 본 발명의 일실시예에 따른 디버거 차단 방법의 예를 도시한 흐름도이다.
도 5는 본 발명의 일실시예에 따른 선점 프로세스의 동작의 예를 도시한 흐름도이다.
도 6은 본 발명의 일실시예에 따른 디버기 프로세스의 동작의 예를 도시한 흐름도이다.
이하, 실시예를 첨부한 도면을 참조하여 상세히 설명한다.
본 발명의 실시예들에 따른 디버거 차단 시스템은 일례로, 도 2에서 설명하는 컴퓨터 장치(200)와 같은 컴퓨터를 통해 구현될 수 있으며, 본 발명의 실시예들에 따른 디버거 차단 방법은 이러한 컴퓨터를 통해 수행될 수 있다. 예를 들어, 컴퓨터에는 본 발명의 일실시예에 따른 컴퓨터 프로그램(일례로, 특정 서비스를 제공받기 위해 컴퓨터 장치에 설치된 어플리케이션)이 구동될 수 있고, 컴퓨터는 구동된 컴퓨터 프로그램의 제어에 따라 본 발명의 일실시예에 따른 디버거 차단 방법을 수행할 수 있다. 상술한 컴퓨터 프로그램은 컴퓨터와 결합되어 디버거 차단 방법을 컴퓨터에 실행시키기 위해 컴퓨터 판독 가능한 기록매체에 저장될 수 있다.
도 1은 본 발명의 일실시예에 따른 네트워크 환경의 예를 도시한 도면이다. 도 1의 네트워크 환경은 복수의 전자 기기들(110, 120, 130, 140), 복수의 서버들(150, 160) 및 네트워크(170)를 포함하는 예를 나타내고 있다. 이러한 도 1은 발명의 설명을 위한 일례로 전자 기기의 수나 서버의 수가 도 1과 같이 한정되는 것은 아니다.
복수의 전자 기기들(110, 120, 130, 140)은 컴퓨터 장치로 구현되는 고정형 단말이거나 이동형 단말일 수 있다. 복수의 전자 기기들(110, 120, 130, 140)의 예를 들면, 스마트폰(smart phone), 휴대폰, 네비게이션, 컴퓨터, 노트북, 디지털방송용 단말, PDA(Personal Digital Assistants), PMP(Portable Multimedia Player), 태블릿 PC 등이 있다. 일례로 도 1에서는 전자 기기 1(110)의 예로 스마트폰의 형상을 나타내고 있으나, 본 발명의 실시예들에서 전자 기기 1(110)은 실질적으로 무선 또는 유선 통신 방식을 이용하여 네트워크(170)를 통해 다른 전자 기기들(120, 130, 140) 및/또는 서버(150, 160)와 통신할 수 있는 다양한 물리적인 장치들 중 하나를 의미할 수 있다.
통신 방식은 제한되지 않으며, 네트워크(170)가 포함할 수 있는 통신망(일례로, 이동통신망, 유선 인터넷, 무선 인터넷, 방송망)을 활용하는 통신 방식뿐만 아니라 기기들간의 근거리 무선 통신 역시 포함될 수 있다. 예를 들어, 네트워크(170)는, PAN(personal area network), LAN(local area network), CAN(campus area network), MAN(metropolitan area network), WAN(wide area network), BBN(broadband network), 인터넷 등의 네트워크 중 하나 이상의 임의의 네트워크를 포함할 수 있다. 또한, 네트워크(170)는 버스 네트워크, 스타 네트워크, 링 네트워크, 메쉬 네트워크, 스타-버스 네트워크, 트리 또는 계층적(hierarchical) 네트워크 등을 포함하는 네트워크 토폴로지 중 임의의 하나 이상을 포함할 수 있으나, 이에 제한되지 않는다.
서버(150, 160) 각각은 복수의 전자 기기들(110, 120, 130, 140)과 네트워크(170)를 통해 통신하여 명령, 코드, 파일, 컨텐츠, 서비스 등을 제공하는 컴퓨터 장치 또는 복수의 컴퓨터 장치들로 구현될 수 있다. 예를 들어, 서버(150)는 네트워크(170)를 통해 접속한 복수의 전자 기기들(110, 120, 130, 140)로 제1 서비스를 제공하는 시스템일 수 있으며, 서버(160) 역시 네트워크(170)를 통해 접속한 복수의 전자 기기들(110, 120, 130, 140)로 제2 서비스를 제공하는 시스템일 수 있다. 보다 구체적인 예로, 서버(150)는 복수의 전자 기기들(110, 120, 130, 140)에 설치된 어플리케이션(컴퓨터 프로그램)과 연관된 서비스를 상기 제1 서비스로서 제공할 수 있다. 다른 예로, 서버(160)는 상기 제1 서비스를 위한 어플리케이션의 설치 파일을 복수의 전자 기기들(110, 120, 130, 140)로 제공하는 서비스를 상기 제2 서비스로서 제공할 수 있다.
도 2는 본 발명의 일실시예에 따른 컴퓨터 장치의 예를 도시한 블록도이다. 앞서 설명한 복수의 전자 디바이스들(110, 120, 130, 140) 각각이나 서버들(150, 160) 각각은 도 2를 통해 도시된 컴퓨터 장치(200)에 의해 구현될 수 있다. 예를 들어, 컴퓨터 장치(200)에는 일실시예에 따른 컴퓨터 프로그램이 설치 및 구동될 수 있고, 컴퓨터 장치(200)는 구동된 컴퓨터 프로그램의 제어에 따라 본 발명의 실시예들에 따른 자바 디버거 차단 방법을 수행할 수 있다.
이러한 컴퓨터 장치(200)는 도 2에 도시된 바와 같이, 메모리(210), 프로세서(220), 통신 인터페이스(230) 그리고 입출력 인터페이스(240)를 포함할 수 있다. 메모리(210)는 컴퓨터에서 판독 가능한 기록매체로서, RAM(random access memory), ROM(read only memory) 및 디스크 드라이브와 같은 비소멸성 대용량 기록장치(permanent mass storage device)를 포함할 수 있다. 여기서 ROM과 디스크 드라이브와 같은 비소멸성 대용량 기록장치는 메모리(210)와는 구분되는 별도의 영구 저장 장치로서 컴퓨터 장치(200)에 포함될 수도 있다. 또한, 메모리(210)에는 운영체제와 적어도 하나의 프로그램 코드가 저장될 수 있다. 이러한 소프트웨어 구성요소들은 메모리(210)와는 별도의 컴퓨터에서 판독 가능한 기록매체로부터 메모리(210)로 로딩될 수 있다. 이러한 별도의 컴퓨터에서 판독 가능한 기록매체는 플로피 드라이브, 디스크, 테이프, DVD/CD-ROM 드라이브, 메모리 카드 등의 컴퓨터에서 판독 가능한 기록매체를 포함할 수 있다. 다른 실시예에서 소프트웨어 구성요소들은 컴퓨터에서 판독 가능한 기록매체가 아닌 통신 인터페이스(230)를 통해 메모리(210)에 로딩될 수도 있다. 예를 들어, 소프트웨어 구성요소들은 네트워크(170)를 통해 수신되는 파일들에 의해 설치되는 컴퓨터 프로그램에 기반하여 컴퓨터 장치(200)의 메모리(210)에 로딩될 수 있다.
프로세서(220)는 기본적인 산술, 로직 및 입출력 연산을 수행함으로써, 컴퓨터 프로그램의 명령을 처리하도록 구성될 수 있다. 명령은 메모리(210) 또는 통신 인터페이스(230)에 의해 프로세서(220)로 제공될 수 있다. 예를 들어 프로세서(220)는 메모리(210)와 같은 기록 장치에 저장된 프로그램 코드에 따라 수신되는 명령을 실행하도록 구성될 수 있다.
통신 인터페이스(230)은 네트워크(170)를 통해 컴퓨터 장치(200)가 다른 장치(일례로, 앞서 설명한 저장 장치들)와 서로 통신하기 위한 기능을 제공할 수 있다. 일례로, 컴퓨터 장치(200)의 프로세서(220)가 메모리(210)와 같은 기록 장치에 저장된 프로그램 코드에 따라 생성한 요청이나 명령, 데이터, 파일 등이 통신 인터페이스(230)의 제어에 따라 네트워크(170)를 통해 다른 장치들로 전달될 수 있다. 역으로, 다른 장치로부터의 신호나 명령, 데이터, 파일 등이 네트워크(170)를 거쳐 컴퓨터 장치(200)의 통신 인터페이스(230)를 통해 컴퓨터 장치(200)로 수신될 수 있다. 통신 인터페이스(230)를 통해 수신된 신호나 명령, 데이터 등은 프로세서(220)나 메모리(210)로 전달될 수 있고, 파일 등은 컴퓨터 장치(200)가 더 포함할 수 있는 저장 매체(상술한 영구 저장 장치)로 저장될 수 있다.
입출력 인터페이스(240)는 입출력 장치(250)와의 인터페이스를 위한 수단일 수 있다. 예를 들어, 입력 장치는 마이크, 키보드 또는 마우스 등의 장치를, 그리고 출력 장치는 디스플레이, 스피커와 같은 장치를 포함할 수 있다. 다른 예로 입출력 인터페이스(240)는 터치스크린과 같이 입력과 출력을 위한 기능이 하나로 통합된 장치와의 인터페이스를 위한 수단일 수도 있다. 입출력 장치(250)는 컴퓨터 장치(200)와 하나의 장치로 구성될 수도 있다.
또한, 다른 실시예들에서 컴퓨터 장치(200)는 도 2의 구성요소들보다 더 적은 혹은 더 많은 구성요소들을 포함할 수도 있다. 그러나, 대부분의 종래기술적 구성요소들을 명확하게 도시할 필요성은 없다. 예를 들어, 컴퓨터 장치(200)는 상술한 입출력 장치(250) 중 적어도 일부를 포함하도록 구현되거나 또는 트랜시버(transceiver), 데이터베이스 등과 같은 다른 구성요소들을 더 포함할 수도 있다.
도 3은 본 발명의 일실시예에 있어서, 디버거를 차단하는 과정의 예를 도시한 도면이다. 컴퓨터 장치(200)는 컴퓨터 장치(200)에 설치 및 구동되는 컴퓨터 프로그램에 대한 디버깅 동작의 보호를 위해, 컴퓨터 프로그램과 연관된 디버기(debuggee) 프로세스(310)를 선점 프로세스(320)를 통해 미리 선점할 수 있다. 이 경우, 디버기 프로세스(310)를 디버깅하고자 하는 디버거(debugger) 프로세스(330)는 디버기 프로세스(310)가 선점 프로세스(320)에 의해 이미 선점되어 있기 때문에, 디버기 프로세스(310)에 연결될 수 없으며, 따라서 디버거가 차단되는 효과를 얻을 수 있게 된다.
이를 위해, 컴퓨터 장치(200)는 디버기 프로세스(310)가 실행됨에 응답하여 바로 선점 프로세스(320)를 바로 실행시킴으로써 디버거 프로세스(330)가 디버기 프로세스(310)에 먼저 연결될 가능성을 없앨 수 있다. 예를 들어, 선점 프로세스(320)를 실행시키기 위한 코드는 디버깅 동작으로부터 보호하고자 하는 컴퓨터 프로그램이 포함할 수 있다. 이 경우, 컴퓨터 장치(200)에서 컴퓨터 프로그램이 실행되고, 이에 따라 디버기 프로세스(310)가 실행될 때, 컴퓨터 장치(200)는 컴퓨터 프로그램이 포함하는 코드에 따라 바로 선점 프로세스(320)를 실행시켜 디버기 프로세스(310)를 선점하도록 제어할 수 있다. 보다 구체적인 예로, 컴퓨터 장치(200)는 디버기 프로세스(310)의 실행 시 디버기 프로세스(310)에 대한 포크(fork)를 통해 디버기 프로세스(310)와 동일한 권한을 갖는 선점 프로세스(320)를 실행시킬 수 있다. 프로세스에 대한 포크는 프로세스를 복제하여 자식 프로세스를 생성하는 과정일 수 있다. 일반적으로 디버거 프로세스(330)는 디버기 프로세스(310)와 연결되기 위해 권한을 상승시키기 위한 과정이 요구되나 포크를 통해 선점 프로세스(320)를 생성하는 경우에는 디버기 프로세스(310)와 동일한 권한을 갖는 프로세스를 선점 프로세스(320)로 생성하기 때문에 권한 상승을 위한 과정이 생략될 수 있다. 이러한 포크를 이용하여 선점 프로세스(320)를 생성하는 방법은 하나의 실시예일뿐, 디버기 프로세스(310)에 대한 디버깅 동작을 선점할 수 있는 프로세스를 생성하기 위한 프로세스 생성 방법이라면 이에 제한되지 않는다. 예를 들어, 디버기 프로세스(310)를 복제하지 않고 별도의 프로세스를 선점 프로세스(320)로서 생성하고, 권한을 상승시켜서 디버기 프로세스(310)와 연결할 수도 있다.
선점 프로세스(320)는 일례로 유닉스 계열의 운영체제에서 발견되는 시스템 호출 API(Application Programming Interface)인 프로세스 트레이스(process trace, 이하 'ptrace')를 통해 디버기 프로세스(310)에 연결될 수 있다. 예를 들어, 선점 프로세스(320)는 ptrace와 같은 시스템 호출을 통해 디버기 프로세스(310)의 프로세스 식별자(PID)를 운영체제로 전달할 수 있으며, 이 경우 운영체제는 ptrace를 호출한 선점 프로세스(320)와 프로세스 식별자를 통해 식별되는 디버기 프로세스(310)를 연결할 수 있으며, 선점 프로세스(320)를 디버거로서 인식할 수 있다. 따라서, 디버거 프로세스(330)가 디버기 프로세스(310)에 디버거로서 연결하고자 요청한다 하더라도, 운영체제에서 디버기 프로세스(310)를 선점하고 있는 선점 프로세스(320)가 존재하기 때문에 디버거 프로세스(330)의 시스템 호출은 실패(fail)될 수 있으며, 이는 디버거가 차단되는 효과를 발생시킨다.
이때, 선점 프로세스(320)는 디버기 프로세스(310)에서 생성되는 스레드마다 연결될 수 있다. 예를 들어, 도 3은 디버기 프로세스(310)에서 생성되는 n 개의 스레드들을 나타내고 있다. 이때, 선점 프로세스(320)는 n 개의 스레드들 각각과 연결될 수 있다. 선점 프로세스(320)가 디버기 프로세스(310)를 선점하기 위해 생성되는 프로세스이기 때문에 디버기 프로세스(310)로부터의 시그널을 수신 및 처리할 수 있는 기능이 선점 프로세스(320)에 포함될 수 있다. 반면, 디버기 프로세스(310)는 컴퓨터 프로그램을 위한 프로세스이기 때문에 디버기 프로세스(310)는 선점 프로세스(320)로부터의 시그널을 처리하기 위한 별도의 스레드(이하, '모니터 스레드')를 생성할 수 있다. 도 3에서는 스레드 n이 모니터 스레드로서 선점 프로세스(320)로부터의 시그널을 처리하는 예를 나타내고 있다.
디버기 프로세스(310)와 선점 프로세스(320) 각각의 동작은 이후 더욱 자세히 설명한다.
도 4는 본 발명의 일실시예에 따른 디버거 차단 방법의 예를 도시한 흐름도이다. 본 실시예에 따른 디버거 차단 방법은 앞서 설명한 컴퓨터 장치(200)에 의해 수행될 수 있다. 예를 들어, 컴퓨터 장치(200)의 프로세서(220)는 메모리(210)가 포함하는 운영체제의 코드 및/또는 적어도 하나의 프로그램의 코드에 따른 제어 명령(instruction)을 실행하도록 구현될 수 있다. 예를 들어, 상술한 프로그램 코드는 디버깅의 대상이 되는 어플리케이션의 코드일 수 있다. 다시 말해, 어플리케이션은 디버거를 차단하기 위한 코드를 포함할 수 있으며, 프로세서(220)는 컴퓨터 장치(200)에 저장된 어플리케이션의 코드가 제공하는 제어 명령에 따라 컴퓨터 장치(200)가 도 4의 디버거 차단 방법이 포함하는 단계들(410 및 420)을 수행하도록 컴퓨터 장치(200)를 제어할 수 있다. 실시예에 따라 프로그램의 코드는 디버깅의 대상이 되는 어플리케이션과는 별도의 프로그램을 통해 제공될 수도 있다. 예를 들어, 디버기 프로세스는 디버깅의 대상이 되는 어플리케이션과 연관된 프로세스이고, 별도의 프로그램에 의해 생성된 선점 프로세스가 디버기 프로세스를 선점할 수도 있다. 이 경우, 디버깅의 대상이 되는 어플리케이션과는 별도의 프로그램이 컴퓨터 장치(200)에서 더 생성될 수 있다.
단계(410)에서 컴퓨터 장치(200)는 컴퓨터 프로그램에 대한 디버깅 동작의 보호를 위해 컴퓨터 프로그램과 연관된 디버기(debuggee) 프로세스가 실행됨에 응답하여 디버기 프로세스를 선점하기 위한 선점 프로세스를 실행시킬 수 있다. 일례로, 컴퓨터 장치(200)는 디버기 프로세스의 실행 시 디버기 프로세스에 대한 포크(fork)를 통해 디버기 프로세스와 동일한 권한의 선점 프로세스를 생성하여 실행시킬 수 있다. 이미 설명한 바와 같이, 포크 이외에 프로세스를 생성하여 실행시킬 수 있는 방법이라면 선점 프로세스를 실행시키기 위한 방법이 제한되지 않는다.
단계(420)에서 컴퓨터 장치(200)는 실행된 선점 프로세스를 시스템 호출을 통해 디버기 프로세스에 연결(attach)시켜 디버기 프로세스에 대한 디버깅 동작을 선점할 수 있다. 예를 들어, 컴퓨터 장치(200)가 유닉스 계열의 운영체제를 이용하는 경우, 시스템 호출 API인 ptrace를 통해 선점 프로세스가 디버기 프로세스에 연결될 수 있음을 앞서 설명하였다. 이처럼 컴퓨터 장치(200)는 운영체제에 따라 기 정의된 호출 방법에 기초하여 실행된 선점 프로세스가 디버기 프로세스에 연결되도록 할 수 있다. 선점 프로세스는 보호하고자 하는 컴퓨터 프로그램과 연관하여 생성된 프로세스를 디버기 프로세스로서 인식할 수 있으며, 인식된 디버기 프로세스의 프로세스 식별자(PID)를 통한 시스템 호출을 통해 운영체제로 하여금 선점 프로세스를 목적된 디버기 프로세스에 연결하도록 제어할 수 있다. 이미 설명한 바와 같이 선점 프로세스가 디버기 프로세스를 디버깅 동작에 대해 선점하였기 때문에 다른 디버거 프로세스는 디버기 프로세스에 연결될 수 없으며, 따라서 디버거가 차단된다.
도 5는 본 발명의 일실시예에 따른 선점 프로세스의 동작의 예를 도시한 흐름도이다. 도 5의 단계들(510 내지 560)은 선점 프로세스의 논리적인 동작을 설명하고 있으며, 실질적으로는 컴퓨터 장치(200)의 프로세서에 의해 컴퓨터 장치(200)가 수행하도록 야기되는 동작들일 수 있다. 도 5에서는 이러한 단계들(510 내지 560)이 도 4의 단계(420)에 포함되어 컴퓨터 장치(200)에 의해 수행되는 과정의 예를 설명한다.
단계(510)에서 컴퓨터 장치(200)는 디버기 프로세스와 연관하여 선점 프로세스의 실행 이전에 생성된 스레드를 찾아 시스템 호출을 통해 선점 프로세스와 연결시킬 수 있다. 앞서 설명한 바와 같이, 선점 프로세스는 디버기 프로세스에 의해 생성되는 스레드들 각각과 연결될 수 있으며, 선점 프로세스의 실행 이전에 디버기 프로세스에 의해 생성된 스레드가 존재할 수 있다. 이러한 스레드와의 연결을 위해 선점 프로세스는 선점 프로세스의 실행 이전에 생성된 스레드들을 찾아서 시스템 호출을 통해 해당 스레드들과 연결될 수 있다. 이때, 실시예에 따라 단계(510)는 생략될 수도 있다.
단계(520)에서 컴퓨터 장치(200)는 선점 프로세스가 디버기 프로세스로부터 전달받을 시그널을 대기하도록 선점 프로세스를 제어할 수 있다. 이는 논리적으로 선점 프로세스가 디버기 프로세스로부터 전달받을 시그널을 대기하는 과정일 수 있다.
단계(530)에서 컴퓨터 장치(200)는 디버기 프로세스로부터 선점 프로세스가 스레드 생성 시그널을 수신하는지 여부를 확인할 수 있다. 컴퓨터 장치(200)는 선점 프로세스가 디버기 프로세스로부터 스레드 생성 시그널을 수신하는 경우에 단계(540)를, 수신하지 않는 경우 단계(550)를 수행할 수 있다.
단계(540)에서 컴퓨터 장치(200)는 시스템 호출을 통해 디버기 프로세스에서 생성된 스레드에 선점 프로세스를 연결시킬 수 있다. 이는 선점 프로세스가 해당 스레드의 태스크에 대한 ptrace와 같은 시스템 호출을 통해 생성된 스레드에 연결되는 과정일 수 있다. 컴퓨터 장치(200)는 단계(540)를 통해 선점 프로세스와 생성된 스레드를 연결시킨 후 다시 단계(520)를 수행하여 선점 프로세스가 디버기 프로세스로부터의 시그널 신호의 수신을 대기하도록 제어할 수 있다.
단계(550)에서 컴퓨터 장치(200)는 디버기 프로세스로부터 선점 프로세스가 종료 시그널을 수신하는지 여부를 확인할 수 있다. 컴퓨터 장치(200)는 선점 프로세스가 디버기 프로세스로부터 종료 시그널을 수신하는 경우에 단계(560)을, 수신하지 않는 경우에는 다시 단계(520)을 수행하여 선점 프로세스가 디버기 프로세스로부터의 시그널 신호의 수신을 대기하도록 제어할 수 있다.
단계(560)에서 컴퓨터 장치(200)는 선점 프로세스에 연결된 스레드를 분리하고 선점 프로세스를 종료시킬 수 있다. 디버기 프로세스가 종료되는 경우, 디버기 프로세스를 선점하기 위한 선점 프로세스 역시 필요가 없어지기 때문에 선점 프로세스 역시 종료될 수 있다. 이때, 선점 프로세스는 디버기 프로세스의 종료 시그널을 수신함에 따라 디버기 프로세스의 스레드들과의 연결을 분리함으로써 안정적으로 종료될 수 있다.
이때, 도 5의 단계들을 통해 나타난 바와 같이 스레드 생성 시그널과 종료 시그널 이외의 디버깅 동작과 관련된 시그널들은 무시될 수 있다. 예를 들어, 선점 프로세스는 디버거 프로세스처럼 디버기 프로세스의 디버깅 동작을 선점하고 있으나, 실제로 디버거의 역할을 수행하는 것은 아니기 때문에 컴퓨터 장치(200)는 단계(520)에서 시그널 신호의 수신을 대기하면서 디버깅 동작과 관련된 다른 시그널들이 수신되는 경우, 다른 시그널들은 무시할 수 있다.
도 6은 본 발명의 일실시예에 따른 디버기 프로세스의 동작의 예를 도시한 흐름도이다. 도 6의 단계들(610 내지 650)은 디버기 프로세스의 논리적인 동작을 설명하고 있으며, 실질적으로는 컴퓨터 장치(200)의 프로세서에 의해 컴퓨터 장치(200)가 수행하도록 야기되는 동작들일 수 있다. 도 6에서는 단계들(610 내지 650)이 도 4의 단계(420)에 포함되어 컴퓨터 장치(200)에 의해 수행되는 과정의 예를 설명한다.
단계(610)에서 컴퓨터 장치(200)는 선점 프로세스로부터의 시그널을 처리하는 모니터 스레드를 생성할 수 있다. 모니터 스레드는 선점 프로세스로부터의 시그널을 처리할 수 있다.
단계(620)에서 컴퓨터 장치(200)는 디버기 프로세스가 선점 프로세스로부터 전달받을 시그널을 대기하도록 디버기 프로세스를 제어할 수 있다. 이는 논리적으로 모니터 스레드가 선점 프로세스로부터 전달받을 시그널을 대기하는 과정일 수 있다.
단계(630)에서 컴퓨터 장치(200)는 디버기 프로세스와 연관된 스레드를 생성하는 경우, 선점 프로세스로 스레드 생성 시그널을 전송할 수 있다. 이는 디버기 프로세스(또는 모니터 스레드)가 선점 프로세스로 디버기 프로세스에서 스레드가 생성되었음을 알리기 위한 스레드 생성 시그널을 전송하는 과정일 수 있다. 예를 들어, 디버기 프로세스는 도 5의 단계(530)에서 이러한 스레드 생성 시그널의 수신 여부를 확인할 수 있다.
단계(640)에서 컴퓨터 장치(200)는 디버기 프로세스가 선점 프로세스로부터 종료 시그널을 수신하는지 여부를 확인할 수 있다. 컴퓨터 장치(200)는 디버기 프로세스가 선점 프로세스로부터 종료 시그널을 수신하는 경우에 단계(650)을 수행할 수 있고, 수신하지 않는 경우 다시 단계(620)을 수행하여 디버기 프로세스가 선점 프로세스로부터 전달받을 시그널을 대기하도록 디버기 프로세스를 제어할 수 있다. 다시 말해, 모니터 스레드는 선점 프로세스로부터의 종료 시그널을 이외의 시그널들은 무시할 수 있다.
단계(650)에서 컴퓨터 장치(200)는 디버기 프로세스에 연결된 스레드를 분리하고 상기 디버기 프로세스를 종료시킬 수 있다. 이는 디버기 프로세스가 종료되는 과정일 수 있다. 다시 말해, 디버기 프로세스는 선점 프로세스로부터의 종료 시그널을 수신함에 따라 디버기 프로세스에 연결된 모든 스레드들을 분리한 후 안전하게 종료할 수 있다. 이는 선점 프로세스만이 먼저 종료되고 디버기 프로세스가 남아 다른 디버거에 의해 디버깅되는 것을 방지하기 위해 선점 프로세스가 종료되는 경우 디버기 프로세스 역시 종료시키기 위한 과정일 수 있다.
실시예에 따라 상호 디버깅 보호를 위해 디버기 프로세스도 역으로 선점 프로세스를 선점하여 디버기 프로세스와 선점 프로세스가 서로의 디버거 포트를 선점하는 상호 디버깅 보호의 경우를 고려할 수 있다. 이 경우, 디버기 프로세스 역시 선점 프로세스를 선점하기 위한 과정을 진행할 수 있으며, 선점 프로세스로부터 스레드 생성 시그널을 수신할 수 있다. 이때, 모니터 스레드는 선점 프로세스로부터의 스레드 생성 시그널 및 종료 시그널 이외의 시그널들을 무시할 수 있다. 예를 들어, 컴퓨터 장치(200)는 실행된 디버기 프로세스를 시스템 호출을 통해 선점 프로세스에 연결시켜 선점 프로세스에 대한 디버깅 동작을 선점함으로써, 선점 프로세스에 대한 디버거 프로세스의 접근을 막을 수 있다.
또한, 상호 디버깅 보호를 처리하는 상태에서 선점 프로세스가 외부의 어떤 요인에 의해 종료되는 경우(일례로, 비정상적으로 종료되는 경우)에도, 디버기 프로세스는 선점 프로세스의 종료 시그널을 수신해서 선점 프로세스의 종료 여부를 알 수 있으며, 선점 프로세스를 다시 실행시켜 디버거 포트를 재선점함으로써 보호 상태를 유지할 수 있다. 예를 들어, 컴퓨터 장치(200)는 단계(420)에서 디버기 프로세스가 선점 프로세스로부터 종료 시그널을 수신하는 경우, 디버기 프로세스에 대한 포크(fork)를 통해 디버기 프로세스와 동일한 권한의 다른 선점 프로세스를 실행시키고, 실행된 다른 선점 프로세스를 시스템 호출을 통해 디버기 프로세스에 연결시켜 디버기 프로세스에 대한 디버깅 동작의 선점을 유지할 수 있다.
역으로, 디버기 프로세스가 외부의 어떤 요인에 의해 종료되는 경우(즉, 비정상적으로 종료되는 경우)에도, 선점 프로세스는 디버기 프로세스의 종료 시그널을 수신해서 디버기 프로세스의 종료 여부 및/또는 비정상적 종료 여부를 판단할 수 있으며, 이 판단에 따라 디버기 프로세스가 재실행되도록 할 수 있다. 예를 들어, 컴퓨터 장치(200)는 단계(420)에서 선점 프로세스가 디버기 프로세스로부터 종료 시그널을 수신하여 디버기 프로세스가 비정상적으로 종료되었음을 판단하고, 디버기 프로세스를 재실행시킬 수 있다.
이상에서와 같이, 본 발명의 실시예들에 따르면, 보호하고자 하는 프로그램의 프로세스를 선점하여 디버거(debugger) 프로세스가 디버기(debuggee) 프로세스에 접속(attach)하지 못하도록 함으로써, 디버거를 차단할 수 있다.
이상에서 설명된 시스템 또는 장치는 하드웨어 구성요소, 소프트웨어 구성요소 또는 하드웨어 구성요소 및 소프트웨어 구성요소의 조합으로 구현될 수 있다. 예를 들어, 실시예들에서 설명된 장치 및 구성요소는, 예를 들어, 프로세서, 콘트롤러, ALU(arithmetic logic unit), 디지털 신호 프로세서(digital signal processor), 마이크로컴퓨터, FPGA(field programmable gate array), PLU(programmable logic unit), 마이크로프로세서, 또는 명령(instruction)을 실행하고 응답할 수 있는 다른 어떠한 장치와 같이, 하나 이상의 범용 컴퓨터 또는 특수 목적 컴퓨터를 이용하여 구현될 수 있다. 처리 장치는 운영 체제(OS) 및 상기 운영 체제 상에서 수행되는 하나 이상의 소프트웨어 어플리케이션을 수행할 수 있다. 또한, 처리 장치는 소프트웨어의 실행에 응답하여, 데이터를 접근, 저장, 조작, 처리 및 생성할 수도 있다. 이해의 편의를 위하여, 처리 장치는 하나가 사용되는 것으로 설명된 경우도 있지만, 해당 기술분야에서 통상의 지식을 가진 자는, 처리 장치가 복수 개의 처리 요소(processing element) 및/또는 복수 유형의 처리 요소를 포함할 수 있음을 알 수 있다. 예를 들어, 처리 장치는 복수 개의 프로세서 또는 하나의 프로세서 및 하나의 콘트롤러를 포함할 수 있다. 또한, 병렬 프로세서(parallel processor)와 같은, 다른 처리 구성(processing configuration)도 가능하다.
소프트웨어는 컴퓨터 프로그램(computer program), 코드(code), 명령(instruction), 또는 이들 중 하나 이상의 조합을 포함할 수 있으며, 원하는 대로 동작하도록 처리 장치를 구성하거나 독립적으로 또는 결합적으로(collectively) 처리 장치를 명령할 수 있다. 소프트웨어 및/또는 데이터는, 처리 장치에 의하여 해석되거나 처리 장치에 명령 또는 데이터를 제공하기 위하여, 어떤 유형의 기계, 구성요소(component), 물리적 장치, 가상 장치(virtual equipment), 컴퓨터 저장 매체 또는 장치에 구체화(embody)될 수 있다. 소프트웨어는 네트워크로 연결된 컴퓨터 시스템 상에 분산되어서, 분산된 방법으로 저장되거나 실행될 수도 있다. 소프트웨어 및 데이터는 하나 이상의 컴퓨터 판독 가능 기록 매체에 저장될 수 있다.
실시예에 따른 방법은 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다. 상기 컴퓨터 판독 가능 매체는 프로그램 명령, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다. 상기 매체에 기록되는 프로그램 명령은 실시예를 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다. 컴퓨터 판독 가능 기록 매체의 예에는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체(magnetic media), CD-ROM, DVD와 같은 광기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다. 프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함한다.
이상과 같이 실시예들이 비록 한정된 실시예와 도면에 의해 설명되었으나, 해당 기술분야에서 통상의 지식을 가진 자라면 상기의 기재로부터 다양한 수정 및 변형이 가능하다. 예를 들어, 설명된 기술들이 설명된 방법과 다른 순서로 수행되거나, 및/또는 설명된 시스템, 구조, 장치, 회로 등의 구성요소들이 설명된 방법과 다른 형태로 결합 또는 조합되거나, 다른 구성요소 또는 균등물에 의하여 대치되거나 치환되더라도 적절한 결과가 달성될 수 있다.
그러므로, 다른 구현들, 다른 실시예들 및 특허청구범위와 균등한 것들도 후술하는 특허청구범위의 범위에 속한다.

Claims (18)

  1. 컴퓨터와 결합되어 디버거 차단 방법을 컴퓨터에 실행시키기 위해 컴퓨터 판독 가능한 기록매체에 저장된 컴퓨터 프로그램에 있어서,
    상기 디버거 차단 방법은,
    상기 컴퓨터 프로그램에 대한 디버깅 동작의 보호를 위해 상기 컴퓨터 프로그램과 연관된 디버기(debuggee) 프로세스가 실행됨에 응답하여 상기 디버기 프로세스를 선점하기 위한 선점 프로세스를 실행시키는 단계; 및
    상기 실행된 선점 프로세스를 시스템 호출을 통해 상기 디버기 프로세스에 연결시켜 상기 디버기 프로세스에 대한 디버깅 동작을 선점하는 단계
    를 포함하는, 컴퓨터 프로그램.
  2. 제1항에 있어서,
    상기 실행시키는 단계는,
    상기 디버기 프로세스의 실행 시 상기 디버기 프로세스에 대한 포크(fork)를 통해 상기 디버기 프로세스와 동일한 권한의 상기 선점 프로세스를 실행시키는 단계
    를 포함하는, 컴퓨터 프로그램.
  3. 제1항에 있어서,
    상기 선점하는 단계는,
    상기 선점 프로세스에서 상기 디버기 프로세스로부터 전달받을 시그널을 대기하는 단계;
    상기 디버기 프로세스로부터 상기 선점 프로세스가 스레드 생성 시그널을 수신하는 경우, 시스템 호출을 통해 상기 디버기 프로세스에서 생성된 스레드에 상기 선점 프로세스를 연결시키는 단계; 및
    상기 디버기 프로세스로부터 종료 시그널을 수신하는 경우, 상기 선점 프로세스에 연결된 스레드를 분리하고 상기 선점 프로세스를 종료시키는 단계
    를 포함하는, 컴퓨터 프로그램.
  4. 제3항에 있어서,
    상기 선점하는 단계는,
    상기 선점 프로세스의 실행 이전에 상기 디버기 프로세스와 연관하여 생성된 스레드를 찾아 시스템 호출을 통해 상기 선점 프로세스와 연결시키는 단계
    를 더 포함하는, 컴퓨터 프로그램.
  5. 제3항에 있어서,
    상기 대기하는 단계는,
    상기 스레드 생성 시그널 및 상기 종료 시그널 이외의 상기 디버깅 동작과 관련된 시그널을 무시하는, 컴퓨터 프로그램.
  6. 제1항에 있어서,
    상기 선점하는 단계는,
    상기 디버기 프로세스에서 상기 선점 프로세스로부터 전달받을 시그널을 대기하는 단계;
    상기 디버기 프로세스와 연관된 스레드를 생성하는 경우, 상기 선점 프로세스로 스레드 생성 시그널을 전송하는 단계; 및
    상기 선점 프로세스로부터 종료 시그널을 수신하는 경우, 상기 디버기 프로세스에 연결된 스레드를 분리하고 상기 디버기 프로세스를 종료시키는 단계
    를 포함하는, 컴퓨터 프로그램.
  7. 제6항에 있어서,
    상기 선점하는 단계는,
    상기 선점 프로세스로부터의 시그널을 처리하는 모니터 스레드를 생성하는 단계
    를 더 포함하는, 컴퓨터 프로그램.
  8. 제6항에 있어서,
    상기 대기하는 단계는,
    상기 종료 시그널 이외에 상기 디버깅 동작과 관련된 시그널을 무시하는, 컴퓨터 프로그램.
  9. 제1항에 있어서,
    상기 디버거 차단 방법은,
    상기 디버기 프로세스를 시스템 호출을 통해 상기 선점 프로세스에 연결시켜 상기 선점 프로세스에 대한 디버깅 동작을 선점하는 단계
    를 더 포함하는, 컴퓨터 프로그램.
  10. 제1항에 있어서,
    상기 디버거 차단 방법은,
    상기 선점 프로세스로부터 종료 시그널을 수신하는 경우, 상기 디버기 프로세스를 선점하기 위한 다른 선점 프로세스를 실행시키고, 상기 실행된 다른 선점 프로세스를 시스템 호출을 통해 상기 디버기 프로세스에 연결시켜 상기 디버기 프로세스에 대한 디버깅 동작의 선점을 유지하는 단계
    를 더 포함하는, 컴퓨터 프로그램.
  11. 제1항에 있어서,
    상기 디버거 차단 방법은,
    상기 선점 프로세스에서 상기 디버기 프로세스로부터 종료 시그널을 수신하는 경우, 상기 종료 시그널에 기초하여 상기 디버기 프로세스를 재실행시키는 단계
    를 더 포함하는, 컴퓨터 프로그램.
  12. 컴퓨터의 프로세서에 의해 실행되는 디버거 차단 방법에 있어서,
    컴퓨터 프로그램에 대한 디버깅 동작의 보호를 위해 상기 컴퓨터 프로그램과 연관된 디버기(debuggee) 프로세스가 실행됨에 응답하여 상기 디버기 프로세스를 선점하기 위한 선점 프로세스를 실행시키는 단계; 및
    상기 실행된 선점 프로세스를 시스템 호출을 통해 상기 디버기 프로세스에 연결시켜 상기 디버기 프로세스에 대한 디버깅 동작을 선점하는 단계
    를 포함하는 디버거 차단 방법.
  13. 제12항에 있어서,
    상기 실행시키는 단계는,
    상기 디버기 프로세스의 실행 시 상기 디버기 프로세스에 대한 포크(fork)를 통해 상기 디버기 프로세스와 동일한 권한의 상기 선점 프로세스를 실행시키는 단계
    를 포함하는, 디버거 차단 방법.
  14. 제12항에 있어서,
    상기 선점하는 단계는,
    상기 선점 프로세스에서 상기 디버기 프로세스로부터 전달받을 시그널을 대기하는 단계;
    상기 디버기 프로세스로부터 상기 선점 프로세스가 스레드 생성 시그널을 수신하는 경우, 시스템 호출을 통해 상기 디버기 프로세스에서 생성된 스레드에 상기 선점 프로세스를 연결시키는 단계;
    상기 디버기 프로세스로부터 종료 시그널을 수신하는 경우, 상기 선점 프로세스에 연결된 스레드를 분리하고 상기 선점 프로세스를 종료시키는 단계; 및
    상기 스레드 생성 시그널 및 상기 종료 시그널 이외의 시그널을 무시하는 단계
    를 포함하는, 디버거 차단 방법.
  15. 제14항에 있어서,
    상기 선점하는 단계는,
    상기 선점 프로세스의 실행 이전에 상기 디버기 프로세스와 연관하여 생성된 스레드를 찾아 시스템 호출을 통해 연결하는 단계
    를 더 포함하는, 디버거 차단 방법.
  16. 제12항에 있어서,
    상기 선점하는 단계는,
    상기 디버기 프로세스에서 상기 선점 프로세스로부터 전달받을 시그널을 대기하는 단계;
    상기 디버기 프로세스와 연관된 스레드를 생성하는 경우, 상기 선점 프로세스로 스레드 생성 시그널을 전송하는 단계;
    상기 선점 프로세스로부터 종료 시그널을 수신하는 경우, 상기 디버기 프로세스에 연결된 스레드를 분리하고 상기 디버기 프로세스를 종료시키는 단계; 및
    상기 종료 시그널 이외의 시그널을 무시하는 단계
    를 포함하는 디버거 차단 방법.
  17. 제16항에 있어서,
    상기 선점하는 단계는,
    상기 선점 프로세스로부터의 시그널을 처리하는 모니터 스레드를 생성하는 단계
    를 포함하는 디버거 차단 방법.
  18. 제12항 내지 제17항 중 어느 한 항의 방법을 컴퓨터에 실행시키기 위한 컴퓨터 프로그램이 기록되어 있는 컴퓨터 판독 가능한 기록매체.
PCT/KR2018/006499 2018-06-08 2018-06-08 프로그램 보호를 위한 디버거 차단 방법 및 시스템 WO2019235664A1 (ko)

Priority Applications (2)

Application Number Priority Date Filing Date Title
KR1020207028367A KR102623022B1 (ko) 2018-06-08 2018-06-08 프로그램 보호를 위한 디버거 차단 방법 및 시스템
PCT/KR2018/006499 WO2019235664A1 (ko) 2018-06-08 2018-06-08 프로그램 보호를 위한 디버거 차단 방법 및 시스템

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/KR2018/006499 WO2019235664A1 (ko) 2018-06-08 2018-06-08 프로그램 보호를 위한 디버거 차단 방법 및 시스템

Publications (1)

Publication Number Publication Date
WO2019235664A1 true WO2019235664A1 (ko) 2019-12-12

Family

ID=68769626

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2018/006499 WO2019235664A1 (ko) 2018-06-08 2018-06-08 프로그램 보호를 위한 디버거 차단 방법 및 시스템

Country Status (2)

Country Link
KR (1) KR102623022B1 (ko)
WO (1) WO2019235664A1 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112948241A (zh) * 2021-02-09 2021-06-11 北京奇艺世纪科技有限公司 应用程序的反调试方法、装置、电子设备及存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20090070585A (ko) * 2007-12-27 2009-07-01 주식회사 안철수연구소 가상 환경에서의 디버깅 방지 장치 및 방법
KR20140005978A (ko) * 2011-01-28 2014-01-15 에이알엠 리미티드 디버그 예외 생성 제어
KR101519845B1 (ko) * 2013-11-14 2015-05-13 (주)잉카엔트웍스 안티디버깅 방법
KR101583545B1 (ko) * 2015-07-22 2016-01-08 주식회사 엔에스에이치씨 상호 디버깅 감시를 이용한 모바일 단말기의 어플리케이션의 보안을 향상시키는 보안 제공 방법
KR101626967B1 (ko) * 2015-01-21 2016-06-02 넷마블게임즈 주식회사 해킹 방지를 위한 어플리케이션의 동작 방법 및 장치

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010211310A (ja) * 2009-03-06 2010-09-24 Toshiba Corp デバッグ装置及びデバッグ方法
KR101671336B1 (ko) * 2014-02-27 2016-11-16 (주)스마일게이트엔터테인먼트 코드 분리가 적용된 언패킹 보호 방법 및 장치

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20090070585A (ko) * 2007-12-27 2009-07-01 주식회사 안철수연구소 가상 환경에서의 디버깅 방지 장치 및 방법
KR20140005978A (ko) * 2011-01-28 2014-01-15 에이알엠 리미티드 디버그 예외 생성 제어
KR101519845B1 (ko) * 2013-11-14 2015-05-13 (주)잉카엔트웍스 안티디버깅 방법
KR101626967B1 (ko) * 2015-01-21 2016-06-02 넷마블게임즈 주식회사 해킹 방지를 위한 어플리케이션의 동작 방법 및 장치
KR101583545B1 (ko) * 2015-07-22 2016-01-08 주식회사 엔에스에이치씨 상호 디버깅 감시를 이용한 모바일 단말기의 어플리케이션의 보안을 향상시키는 보안 제공 방법

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112948241A (zh) * 2021-02-09 2021-06-11 北京奇艺世纪科技有限公司 应用程序的反调试方法、装置、电子设备及存储介质
CN112948241B (zh) * 2021-02-09 2024-02-06 北京奇艺世纪科技有限公司 应用程序的反调试方法、装置、电子设备及存储介质

Also Published As

Publication number Publication date
KR102623022B1 (ko) 2024-01-09
KR20210006882A (ko) 2021-01-19

Similar Documents

Publication Publication Date Title
CN107690645B (zh) 使用解释器虚拟机的行为恶意软件检测
WO2015072689A1 (ko) 안티디버깅 방법
CN108475217A (zh) 用于审计虚拟机的系统及方法
US10013553B2 (en) Protecting software application
EP3436947B1 (en) Secure driver platform
WO2017026738A1 (ko) 어플리케이션의 코드를 보호하기 위한 시스템 및 방법
CN108334779A (zh) 一种应用的处理方法、设备和计算存储介质
Schiffman et al. The smm rootkit revisited: Fun with usb
WO2023123850A1 (zh) 一种固件可信根的实现方法、装置、设备和可读存储介质
US7788724B2 (en) System and method for detecting malicious applications
CN112231198B (zh) 一种恶意进程调试方法、装置、电子设备及介质
WO2019004638A1 (ko) 전자식 제어기 보안 기능 설정 방법 및 시스템
CN110276214B (zh) 一种基于从机访问保护的双核可信soc架构及方法
WO2019235664A1 (ko) 프로그램 보호를 위한 디버거 차단 방법 및 시스템
US10867030B2 (en) Methods and devices for executing trusted applications on processor with support for protected execution environments
US9164813B2 (en) Using a debug engine to identify threads that wait for a mutex
WO2020111482A1 (ko) 프로그램 실행 컨텍스트 기반의 빅데이터를 활용한 역공학 방법 및 시스템
WO2023229066A1 (ko) 리버싱 엔진 기반의 문서 행위를 판단하기 위한 방법 및 이를 위한 장치
WO2023027228A1 (ko) 응용프로그램의 실행 흐름 변경을 통한 비실행 파일의 악성 탐지 방법 및 장치
CN115344834A (zh) 应用安全运行方法、装置、电子设备和计算机可读介质
WO2019231000A1 (ko) 프로그램 보호를 위한 자바 디버거 차단 방법 및 시스템
WO2017115976A1 (ko) 접근성 이벤트를 이용한 유해 사이트 차단 방법 및 장치
WO2015156627A1 (ko) 스마트 폰의 듀얼 운영체제를 실행하는 방법
CN114868120A (zh) 用于阻止外部调试器应用分析软件程序的代码的方法
WO2019235663A1 (ko) 네이티브 라이브러리를 보호하는 방법 및 시스템

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18921420

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18921420

Country of ref document: EP

Kind code of ref document: A1