5장-4 악성 코드의 안티 디버깅 루틴 무력화

악성 코드가 디버거를 이용해 자신의 동작 방식을 분석하지 못하게 차단하려고

안티 디버깅 루틴을 사용한다고 한다.

안티 디버깅 예

가장 널리 사용되는 안티 디버깅 기법

kernel32.dll 의 IsDebuggerPresent 함수를 사용하는 것이다.

이 함수는 파라미터 없이 사용되며 디버거가 현재 프로세스에 붙여져 있으면 1을 반환하고 그렇지 않으면 0을 반환한다.

IsDebuggerPresent 함수를 디스어셈블한 코드

PyCommand에 포함하거나 Immunity 디버거의 파이썬 셸에서 밑의 코드를 실행한다.

그러면 안티 디버깅이 우회될 것이다.