본문으로 바로가기

SEH를 이용한 안티 디버깅 - INT3
예외 기반 안티 디버깅은 예외를 발생 시키고, 예외 처리기(SEH, VEH, ..)에 중요한 루틴을 숨기거나 안티 디버깅 유무를 판단하여 코드의 흐름(EIP)을 변경시키는 방법
일반적인 실행 인 경우 예외가 발생되면 예외 처리기에 의해 실행 흐름이 정상적으로 진행되지만, 디버거에 의한 실행일 경우 예외를 디버거가 받게 되고, INT3 예외인 경우 디버거의 처리에 의해 예외 처리기가 실행되지 않은 상태에서 코드가 진행됨 
SEH를 이용할 경우 예외 기반 안티 디버깅을 수행할 수 있으며, 직접 핸들러를 등록하거나 __try, __except를 이용하여 구현
INT3는 SOFTWARE_BREAKPOINT 예외

 

예외 종류 정의

 

소스 코드


안티 디버깅 우회 방법
1. OllyDbg인 경우 : Options -> Debugging options -> Exceptions -> INT3 breaks 체크(INT3에 대한 예외 무시 - 소프트웨어 자체적으로 처리)
2. 예외 처리기에 주요 루틴이 있어 분석을 해야될 경우는 Shift + F8로 예외 처리 루틴에 따라 들어가 예외 처리기로 진입하여 분석(분석 방법은 SEH 분석 방법에 대한 글에서 참고)