[PRJ][게임보안]0x03 2018 CodeEngn Conference 15, 게임핵과 보안솔루션의 전쟁 [강명석]

카페 조사 필요할거 같다.

• 게임이네; https://cafe.naver.com/uplink
• https://namu.wiki/w/Uplink

치트엔진 사용법 정리해보기

BypassMate 핵툴 이름인듯

CRC 개념 (분석할때 치트엔진을 주로 이용한 듯)

우회할때 중요한 요소

핵툴에서 사용하는 우회 코드들을 치트 엔진으로 볼 수 있는 것으로 보임

DLL Injection 은 기본

PACKET 을 이용한 공격도 있음

후킹

1. connect 함수를 후킹
2. 내 프로그램의 소켓으로 연결
3. 내 소켓에서 패킷을 복호화하고 원하는 대로 패킷을 변조
4. 다시 암호화 하여 원래 목적지로 전송

드라이버 쪽 코드로 잘 보면 이용할 수 있는듯 (결국 커널쪽 지식도 많이 필요함)

VTI에 native 64bits signed keattachprocess

ref)

http://sone.tistory.com/242

http://wezz.tistory.com/m/98?category=143057

keattachprocess은 API 

• OpenProcess를 후킹할때 사용한다. 
• 일반적으로 NtOpenProcess를 후킹할때 는 NtReadVirtualMemory / NtWriteVirtualMemory/NtProtecVirtualMemory/KeAttachProcess를 후킹하면 프로세스에 접근 가능

https://m.blog.naver.com/PostView.nhn?blogId=startgoora&logNo=130027296448&proxyReferer=https%3A%2F%2Fwww.google.co.kr%2F

루트킷 감지 툴

• Rootkit Unhooker, IceSword, GMER… 

Invisible Hooking 

memoryedit tool

memoryedit-startgoora.zip