원본 기록 — Detours·사용자 모드 안티치트 제작 (2024 당시)

1. OpenProcess() 함수로 실행중인 Victim 프로세스 (우리는 게임)를 연다.

2. VirtualAllocEx() 함수로 Victim 프로세스 에 공간을 할당한다.

3. WriteProcessMemory()할당된 공간에 원하는 문자열이나 바이트를 주입시킨다. ( ex . “evil.dll”의 절대 경로 )

4. GetModuleHandle() 로 Kernel32 모듈을 가져온다.
Kernel32.dll 이란?
Windows 운영 체제의 핵심 구성 요소 중 하나인 동적 링크 라이브러리(DLL) 파일이다.
즉, 메모리 관리 프로세스 및 스레드 관리 , 파일 입출력 등등 응용프로그램이 정상적으로 작동하기 위해 반드시 필요함
 
실제로 간단한 hello world\n 을 출력하는 코드를 작성해도 Windbg로 모듈을 보면



figure 3 . Windbg example
 
Kernel32가 있는 것을 확인 할 수 있다.
 

5. GetProcAddress() 로 Kernel32 안에 존재하는 LoadLibraryA 함수의 주소를 가져온다.
 
LoadLibraryA 함수란?
Windows API 함수 중 하나로, 특정 동적 링크 라이브러리(DLL) 파일을 로드하는 데 사용됩니다.
 

6. CreateRemoteThread() 로 타겟 프로세스의 원격스레드를 생성하고 LoadLibraryA 함수를 실행시킨다 이때 아까 프로세스 내에 주입시킨 문자열을 사용한다. ( ex . “evil.dll”의 절대 경로 )
따라서 evil.dll 을 LoadLibraryA 로 dll 을 프로세스의 올릴 수 있는 것이다.
 

CreateRemoteThread : how to make anti-cheat

1. Hooking을 통해 LoadLibraryA 사용 제한

2. 핵에서 자주 쓰이는 어셈블리어를 프로세스 내에서 탐지

3. 게임 외부에서 핵의 프로세스를 탐지

Hooking

1. IAT 후킹 (Import Address Table Hooking)

2. EAT 후킹 (Export Address Table Hooking)

3. 인라인 후킹 (Inline Hooking)

Detours 라이브러리

SET DETOURS_TARGET_PROCESSOR=X64
CALL "C:\Program Files (x86)\Microsoft Visual Studio\2017\Enterprise\VC\Auxiliary\Build\vcvars64.bat"
NMAKE

AntiCheat 1차 구현

코드 구현

BOOL APIENTRY DllMain(HMODULE hModule, DWORD ul_reason_for_call, LPVOID lpReserved) {
	BOOL Init_Antidbg = false;
	Known_dll_init();
	switch (ul_reason_for_call) {
	case DLL_PROCESS_ATTACH:
		//printf("Anticheat working now.\n");
		//fflush(stdout);
		MessageBox(NULL, TEXT("Anticheat working now."), TEXT("Anticheat_WG"), MB_OK);
		HookFunctions();
		

		// FindWindow를 사용하여 WinDbg 창 검색
		if (IsWinDbgRunning()) {
			Init_Antidbg = true;
			MessageBox(NULL, TEXT("WinDbg detected!"), TEXT("Anticheat_WG"), MB_OK);
		}
		else if (IsCheatEngineRunning()) {
			Init_Antidbg = true;
			MessageBox(NULL, TEXT("CheatEngine detected!"), TEXT("Anticheat_WG"), MB_OK);

		}
		else {
			SetDebuggerCheckTimer(); // 디버거 체크 시작
		}

		break;
	case DLL_PROCESS_DETACH:
		//printf("Anticheat ending now.\n");
		//fflush(stdout);
		MessageBox(NULL, TEXT("Anticheat ending."), TEXT("Anticheat_WG"), MB_OK);
		UnhookFunctions();
		if (!Init_Antidbg)
			KillTimer(NULL, 0); // 디버거 체크 끝!
		break;
	}
	return TRUE;
}

void Known_dll_init() {

	DLLset.insert("AkSoundSeedAir.dll");
	DLLset.insert("AkRoomVerb.dll");
	DLLset.insert("AkSilenceGenerator.dll");
	DLLset.insert("AkPeakLimiter.dll");
	DLLset.insert("AkTimeStretch.dll");
	DLLset.insert("AkGain.dll");
	DLLset.insert("MasteringSuite.dll");
	DLLset.insert("AkToneGen.dll");
	DLLset.insert("AkFlanger.dll");
	DLLset.insert("AkRecorder.dll");
	DLLset.insert("AkSineTone.dll");
	DLLset.insert("AkSynthOne.dll");
	DLLset.insert("AkStereoDelay.dll");
	DLLset.insert("AkMatrixReverb.dll");
	DLLset.insert("AkParametricEQ.dll");
	DLLset.insert("AkExpander.dll");
	DLLset.insert("AkGuitarDistortion.dll");
	DLLset.insert("boost_thread-vc142-mt-x64-1_70.dll");
	DLLset.insert("boost_python39-vc142-mt-x64-1_70.dll");
	DLLset.insert("boost_atomic-vc142-mt-x64-1_70.dll");
	DLLset.insert("boost_system-vc142-mt-x64-1_70.dll");
	DLLset.insert("libvorbisfile_64.dll");
	DLLset.insert("libogg_64.dll");
	DLLset.insert("dvp.dll");
	DLLset.insert("boost_chrono-vc142-mt-x64-1_70.dll");
	DLLset.insert("boost_iostreams-vc142-mt-x64-1_70.dll");
	DLLset.insert("McDSP.dll");
	DLLset.insert("AkSoundEngineDLL.dll");
	DLLset.insert("Auro.dll");
	DLLset.insert("iZotope.dll");
	DLLset.insert("AkReflect.dll");
	DLLset.insert("nvngx_dlss.dll");
	DLLset.insert("OpenImageDenoise.dll");
	DLLset.insert("tbb.dll");
	DLLset.insert("tbb12.dll");
	DLLset.insert("D3D12Core.dll");
	DLLset.insert("boost_program_options-vc142-mt-x64-1_70.dll");
	DLLset.insert("boost_regex-vc142-mt-x64-1_70.dll");
	DLLset.insert("tbb.dll");
	DLLset.insert("EOSSDK-Win64-Shipping.dll");
	DLLset.insert("xaudio2_9redist.dll");
	DLLset.insert("libvorbis_64.dll");
	DLLset.insert("steam_api64.dll");
	DLLset.insert("GFSDK_Aftermath_Lib.x64.dll");
	DLLset.insert("dbghelp.dll");
	DLLset.insert("libEGL.dll");
	DLLset.insert("libGLESv2.dll");
	DLLset.insert("libcef.dll");
	DLLset.insert("libEGL.dll");
	DLLset.insert("libGLESv2.dll");
	DLLset.insert("chrome_elf.dll");
	DLLset.insert("d3dcompiler_47.dll");
	DLLset.insert("AkCompressor.dll");
	DLLset.insert("AkHarmonizer.dll");
	DLLset.insert("AkDelay.dll");
	DLLset.insert("AkAudioInput.dll");
	DLLset.insert("AkTremolo.dll");
	DLLset.insert("AkPitchShifter.dll");
	DLLset.insert("Ak3DAudioBedMixer.dll");


}

// Anticheat가 삽입 될때
void HookFunctions() {
	DetourRestoreAfterWith();  // Detours 초기화
	DetourTransactionBegin();
	DetourUpdateThread(GetCurrentThread());

	fflush(stdout);
	//Real_CreateRemoteThread 는 원래 RemoteThread 함수의 주소
	Real_CreateRemoteThread = (CreateRemoteThread_t)GetProcAddress(GetModuleHandle(TEXT("kernel32.dll")), "CreateRemoteThread");
	if (Real_CreateRemoteThread != NULL) {

		//printf("Real_CreateRemoteThread address: %p\n", (void*)Real_CreateRemoteThread);
		//fflush(stdout);


		char message[256];
		sprintf_s(message, sizeof(message), "Real_CreateRemoteThread address: %p", (void*)Real_CreateRemoteThread);
		MessageBoxA(NULL, message, "Anticheat_WG", MB_OK);


		LONG error = DetourAttach(&(PVOID&)Real_CreateRemoteThread, (PVOID)Hooked_CreateRemoteThread);
		if (error == NO_ERROR) {
			//printf("DetourAttach succeeded.\n");
			//fflush(stdout);
		}
		else {
			MessageBox(NULL, TEXT(" Detour Attach Failed."), TEXT("Anticheat_WG Error"), MB_OK);
		}
	}

	Real_LoadLibraryA = (LoadLibraryA_t)GetProcAddress(GetModuleHandle(TEXT("kernel32.dll")), "LoadLibraryA");
	if (Real_LoadLibraryA != NULL) {

		//printf("Real_LoadLibraryA address: %p\n", (void*)Real_LoadLibraryA);
		//fflush(stdout);

		char message[256];
		sprintf_s(message, sizeof(message), "Real_LoadLibraryA address: %p", (void*)Real_LoadLibraryA);
		MessageBoxA(NULL, message, "Anticheat_WG", MB_OK);

		LONG error = DetourAttach(&(PVOID&)Real_LoadLibraryA, (PVOID)Hooked_LoadLibraryA);
		if (error == NO_ERROR) {
			//printf("DetourAttach for LoadLibraryA succeeded.\n");
			//fflush(stdout);
		}
		else {
			MessageBox(NULL, TEXT(" Detour Attach Failed."), TEXT("Anticheat_WG Error"), MB_OK);
		}
	}

	DetourTransactionCommit();
}

	DetourRestoreAfterWith();  // Detours 초기화
	DetourTransactionBegin();
	DetourUpdateThread(GetCurrentThread());

Real_CreateRemoteThread = (CreateRemoteThread_t)GetProcAddress(GetModuleHandle(TEXT("kernel32.dll")), "CreateRemoteThread");
Real_LoadLibraryA = (LoadLibraryA_t)GetProcAddress(GetModuleHandle(TEXT("kernel32.dll")), "LoadLibraryA");

LONG error = DetourAttach(&(PVOID&)Real_CreateRemoteThread, (PVOID)Hooked_CreateRemoteThread);
LONG error = DetourAttach(&(PVOID&)Real_LoadLibraryA, (PVOID)Hooked_LoadLibraryA);

DetourTransactionCommit();

Hook 함수

HANDLE WINAPI Hooked_CreateRemoteThread(
	HANDLE hProcess,
	LPSECURITY_ATTRIBUTES lpThreadAttributes,
	SIZE_T dwStackSize,
	LPTHREAD_START_ROUTINE lpStartAddress,
	LPVOID lpParameter,
	DWORD dwCreationFlags,
	LPDWORD lpThreadId
) {

	MessageBox(NULL, TEXT("CreateRemoteThread called! Blocking this call By Anticheat_WG"), TEXT("Anticheat_WG"), MB_OK);
	return NULL;
}

HMODULE WINAPI Hooked_LoadLibraryA(LPCSTR lpLibFileName) {
	std::string dllname(lpLibFileName);
	if (DLLset.find(dllname) == DLLset.end()) {

		MessageBox(NULL, TEXT("LoadLibraryA called! Blocking this call By Anticheat_WG"), TEXT("Anticheat_WG"), MB_OK);
		return NULL;
	}
	else {
		return Real_LoadLibraryA(lpLibFileName);
	}
	
}

	if (DLLset.find(dllname) == DLLset.end()) {

		MessageBox(NULL, TEXT("LoadLibraryA called! Blocking this call By Anticheat_WG"), TEXT("Anticheat_WG"), MB_OK);
		return NULL;
	}
	else {
		return Real_LoadLibraryA(lpLibFileName);
	}

안티치트 적용 ( with. 핵 개발팀 안현진님 )

AntiCheat 2차 구현

코드 분석

	Real_LoadLibraryA = (LoadLibraryA_t)GetProcAddress(GetModuleHandle(TEXT("kernel32.dll")), "LoadLibraryA");
	if (Real_LoadLibraryA != NULL) {

		//printf("Real_LoadLibraryA address: %p\n", (void*)Real_LoadLibraryA);
		//fflush(stdout);

		char message[256];
		sprintf_s(message, sizeof(message), "Real_LoadLibraryA address: %p", (void*)Real_LoadLibraryA);
		MessageBoxA(NULL, message, "Anticheat_WG", MB_OK);

		LONG error = DetourAttach(&(PVOID&)Real_LoadLibraryA, (PVOID)Hooked_LoadLibraryA);
		if (error == NO_ERROR) {
			//printf("DetourAttach for LoadLibraryA succeeded.\n");
			//fflush(stdout);
		}
		else {
			MessageBox(NULL, TEXT(" Detour Attach Failed."), TEXT("Anticheat_WG Error"), MB_OK);
		}
	}





	Real_LoadLibraryW = (LoadLibraryW_t)GetProcAddress(GetModuleHandle(TEXT("kernel32.dll")), "LoadLibraryW");
	if (Real_LoadLibraryW != NULL) {


		char message[256];
		sprintf_s(message, sizeof(message), "Real_LoadLibraryW address: %p", (void*)Real_LoadLibraryW);
		MessageBoxA(NULL, message, "Anticheat_WG", MB_OK);

		LONG error = DetourAttach(&(PVOID&)Real_LoadLibraryW, (PVOID)Hooked_LoadLibraryA);
		if (error == NO_ERROR) {

		}
		else {
			//MessageBox(NULL, TEXT(" Detour Attach Failed."), TEXT("Anticheat_WG Error"), MB_OK);
		}
	}


	Real_LoadLibraryExA = (LoadLibraryExA_t)GetProcAddress(GetModuleHandle(TEXT("kernel32.dll")), "LoadLibraryExA");
	if (LoadLibraryExA != NULL) {


		char message[256];
		sprintf_s(message, sizeof(message), "Real_LoadLibraryExA address: %p", (void*)Real_LoadLibraryExA);
		MessageBoxA(NULL, message, "Anticheat_WG", MB_OK);

		LONG error = DetourAttach(&(PVOID&)Real_LoadLibraryExA, (PVOID)Hooked_LoadLibraryA);
		if (error == NO_ERROR) {

		}
		else {
			//MessageBox(NULL, TEXT(" Detour Attach Failed."), TEXT("Anticheat_WG Error"), MB_OK);
		}
	}

	Real_LoadLibraryExW = (LoadLibraryExW_t)GetProcAddress(GetModuleHandle(TEXT("kernel32.dll")), "LoadLibraryExW");
	if (LoadLibraryExA != NULL) {


		char message[256];
		sprintf_s(message, sizeof(message), "Real_LoadLibraryExW address: %p", (void*)Real_LoadLibraryExW);
		MessageBoxA(NULL, message, "Anticheat_WG", MB_OK);

		LONG error = DetourAttach(&(PVOID&)Real_LoadLibraryExW, (PVOID)Hooked_LoadLibraryA);
		if (error == NO_ERROR) {

		}
		else {
			//MessageBox(NULL, TEXT(" Detour Attach Failed."), TEXT("Anticheat_WG Error"), MB_OK);
		}
	}

안티치트2 적용 ( with. 핵 개발팀 안현진님 )

AntiDebugger 1차 구현

void CALLBACK TimerProc(HWND hWnd, UINT uMsg, UINT_PTR idEvent, DWORD dwTime) {
	CheckForDebugger();
}

// 타이머 설정 
void SetDebuggerCheckTimer() {
	SetTimer(NULL, 0, 5000, (TIMERPROC)TimerProc); // 5초마다
}

void CheckForDebugger() {
	// IsDebuggerPresent
	if (IsDebuggerPresent()) {
		MessageBox(NULL, TEXT("Debugger detected by Anticheat_WG"), TEXT("Anticheat_WG"), MB_OK);
		return;
	}

	// CheckRemoteDebuggerPresent
	BOOL debuggerPresent = FALSE;
	CheckRemoteDebuggerPresent(GetCurrentProcess(), &debuggerPresent);
	if (debuggerPresent) {
		MessageBox(NULL, TEXT("Remote debugger detected  by Anticheat_WG"), TEXT("Anticheat_WG"), MB_OK);
		return;
	}
	
}

AntiDebugger 2차 구현

	void CheckForDebugger() { 
	
	... ( 다른 방법들 )
	
	// NtQueryInformationProcess
	typedef NTSTATUS(WINAPI* NtQueryInformationProcess_t)(HANDLE, UINT, PVOID, ULONG, PULONG);
	NtQueryInformationProcess_t NtQueryInformationProcess = (NtQueryInformationProcess_t)GetProcAddress(GetModuleHandle(TEXT("ntdll.dll")), "NtQueryInformationProcess");
	if (NtQueryInformationProcess) {
		DWORD debugger = 0;
		NTSTATUS status = NtQueryInformationProcess(GetCurrentProcess(), 0x1F, &debugger, sizeof(debugger), NULL);
		if (status == 0x00000000 && debugger) {
			MessageBox(NULL, TEXT("Debugger detected by NtQueryInformationProcess (Anticheat_WG) "), TEXT("Anticheat_WG"), MB_OK);
			return;
		}
	}
	
	... ( 다른 방법들 )

bool IsDebuggerPresentViaException() {

	BOOL debuggerDetected = true;
	__try {
		// 예외를 유발
		RaiseException(EXCEPTION_BREAKPOINT, 0, 0, NULL);	
	}
	__except (EXCEPTION_EXECUTE_HANDLER) {
		return false;
	}
	return debuggerDetected;
}


	void CheckForDebugger() { 
	
	... ( 다른 방법들 )
	
		// UnhandledExceptionFilter
	if (IsDebuggerPresentViaException()) {
		MessageBox(NULL, TEXT("Debugger detected by UnhandledExceptionFilter (Anticheat_WG)"), TEXT("Anticheat_WG"), MB_OK);
	}
	else {
		//MessageBox(NULL, TEXT("No debugger detected by UnhandledExceptionFilter (Anticheat_WG)"), TEXT("Anticheat_WG"), MB_OK);
	}

... ( 다른 방법들 )


}

	// 디버그 레지스터 체크
	CONTEXT context = { 0 };
	context.ContextFlags = CONTEXT_DEBUG_REGISTERS;
	if (GetThreadContext(GetCurrentThread(), &context)) {
		if (context.Dr0 || context.Dr1 || context.Dr2 || context.Dr3 || context.Dr6 || context.Dr7) {
			MessageBox(NULL, TEXT("Hardware breakpoint detected!"), TEXT("Anticheat_WG"), MB_OK);
			return;
		}
	}

AntiDebugger 3차 구현

• 윈도우 클래스 (Window Class)
윈도우 클래스는 윈도우의 속성과 동작을 정의하는 템플릿

• 윈도우 이름 (Window Text)
윈도우 이름은 윈도우의 텍스트 또는 타이틀 바에 표시되는 문자열
 

SPY++

Windbg 탐지

BOOL IsWinDbgRunning() {
	HWND hwnd = GetTopWindow(NULL);
	TCHAR className[256];

	while (hwnd != NULL) {
		if (GetClassName(hwnd, className, sizeof(className) / sizeof(TCHAR))) {
			// 클래스 이름에 문자열이 포함되는지 확인
			if (_tcsstr(className, TEXT("HwndWrapper[DbgX.Shell;;")) != NULL) {   // spy++  로 확인한 문자열
				return TRUE; // WinDbg 실행 중
			}
		}
		hwnd = GetNextWindow(hwnd, GW_HWNDNEXT);
	}
	return FALSE; // WinDbg 실행 중 아님
}

Cheat Engine 탐지

BOOL CALLBACK EnumWindowsProc(HWND hwnd, LPARAM lParam) {
	TCHAR windowTitle[256];
	GetWindowText(hwnd, windowTitle, sizeof(windowTitle) / sizeof(TCHAR));

	// 창 제목에 CheatEngine 이 포함되었는지 확인
	if (_tcsstr(windowTitle, TEXT("Cheat Engine")) != NULL) {
		*((BOOL*)lParam) = TRUE;
		return FALSE; // 찾았으므로 끝!
	}
	return TRUE; // 계속 열거
}

BOOL IsCheatEngineRunning() {
	BOOL CheatEngineFound = FALSE;
	EnumWindows(EnumWindowsProc, (LPARAM)&CheatEngineFound);
	return CheatEngineFound;
}

최종 파일