[.Net] C# 프로그램 배포 시 소스 코드 보호를 위한 난독화, ConfuserEx 사용방법

소개

C#으로 만든 프로그램을 배포할 때 가장 주의해야 할 부분이 있습니다. 바로 소스 코드가 정직하게 노출된다는 점인데요. 이전에 .Net Framework에서 개발된 프로그램은 디컴파일러에 의해 아주 간단하게 소스 코드가 노출된다는 포스팅을 올린 적 있습니다.

[.Net] .Net Framework와 디컴파일러(Decompiler) ILSpy 및 dotPeek 예제

[.Net] .Net Framework와 디컴파일러(Decompiler) ILSpy 및 dotPeek 예제

그래서 C# 환경에서 프로그램을 만들 때에는 핵심 기능 또는 알고리즘은 C++ dll로, UI는 C# 코드만 이용하면 소스 코드가 노출되어도 그다지 큰 위험은 없습니다. 하지만 이를 위해 C++ dll import 또는 C++/CLI로 Wrapper dll을 만드는 작업이 필요하긴 합니다.

[.Net] C++/CLI 이해하기

[.Net] C++/CLI 이해하기

이번 포스팅에서는 C# 프로그램 소스 코드 노출을 방지하기 위한 방법 중 하나인 난독화를 소개하고자 합니다. 난독화의 장, 단점과 ConfuserEx가 무엇인지 그리고 어떻게 사용하는지 알아보겠습니다.

난독화 적용 전, 후 비교

우선, ConfuserEx를 사용하여 난독화를 적용하기 전과 후를 비교해 보겠습니다. 아래 이미지는 난독화 전 exe 파일을 JetBrains dotPeek로 분석한 결과입니다. 코드가 너무 적나라하게 노출되죠?

난독화 적용 전

아래 이미지는 난독화가 적용된 exe 파일을 분석한 결과입니다. 클래스와 함수, 변수의 이름 모두 이상한 문자열로 치환되어 분석이 어렵게 됐습니다. 해독하고 싶어도 알 수가 없습니다.

난독화 적용 후

ConfuserEx 장점과 단점

위에서 봤듯이 난독화를 통해 클래스, 함수 그리고 변수의 이름조차 해독하기가 어려워 졌습니다. 즉, C#에서 직접 알고리즘을 개발하고 난독화를 적용하면, 제 3자가 디컴파일러를 통해 코드 해독을 시도해도 쉽게 분석이 가능하지 않습니다. 이러한 점 때문에 C++ dll 적용이 힘들다면 난독화를 적용하는 방법도 좋은 방안이 될 수 있습니다.

하지만 아주 치명적인 단점이 있습니다. 윈도우 디펜더(Windows Defender) 또는 백신 프로그램에서 바이러스 파일로 감지가 된다는 것입니다. 아래 이미지처럼 윈도우 디펜더나 백신 프로그램에서 난독화가 적용된 파일을 악성코드로 인식하여 조치가 취해지기 때문입니다.

바이러스 경고 메시지

바이러스 경고 메시지

조치할 수 있는 방법은 디펜더나 백신 프로그램에서 예외 프로그램으로 등록하면 되는데요. 만약, 보안을 중요시하는 기업이라면 난독화는 적용하지 못할 수도 있습니다.

참고

 

 

Visual Studio에서 제공하는 Dotfuscator를 사용하면 백신 프로그램에 감지되지 않고 정상적으로 난독화가 적용된다고 합니다. 하지만 이 Dotfuscator가 유료로 전환되었다는 내용이 있는데요. 해당 방법에 대해서는 테스트 후 포스팅하도록 하겠습니다.

ConfuserEx 준비하기

ConfuserEx는 아래 사이트에 접속하여 다운로드할 수 있습니다.

github.com/yck1509/ConfuserEx/releases

Releases · yck1509/ConfuserEx

다운로드한 파일을 압축 해제하고, ConfuserEx.exe 파일을 관리자 권한으로 실행하면 됩니다.

다운 받은 파일을 압축 해제한 모습

ConfuserEx 사용하기

그럼 이제 ConfuserEx를 사용해 난독화를 적용해 보겠습니다. 샘플로 C# Winform 프로젝트를 하나 생성하고, 아래처럼 간단히 사칙연산을 하는 UI를 적용해 보았습니다.

샘플 프로젝트 생성

그리고 아래와 같이 각 버튼마다 사칙연산 코드를 구현했습니다.

코드 구현 예시

이대로 빌드하면 출력 폴더에 아래와 같이 exe 파일이 생성되고, 해당 파일을 dotPeek로 분석하면 소스 코드가 그대로 노출됩니다.

출력 폴더

이제 ConfuserEx.exe를 관리자 권한으로 실행합니다. 그리고 우측 상단의 ... 버튼을 클릭하여 위 프로젝트의 출력 경로를 선택하고, 아래의 + 버튼을 클릭하여 난독화할 실행 파일을 선택하면 아래와 같이 표시됩니다.

난독화 폴더 및 실행 파일을 선택한 모습

다음으로 Settings 탭 메뉴를 클릭합니다. <Global settings>를 선택하고 우측의 + 버튼을 클릭하면 Rules:에 true가 추가됩니다. 그리고 아래의 연필 모양 버튼을 클릭합니다.

전역 설정 화면

Preset:의 콤보 박스를 클릭하고 Maximum 항목을 선택합니다. 그 외의 항목을 테스트해 보았지만 완벽히 난독화가 되진 않더군요.

난독화 수준 설정 화면

마지막으로 Protect! 탭의 Protect! 버튼을 클릭하면 난독화가 적용됩니다.

난독화 적용 결과

프로젝트 출력 경로에 Confused 폴더가 생성되어 있고, 그 안에 난독화가 적용된 exe 실행 파일이 생성되어 있습니다. 해당 파일을 dotPeek로 분석하면 이해하기 어렵게 난독화가 적용되어 있습니다.

난독화 적용 파일이 생성된 모습

결론

개인적인 의견으로 C#으로 제작한 프로그램 배포 시 난독화 적용은 필요 없다고 생각합니다. 핵심 알고리즘은 C++ dll 또는 C++/CLI로 제작하고, C#에서는 UI 관련 인터페이스 또는 Component만 사용하면 소스 코드가 노출돼도 심각하지 않다고 생각합니다. 물론, C++ dll도 역분석이 가능하다고 하지만, 그렇게 보안이 중요하고 기술적 가치가 높다고 하다면 ConfuserEx가 아닌 유료 솔루션을 사용하는 것이 바람직하다고 생각합니다.