вопрос по защите

[maelstorm]

вопрос такого характера.
есть swf-ка (игра) которая отсылает данные мне на сервер в php.
Допустим есть некий хакер, который декомпилит и меняет мою swf-ку таким образом, что игра им проходится очень быстро и с наилучшими результатами.
сможет ли он обратиться ко мне на сервер из замененной swf-ки?
у меня вроде не получалось, но вдруг есть способы... подмены кэша браузера там (т.е. замена swf-файла в кэше) или еще что.
и если может, возможно ли как-то защититься от этого.

[Nox Noctis]

сможет ли он обратиться ко мне на сервер из замененной swf-ки?
вопрос: а что ему может помешать? :)

если ты специально не предпримешь каких-нибудь действий, чтобы ему помешать, то ему даже не потребуется твою свфку перешивать: он просто посмотрит как и что ты отсылаешь на сервер, потом сделат хтмл форму, которая все тебе отошлёт как надо. :)

для того чтобы защититься, надо

1. шифровать то, что передается на сервер

2. пункт 1 должен зависеть от каких-то данных, передаваемых с сервера. например, от ключа сессии, который ты будешь на сервере проверять на валидность.

3. защитить от декомпиляции swf

4. не дать подгружать свфку в другие свфки

5. не дать запускать swf ни в каком другом домене кроме твоего (в том числе, естесственно, не дать запускать локально)

и на всё это нет стандартных алгоритмов. надо придумывать. единственное, что есть готовое из этой области, это программы для пункта 3. но ни одна из виденных мной программ не дает реально сложной защиты. сложную защиту нужно делать руками.

[Fl00r]

По поводу 3 у Дембицкого была муьлка от декомпиллеров.
Где - я уже и не знаю где искать

[Nox Noctis]

то, что делали Ив и Илья Шляховой не получило развития. они отказались от идеи развивать проект (http://flash-mx.ru/forum/topic_show.pl?pid=1239#pid1239), и кроме беты (которая давала очень слабенькую защиту), ничего не вышло.

[Fl00r]

то что делал Ив защищало от стандартных декомпиллеров, и лузеров, которые только ими умели пользоваться.

Вот муть какая-то.
Не знаю что, но поробовать можно
http://www.flash2be.com/xpi/archives/fla/fla163protect.php

правда 2004 год

[Nox Noctis]

то что делал Ив защищало от стандартных декомпиллеров, и лузеров, которые только ими умели пользоваться.когда это было? :)

от ASV5 спасает только собственная хитрость. :)

swfencrypt (http://www.amayeta.com/) тоже дает кое-какой результат, но по-моему, этого явно недостаточно.

[Fl00r]

http://flash-mx.ru/forum/topic_show.pl?pid=1239#pid1239
че мы обсуждаем то?
Тут все сказано.
Ассэмблер рулит =)

[Homo Sapiens]

Смотри здесь (http://www.flasher.ru/forum/showthread.php?t=70931)

[maelstorm]

мне не надо возводить жуткие бастионы. я отвечаю только за флэш-компонент. Изначально предполагается что его можно декомпилить.
фишка в чем. после декомпиляции там можно будет снять маску со слоя, именно этого необходимо избежать. а серверу отсылается обратно всего два параметра - место клика(x,y).
ну а в php ессно заведена сессия, юзер же сначала авторизуется (причем не через swf). Эта флэшка часть одного большого проекта, реализованного, в основном на php.

[Король]

ну на практике могу сказать что прием шифрования результатов перед отправкой уникальным для каждой сессии ключом - для игр без особо крупной материальной заинтересованности участников вполне хватает. рано или поздно может появится кто-то особо умный, кто декомпилит флешку, увидит, что ее ему недостаточно, и начнет засыпать сервер случайными комбинациями - к этому надо быть готовым.

[Король]

а, так это наш старый знакомый. мы ж уже это все вроде проходили.. тебе для твоей "игры" вообще не надо ничего шифровать

[maelstorm]

эээ. не понял? первый раз обращаюсь с этим вопросом. и про эту игру заговорил первый раз, поскольку и писать-то ее начал только вчерась.
короче. может ли локально запущенная флэшка обратиться к скрипту на удаленном сервере, при учете что на сервере никаких разрешающих .xml -файлов нет?

[Король]

читаем эту тему внимательно - http://flasher.ru/forum/showthread.php?t=75024

[maelstorm]

там не графический пароль, епрст.
там сбор предметов в темной комнате при помощи фонарика... ой блин, ну почему нельзя просто ответить на вопрос?

[Nox Noctis]

ну почему нельзя просто ответить на вопрос?на заданный тобой вопрос ответ был дан в самом начале темы.

взломщик логинится в твою систему, скачивает свфку, быстренько смотрит, куда она отсылает данные, делает хтмл форму, которая на указанный скрипт отсылает x и y какие угодно.

если я тебя правильно понял, то ничто не помешает взломщику поступить так. :)

[maelstorm]

короче. может ли локально запущенная флэшка обратиться к скрипту на удаленном сервере, при учете что на сервере никаких разрешающих .xml -файлов нет?


вопрос звучит именно так.

ну из html врядли удастся отослать любые x и y. да и вообще там сессия нужна, но это не важно. главное чтоб нельзя было увидеть слой, на который наложена маска целиком.

[Leezard]

Боюсь тут мало что поможет. Единственный реальный вариант защиты от читеров это когда всем рулит сервер, а клиент используется только для отображения. В случае когда от клиента что-то зависит, тупиковый имхо.