Защита свф

[Techmaker]

пора тему в Флейм =))

[etc]

Для души -- пожалуйста.
Защищать каждый сделанный ролик -- умаешься.

[Usnul]

Сообщение от Homo Sapiens

2 Usnul: Как писал Шнайер (если не ошибаюсь) есть 2 вида криптографии, которая защищает от младшей сестры и от правительств других стран. Код Цезаря явно относится к первому виду.

ну почему все младшие сестры думают что они умнее меня?

[Homo Sapiens]

Ммм, не знаю, лично не знаком

[Usnul]

мне известны сложные методы шифрования, но такой момент: если кто-то знает про цезаря и алфавитный анализ, то шансы того что он знаком с более замороченными методами очень велики. Я думаю что если ты хочешь скрыть такую вещь как например код для следующего уровня и перегоняешь его с помощью простенького шифра во что-то иное, то очень, очень низкий процент тех кто не полениться воспользоваться декомпилятором поймет (найдет) где собака зарыта. Умные и целеустремленные люди (что обычно не сочитается) смогут взловать все что вы им предложите. Лично я предпочитаю вещи вроде RC3 или AES, но с другой стороны они могут представлять интерес скорее с академической точки зрения нежеле с практической в данном случае. Если алгоритм щифрования доступен (через декомпилятор) то какой смысл в сложности самого метода?

[sourcer21]

Вы знаете не селен я во флеше, но поппробую предложить вариант один. незнаю может я что то щас тупое скажу,но сильно не ругайте.

И так начнем:

fuction encode(str)
{
	return str-кодированная по какому то алгоритму...
}

function decode(str)
{
	return str-декодированная по алгоритму которому кодировали...
}

вот две этих ф-ии... делаем абсолютно простой алгоритм шифрования и дешифрования чтобы не грузило флеш сильно...

пишем программу на php к примеру которая работает в несколько проходов - пускай в 10

имеем исходный код который надо закодировать.

напиример вот этот:

            with(this){
                if (drawing) return;//пока рисуем, не дергаемся
                clear ();
                if (fc != undefined) beginFill (fc,fa);
                moveTo (o ? this [0]._x : (this [0]._x + this [l - 1]._x) / 2, o ? this [0]._y : (this [0]._y + this [l - 1]._y) / 2);
                for (var i = 0;    i < l - 1;i ++)    {
                    if (lc != undefined) lineStyle (lw,lc, this [i].w ? 0 : 100);
                    curveTo (this [i]._x, this [i]._y, (this [i]._x + this [i + 1]._x) / 2, (this [i]._y + this [i + 1]._y) / 2)
                }
                if (!o) curveTo (this [i]._x, this [i]._y, (this [i]._x + this [0]._x) / 2, (this [i]._y + this [0]._y) / 2);
                if (fc) endFill ();
            }

кодируем его в несколько проходов по придуманному алгоритму. кодируем программой другой на PHP на C++ на чем угодно

1-ый проход программы
программа случайным образом(но не ломая синтексис) делит этот исходиник... допустим что она поделила вот так вот:

  with(this){
1---------------------------------------------
                if (drawing) return;//пока рисуем, не дергаемся
                clear ();
2---------------------------------------------
                 if (fc != undefined) beginFill (fc,fa);
                moveTo (o ? this [0]._x : (this [0]._x + this [l - 1]._x) / 2, o ? this [0]._y : (this [0]._y + this [l - 1]._y) / 2);
3---------------------------------------------
               for (var i = 0;    i < l - 1;i ++)    {
                    if (lc != undefined) lineStyle (lw,lc, this [i].w ? 0 : 100);
                    curveTo (this [i]._x, this [i]._y, (this [i]._x + this [i + 1]._x) / 2, (this [i]._y + this [i + 1]._y) / 2)
                }
4---------------------------------------------
                if (!o) curveTo (this [i]._x, this [i]._y, (this [i]._x + this [0]._x) / 2, (this [i]._y + this [0]._y) / 2);
5---------------------------------------------
                if (fc) endFill ();
            }

и кодирует некоторые куски, но не все...
допустим она выбрала так: куски 1-2 и 4-5 и вот во что превращает исходник:

with(this){
eval(decode("#$^%&*()%%$%$%^$%^$%$%^%^%$%$%$$%^$#$^#$$##@%ERYTFYTF^%FRDD^ED^D"));
                 if (fc != undefined) beginFill (fc,fa);
                moveTo (o ? this [0]._x : (this [0]._x + this [l - 1]._x) / 2, o ? this [0]._y : (this [0]._y + this [l - 1]._y) / 2);
               for (var i = 0;    i < l - 1;i ++)    {
                    if (lc != undefined) lineStyle (lw,lc, this [i].w ? 0 : 100);
                    curveTo (this [i]._x, this [i]._y, (this [i]._x + this [i + 1]._x) / 2, (this [i]._y + this [i + 1]._y) / 2)
                }
eval(decode("#$^%&*()%%$%$%^$%^$%$%^%^%$%$%$$%^$#$^#$$##@%ERYTFYTF^%FRDD^ED^D"));
                if (fc) endFill ();
            }

теперь повторяем такуюже манимуляцию с этим исходником... (приведу дяллее на нем пример для закрепления)

Допустим программа разбила на блоки слудующим образом:

with(this){
1-------------------------------
eval(decode("#$^%&*()%%$%$%^$%^$%$%^%^%$%$%$$%^$#$^#$$##@%ERYTFYTF^%FRDD^ED^D"));
                 if (fc != undefined) beginFill (fc,fa);
                moveTo (o ? this [0]._x : (this [0]._x + this [l - 1]._x) / 2, o ? this [0]._y : (this [0]._y + this [l - 1]._y) / 2);
2-------------------------------
               for (var i = 0;    i < l - 1;i ++)    {
                    if (lc != undefined) lineStyle (lw,lc, this [i].w ? 0 : 100);
                    curveTo (this [i]._x, this [i]._y, (this [i]._x + this [i + 1]._x) / 2, (this [i]._y + this [i + 1]._y) / 2)
                }
3-------------------------------
eval(decode("#$^%&*()%%$%$%^$%^$%$%^%^%$%$%$$%^$#$^#$$##@%ERYTFYTF^%FRDD^ED^D"));
                if (fc) endFill ();
4-------------------------------

            }

повторяем манимуляцию кодирования... ну к примеру кодируем блоки 1-2 и 2-3

выходит следующие

   with(this){
eval(decode("#$^%&*()%%$%$%^$%^$%$%^%^%$%$%$$%^$#$^#$$##@%ERYTFYTF^%FRDD^ED^D"));
eval(decode("#$^%&*()%%$%$%^$%^$%$%^%^%$%$%$$%^$#$^#$$##@%ERYTFYTF^%FRDD^ED^D"));
eval(decode("#$^%&*()%%$%$%^$%^$%$%^%^%$%$%$$%^$#$^#$$##@%ERYTFYTF^%FRDD^ED^D"));
                if (fc) endFill ();

            }

ну и так можно до бесконечности....
а теперь представьте сделать так к примеру десять проходов... человек разкодировать замучается на 3ем уже проходе...
а так можно до бесконечности кодировать этот код...
и что бы его раскодировать это получается парсер писать надо в обраную сторону... это тоже гемарой

или еще можно как делать

запрашивать у скрипта этот код и только во флеше его выдавать вщамен на логин пароль и какойнибудь кодик...
представим что флешка это ничто иное как просто
акшн скрипт который долбится в PHP скрипт, а скрпт ему взввращает некий код #$^%&*()%%$%$%^$%^$%$%^%^%$%$%$$%^$#$^#$$##@%ERYTFYTF^%FRDD^ED^D\
а флешак этот код исполняет как eval(decode(#$^%&*()%%$%$%^$%^$%$%^%^%$%$%$$%^$#$^#$$##@%ERYTFYTF^%FRDD^ED^D));

и получается рекурсивная распаковка...

ну вот аткая тема, если хватит репения расковырять, то расковыряют конечно

[Beastriker]

Вообще никто не хранит пароли на стороне клиента, не в Java апплетах, не в SWF плеерах, не хранят.

да, это тупиковый путь...
лучше всего - serverside scripts))

[iNils]

2sourcer21, а что будет флеш делать с тем кодом после того как его распакует, на полку положит?

[etc]

sourcer21, ужасный код. Больше такое не показывайте.

[PSoWP]

Сообщение от Beastriker

Вообще никто не хранит пароли на стороне клиента, не в Java апплетах, не в SWF плеерах, не хранят.

Учись читать. Я писал что у меня только сторона клиента, а я не хочу, чтоб мой код ктонить просто так читал, пусть мучается если хочет...

Байткод из любой флэшки в хексе вытащить можно. А ещё оперативку просматривать можно и входящие и отбывающие пакеты(подкоректировать даже можно) тогда тебе сторона сервера не поможет)
Но не каждый разбирается в этом(некоторым ещё лень) так что от 70-80% потенциальных взломщиков ты освобожден при минимальной защите и от 80-90% при хорошей.