Jak w temacie do tej pory korzystałem z confusera ale z tego co wiem znalazł się jeden z drugim który pogrzebał i złamał moją apke, więc chce ją zabezpieczyć czymś innym/lepszym. Od razu podam, że nie zależy mi na tym aby była darmowa ale też jeśli ktoś coś ma to jednak proszę nie wypisywać mi tych po 200$ za licke bo to trochę za dużo tym bardziej, że chodzi o zabezpieczenie jednej apki którą robię hobbystycznie po godzinach.
- Rejestracja:ponad 13 lat
- Ostatnio:około 3 lata
- Lokalizacja:Grudziądz/Bydgoszcz
- Postów:5300
.NET 
- Rejestracja:prawie 19 lat
- Ostatnio:około godziny
0
Na tej liście są nazwy różnych obfuscatorów i program, który ponoć deobfuscuje http://de4dot.com/
- Rejestracja:około 8 lat
- Ostatnio:prawie 8 lat
- Postów:55
0
U mnie w firmie używamy .NET Reactor i jak do tej pory nie mieliśmy żadnych problemów (a przynajmniej nie jesteśmy ich świadomi :D). Licencja kosztuje z tego co widzę niecałe 200$ bo 179$ więc w sumie spełnia kryteria :P
Ciekawe czy jesteście świadomi ww. de4dot (chociaż do Ractora widziałem wiele innych narzędzi)? A jeśli tak, to nie wiem po co marnujecie pieniądze :)
- Rejestracja:ponad 21 lat
- Ostatnio:około 17 godzin
- Lokalizacja:Kraków
- Postów:1114
0
confuser należy do jednych z najlepszych, wiec jak komuś się chciało złamać nim zabezpieczona aplikacje to pewnie sobie poradzi także z innymi ...
Nie należy, ani Confuser, ani ConfuserEx, dostępne są uniwersalne deobfuscatory, a samo ich używanie sprawi, że 95% antywirusów oznaczy twoją aplikację jako potencjalnie niebezpieczną (wrzuć sobie coś po obfuskacji na VirusTotal), choćby było to zwykłe Hello World, wynika to z faktu, że masa malware bywała nim zabezpieczana, no bo za darmo.
Jeśli program jest malutki, i ddlka ma mniej niż kilkaset KB, to zgadza się, są problemy z antywirusami, natomiast przy większych dllkach i podpisanych certyfikatem nie ma żadnych i z powodzeniem jest stosowany na produkcji w firmie w której pracuje.
Rzucisz wynikiem skanowania z VT na potwierdzenie tych słów?
- Rejestracja:ponad 13 lat
- Ostatnio:około 3 lata
- Lokalizacja:Grudziądz/Bydgoszcz
- Postów:5300
0
neves napisał(a):
confuser należy do jednych z najlepszych, wiec jak komuś się chciało złamać nim zabezpieczona aplikacje to pewnie sobie poradzi także z innymi ...
Na stronie podają, że ostatnia wersja wyszła 2012, w necie znalazłem co najmniej 3 aplikacje które cofają zmiany confusera.
0
nie da się cofnąć zmian obfuscatora bo jego główne zadanie to zmiana nazw parametrów, metod itp na nic nie mówiące - żeby to cofnąć trzeba inteligentnego bytu który odgadnie działanie kodu
nie trzeba też jakiegoś wymyślnego obfuscatora - powyższe zmiany nawet bez dodatkowych utrudnień wystarczająco zniechęcają do analizy kodu, no chyba że jest w nim zaszyty niezwykle cenny i nieopisany nigdzie algorytm w co wątpię ;)
a tak w ogóle to trzeba mieć wysokie mniemanie o sobie żeby myśleć że komuś się będzie chciało zaglądać do Twojego kodu; aplikacje po kilkadziesiąt tysięcy od licencji są wypuszczane bez żadnej obfuskacji - to nie kod jest cenny tylko jego utrzymanie
Nazwy można ładnie zmienić np. na var_1, var_2, var_3 i już lepiej się czyta kod, akurat zmiana nazw zmiennych czy funkcji to najmniej uciążliwa technika stosowana w obfuscatorach dla .net. Aplikacje po kilkadziesiąt tysięcy bez żadnej obfuskacji pod .net są regularnie dekompilowane, a ich klony pojawiają się np. na rynku chińskim.
0
Pijany Lew napisał(a):
a tak w ogóle to trzeba mieć wysokie mniemanie o sobie żeby myśleć że komuś się będzie chciało zaglądać do Twojego kodu
albo po prostu się go wstydzić ;)
- Rejestracja:ponad 13 lat
- Ostatnio:około 3 lata
- Lokalizacja:Grudziądz/Bydgoszcz
- Postów:5300
0
Pijany Lew napisał(a):
Pijany Lew napisał(a):
a tak w ogóle to trzeba mieć wysokie mniemanie o sobie żeby myśleć że komuś się będzie chciało zaglądać do Twojego kodu
albo po prostu się go wstydzić ;)
Powiem tak, jest to kod antycheata nad którym pracuje łącznie już 3 lata po godzinach i uwierz są osoby które zrobią wszystko by to obejść szczególnie że za zwycięstwa są odpowiednie nagrody.
Nigdzie nie opisanego algorytmu tam nie ma ale są wrażliwe rzeczy typu zaszyfrowana informacja wysyłana na serwer wrazie wykrytych anomalii w logach danej osoby. Oraz same algorytmy zabezpieczające które z chęcią by wyłączyły dane osoby. Pewnie się spytasz skąd wiem, ze działa u kogoś na komputerze, a no stąd że ta apka na bieżąco śle zaszyfrowane dane na serwer.
edytowany 1x, ostatnio: mr_jaro
Nie wiem jaki to nakład pracy bo 3 lata to trochę dużo ale, zawsze możesz przepisać krytyczne elementy do c/c++ i wczytać jako bibliotekę. lub przesyłać wrażliwe algorytmy po uruchomieniu aplikacji i je kompilować/interpretować. Zamienie if'a na if( func<bool>) a kogoś na pewno zniechęci.
I zrobiłeś to w C#? Powinieneś wiedzieć, że to się dobrze nie skończy :)
@Bartosz Wójcik: tak w C# Jak się głownie siedzi w innej części naszej branży, a na desktopy robi hobbystycznie to robi się w tym w czym się już zna i robi się w miarę przyjemnie :) Opcja przepisania części na c++ wchodzi w gre ale to i tak nic nie zmieni bo jak ktoś będzie chciał to wyłączy komunikację z tą biblioteką i po zabawie.
- Rejestracja:ponad 13 lat
- Ostatnio:około 8 lat
- Postów:1176
0
Jak zrobią wszystko, żeby go obejść to go obejdą ;). Obfuskacja w C# jest mało efektywna, sprawa trochę lepiej wygląda przy natywnych aplikacjach;
Zawsze możesz spędzisz kolejne 3 lata na pisanie swojego obfuskatora ;)
edytowany 1x, ostatnio: 0x200x20
- Rejestracja:ponad 21 lat
- Ostatnio:około 17 godzin
- Lokalizacja:Kraków
- Postów:1114
0
mr_jaro napisał(a):
neves napisał(a):
confuser należy do jednych z najlepszych, wiec jak komuś się chciało złamać nim zabezpieczona aplikacje to pewnie sobie poradzi także z innymi ...
Na stronie podają, że ostatnia wersja wyszła 2012, w necie znalazłem co najmniej 3 aplikacje które cofają zmiany confusera.
ja tu widzę ostatnią wersję z zeszłego roku:
https://github.com/yck1509/ConfuserEx/releases
0
mr_jaro napisał(a):
Serio nikt z was nie zabezpiecza kodu? O.o
A jaki to ma sens?
Jedyne co możesz zrobić to zaciemnić nazwy zmiennych, metod, klas ale jak komuś będzie zależało to i tak rozpracuje. Do tego dochodzą problemy z debugowaniem błędów.
Inne metody ingerujące w kod, zmniejszając wydajność oraz narażają na trudne do wykrycia błędy. JIT ma nieraz duże problemy z obsługą takich bubli. W aplikacjach biznesowych nie do przyjęcia.
Dla hardcorów zostają maszyny wirtualne z wbudowanymi mechanizmami kryptograficznymi ale one zawsze są parę lat za .NET i nie są aż tak dobre i wydajne. W Javie jest parę fajnych maszyn wirtualnych ale żadna nie skupia się na zaciemnianiu kodu.
Z tego, co zauważyłem to bardzo mało firm stosuje obsfukację. Głównie robią to firmy piszące aplikacje dla finansów ale tylko cześć kodu jest zaciemniania i tylko przy użyciu podmiany nazw. Resztę można śmiało dekomponować i analizować. Zdziwilibyście ile ogromnych systemów informatycznych jest pisanych w ojczystych językach (tzn. nazwy zmiennych, metod, klas).
Jeśli sam byś miał firmę, a nie był szeregowym pracownikiem, który ma wszystko gdzieś, i regularnie by Ci łamali, kradli i klonowali oprogramowanie to myślę, że twój tok myślenia byłby nieco inny.
- Rejestracja:ponad 13 lat
- Ostatnio:około 3 lata
- Lokalizacja:Grudziądz/Bydgoszcz
- Postów:5300
1
dotnerd napisał(a):
Zdziwilibyście ile ogromnych systemów informatycznych jest pisanych w ojczystych językach (tzn. nazwy zmiennych, metod, klas).
To serio jest się czym chwalić. Świadczy to "profesjonalizmie" tychże firm.
- Rejestracja:ponad 12 lat
- Ostatnio:ponad rok
- Postów:34
0
mr_jaro napisał(a):
Tak, ale płatnymi porządnymi apkami.
A które są te porządne? Pytam poważnie. Bo na razie to wiem, że wtopiłbym kasę w Reactora (co prawda wersja trial, ale de4dot nawet się nie zająknął).
