🚵🏼 ☪️ 🧓🏾 फ़्लैश अनुप्रयोगों को "सुरक्षित" करने के तरीके 👂🏻 ✍🏽 👴🏼

नमस्ते मैं फ्लैश-एप्लिकेशन के विकास में उपयोग किए गए कोड अनुसंधान, धोखाधड़ी और चोरी से बचाने के लिए कई तरीकों के बारे में बात करने की कोशिश करूंगा, साथ ही साथ उनमें से कुछ को कैसे प्राप्त कर सकता हूं।

यह ध्यान देने योग्य है कि अब इस विषय पर कई उत्कृष्ट प्रस्तुतियां और कार्य हैं (लेख के अंत में लिंक देखें), हालांकि, मैं कुछ बारीकियों का अधिक विस्तार से वर्णन करना चाहूंगा, और एक स्थान पर विषय पर बहुत सारी जानकारी को संयोजित करूंगा। कम से कम मैं इसे करने की कोशिश करूंगा।

इस लेख में वर्णित सभी चीजें व्यक्तिगत लाभ, कॉपीराइट के उल्लंघन, लाइसेंस समझौतों और किसी भी देशों के किसी भी कानून को प्राप्त करने के लिए किसी भी मामले में उपयोग नहीं की जानी चाहिए। कोई विज्ञापन नहीं है, सब कुछ पूरी तरह से व्यक्तिगत प्राथमिकताओं और अनुभव के आधार पर लिखा गया है। लेख के लिए कोड उदाहरण केवल त्वरित उदाहरण हैं, इसे याद रखें।

- परिचय

फ्लैश की दुनिया में (निश्चित रूप से, हम ग्राहक के बारे में बात कर रहे हैं) घुसपैठियों के खिलाफ कोई सुरक्षा की गारंटी नहीं है; आप केवल अशुभ लोगों को फ़िल्टर कर सकते हैं और उन लोगों के लिए काम को जटिल कर सकते हैं जो सभी तरह से जाने का फैसला करते हैं। यह सुनिश्चित करने के लिए प्रयास करने योग्य है कि बीमार-इच्छाधारी की लागत और समय जितना संभव हो, और आपकी लागतें - उतनी ही कम हो। आदर्श रूप से, अपनी बाधाओं को प्राप्त करने के लिए खरोंच से किसी हमलावर को खरीदना या लिखना आसान, तेज़ और सस्ता बनाने की कोशिश करें।

संरक्षण प्रणालियों और बाईपास / डिप्रोटेशन सिस्टम के बीच संघर्ष जारी है। यह इस तथ्य के कारण है कि कोई भी व्यक्ति जो SWF प्रारूप और बाइटकोड ( यहां , यहां और यहां तक कि) के विनिर्देश तक पहुंच सकता है जिसमें ActionScript3 (इसके बाद AS3) कोड संकलित किया गया है। यह आपको स्वतंत्र रूप से अपने स्वयं के पुस्तकालयों और एसडब्ल्यूएफ फ़ाइलों को घटकों (ग्राफिक्स, ध्वनियों, बाइटकोड, आदि) में पार्स करने के लिए लिखता है, और उदाहरण के लिए, बाइटकोड के साथ कुछ भी करने की अनुमति देता है:

एबीसी (एक्शनस्क्रिप्ट बाइटहोड) फ़ाइलों को डिकम्पोज करने के लिए बायटेकोड एनालाइज़र लिखें, जो संकलित AS3 SWF फ़ाइल में "DoABC" टैग में पाया जा सकता है (और AS2 में कोड आमतौर पर "DoAction" और "DoInitAction" टैग) में पाया जाता है;
उन अनुप्रयोगों को लिखें, जो बायटेकोड को संशोधित करते हैं, उदाहरण के लिए, विभिन्न तकनीकों का उपयोग करके इसे बाधित करने के लिए जो अपने स्वयं के प्रयोजनों के लिए अपघटन की बारीकियों का उपयोग कर सकते हैं;
उन अनुप्रयोगों को लिखें जो आपको पहले से संकलित SWF फ़ाइलों में बाइटकोड (पैच) बदलने की अनुमति देते हैं;
एफपी को आउटपुट (ट्रेस) निष्पादन योग्य बायटेकोड को संशोधित करें;

संरक्षण के क्षेत्र में, अलग-अलग लक्ष्य और साधन हैं। केवल वही चुनें जो आपके प्रोजेक्ट के लिए उपयुक्त है, अनावश्यक काम न करें।

- सामग्री

हम कई तरीकों पर विचार करेंगे (वे न केवल उनके कार्यान्वयन में, बल्कि उनके इच्छित उद्देश्य में भी हैं) उनमें से कुछ को दरकिनार करने के उदाहरणों के साथ-साथ कई उपकरण भी हैं जिनका उपयोग परीक्षा (आपके) कोड करते समय किया जा सकता है:

यूआरएल-लॉक (एक या कई डोमेन के लिए बाध्यकारी), स्थानीय लॉन्च के खिलाफ सुरक्षा
चर, संसाधन और वर्ग
वॉटरमार्क (वाटरमार्क)
SWF पैकिंग
डायनामिक कोड जेनरेशन और SWF एडिटिंग
कोड ऑब्सफैक्शन और डेटा छिपाना
मेमोरी से SWF फ़ाइल को सहेजने से सुरक्षा
फ्लैश एक्सप्लोरर टूलकिट

- 1. आईपी-लॉक, स्थानीय लॉन्च के खिलाफ सुरक्षा

लक्ष्य SWF फ़ाइल को कुछ शर्तों के तहत काम करना है, उदाहरण के लिए, केवल एक या अधिक डोमेन के तहत, या स्थानीय लॉन्च को प्रतिबंधित करने के लिए।

इस तथ्य को निर्धारित करने के बाद कि एसडब्ल्यूएफ को लॉन्च नहीं किया गया है जहां यह होना चाहिए, आप अपने व्यवहार को अपनी पसंद के अनुसार प्रोग्राम कर सकते हैं। आप सर्वर को अवांछित डोमेन \ URL भेज सकते हैं (यदि यह लोकलहोस्ट नहीं है) और उन्हें किसी प्रकार के लॉग में दर्ज करें।

मूल डोमेन (जिसके तहत SWF फ़ाइल को काम करना चाहिए) को एन्क्रिप्टेड रूप में या क्लाइंट में बिल्कुल नहीं रखना बेहतर है (सर्वर से भी एन्क्रिप्टेड रूप में स्वीकार करें)।

आइए डोमेन को बांधने और स्थानीय स्टार्टअप को निर्धारित करने के कुछ तरीके देखें।

वर्तमान URL \ domain प्राप्त करके डोमेन से बाइंडिंग

किसी डोमेन से जुड़ने का यह सबसे आम तरीका है। आमतौर पर वर्तमान URL या डोमेन प्राप्त करने के लिए:

a) लोडरइन्फो :

root.loaderInfo.url

( _root._url

- AS2 के लिए) - इसमें SWF फ़ाइल के लिए पथ _root._url

है, यदि SWF को दूसरे SWF का उपयोग करके लोड किया जाता है, तो लोड किए गए root.loaderInfo.url

वही रहेगा।
root.loaderInfo.loaderURL

- यदि स्वयं SWF फ़ाइल में पथ है, या इसके लोडर में यदि यह एक और SWF फ़ाइल का उपयोग करके लोड किया गया था
root.loaderInfo.loader

- यदि किसी बाहरी लोडर द्वारा SWF लोड नहीं किया गया है (जो कि root.loaderInfo.loader == root.parent

, और root.parent == stage

यदि SWF के पास नहीं है, तो root.parent == stage

लोडर वर्ग या नल के उदाहरण के लिए एक लिंक है। लोडर)। इसके अलावा, यदि बूटलोडर एक विश्वसनीय क्षेत्र में नहीं है (दूसरे सिक्योरिटीडोमेन में स्थित है), तो लोड किए गए SWF से root.loaderInfo.loader

या root.parent

एक्सेस करते समय, एक सिक्योरिटीयर अपवाद को root.parent

जाएगा, जिसके संदेश में भी बूटलोडर का लिंक होगा।

यदि आप SWF फ़ाइल को स्थानांतरित किए बिना गैर-देशी डोमेन पर एक HTML पृष्ठ में SWF एम्बेड करते हैं, तो पथ परिवर्तित नहीं होंगे।

b) लोकल कॉनक्शन : आपको उस डोमेन का नाम प्राप्त करने की अनुमति देता है जिसके तहत SWF फ़ाइल वर्तमान में LocalConnection.domain

का उपयोग करके चल LocalConnection.domain

।

यदि विदेशी SWF आपके SWF के डोमेन के अलावा किसी अन्य डोमेन में है, और आपने उस SWF को वर्तमान सुरक्षा डोमेन जैसे:

 var context:LoaderContext = new LoaderContext(true); context.securityDomain = SecurityDomain.currentDomain; loader.load(new URLRequest(url), context);

या Loader.loadBytes

का उपयोग Loader.loadBytes

, फिर लोड किए गए SWF के LocalConnection.domain

में आपके SWF का डोमेन होगा।

यदि आप SWF फ़ाइल को स्थानांतरित किए बिना गैर-देशी डोमेन पर एक HTML पृष्ठ में SWF एम्बेड करते हैं, तो पथ परिवर्तित नहीं होंगे।

c) एक्सटर्नलइंटरफेस : आपको जावास्क्रिप्ट (इसके बाद JS) का उपयोग करने की अनुमति देता है। उदाहरण के लिए, वर्तमान पृष्ठ का रास्ता जिसमें SWF एम्बेडेड है, window.location.href

का उपयोग करके प्राप्त किया जा सकता है। JS को कॉल करने के लिए, ExternalInterface.call

उपयोग करें। क्योंकि पहले पैरामीटर के रूप में कॉल विधि का नाम लेता है, और window.location.href

संपत्ति है, फिर स्ट्रिंग () का उपयोग किया जाना चाहिए:

 var myHTMLUrl:String = ExternalInterface.call("window.location.href.toString");

वैसे, डोमेन को ExternalInterface.call

माध्यम से भी प्राप्त किया जा सकता है:

 var domain:String = ExternalInterface.call ("eval", "document.domain");

बाहरी इन्वर्टफेस का उपयोग आपके जेएस कार्यों को उस पेज पर कॉल करने के लिए भी किया जा सकता है, जहां SWF स्थित है - दोनों मौजूदा और स्वयं द्वारा विकसित किए गए:

 var customJavaScriptCode:String = "function customJS(){alert('Yes, this is a custom JS');}"; ExternalInterface.call("eval", customJavaScriptCode); ExternalInterface.call("customJS");

और यह मत भूलो कि इस पद्धति को जेएस की आवश्यकता है, जो हमेशा संभव नहीं है।

यदि आप SWF फ़ाइल को स्थानांतरित किए बिना एक गैर-देशी डोमेन पर HTML पृष्ठ में एम्बेडिंग को बायपास करने का प्रयास करते हैं, तो बाहरीइंटरफेस.कॉल का निष्पादन एक SecurityError उत्पन्न करेगा।

d) FlashVars : कभी-कभी, HTML पेज में SWF रखते समय या किसी अन्य SWF से लोड करते समय, वे FlashVars के माध्यम से डोमेन और / या अन्य डेटा के लिए पथ को स्थानांतरित करते हैं (जो वास्तव में बुरा है, क्योंकि यह एक स्पष्ट "छेद" है जो डिकॉउपिंग से है डोमेन):

FlashVars को एक पैरामीटर के रूप में पारित किया जा सकता है:

 <object ...> <param name="FlashVars" value="var1=value1&var2=value2" /> </object>

या फ़ाइल नाम के माध्यम से:

 <object ...> <param name="movie" value="somecoolmovie.swf? var1=value1&var2=value2" /> </object>

आप इस तरह FlashVars तक पहुँच सकते हैं:

- AS3 में - root.loaderInfo.parameters.var1

- AS2 में - _root.var1

वर्तमान URL या डोमेन को प्राप्त किए बिना डोमेन से बाइंडिंग

यह विधि एक क्रॉस-डोमेन सुरक्षा नीति पर आधारित है। स्टार्टअप पर बाध्य SWF विशिष्ट होस्ट से "विशेष" डमी फ़ाइल डाउनलोड करने की कोशिश करता है जहां crossdomain.xml फ़ाइल केवल विश्वसनीय डोमेन से संसाधन डाउनलोड करने की अनुमति के साथ स्थित है, जिसमें से एक पर SWF स्थित होना चाहिए। तदनुसार, यदि "चोरी" एसडब्ल्यूएफ फ़ाइल क्रॉसडोमैन.एक्सएमएल में निर्दिष्ट डोमेन से "विशेष" फ़ाइल तक पहुंचती है, तो सैंडबॉक्स सुरक्षा उल्लंघन होगा और "विशेष" फ़ाइल लोड नहीं होगी। इसके अलावा, एक अपवाद फेंका गया है और SecurityErrorEvent.SECURITY_ERROR

इवेंट को LoaderInfo वर्ग ( Loader.contentLoaderInfo

) के उदाहरण के लिए Loader.contentLoaderInfo

गया है। यह निर्धारित करेगा कि एसडब्ल्यूएफ वह नहीं है जहां यह होना चाहिए।

"विशेष" फ़ाइल को उसके प्रतिस्थापन को रोकने के लिए सीधे तरीके से एक्सेस किया जाना चाहिए।

स्थानीय ट्रिगर परिभाषा

एसडब्ल्यूएफ या एचटीएमएल की एक लिंक प्राप्त करके और इसे सब्स्क्राइब्ड "फ़ाइल //" की उपस्थिति के लिए जाँच करके एसडब्ल्यूएफ का स्थानीय लॉन्च निर्धारित किया जा सकता है।

यदि SWF HTML के बाहर चलाया जाता है, तो ExternalInterface.call

विधि शून्य हो जाएगी।

आप एफपी के प्रकार की भी जांच कर सकते हैं जो SWF Capabilities.playerType

का उपयोग करके चलता है:

"ActiveX" - जब ActiveX FP के माध्यम से खेलते हैं, जो उदाहरण के लिए, IE में उपयोग किया जाता है
"डेस्कटॉप" - एडोब आकाशवाणी रनटाइम के लिए (SWF सामग्री को छोड़कर, जो HTML पेज के साथ भरी हुई है, जो Capabilities.playerType

गुण "प्लग इन" पर सेट है)
"बाहरी" - जब एक बाहरी एफपी के माध्यम से खेल रहे हों या जब फ्लैश प्रोफेशनल आईडीई से शुरू हो
"प्लग इन" - जब एक ब्राउज़र प्लग-इन के माध्यम से खेल रहा हो (और एक AIR एप्लिकेशन में HTML पृष्ठ के साथ भरी हुई SWF सामग्री के लिए)
"स्टैंडअलोन" - जब स्टैंड-अलोन एफपी के माध्यम से खेलते हैं (जब ब्राउज़रों में स्थानीय एसडब्ल्यूएफ फ़ाइल शुरू करते हैं, तो मूल्य Capabilities.playerType != "StandAlone"

) होता है।

दूसरा तरीका Security.sandboxType

की Security.sandboxType

से तुलना करके है।

इन सभी विधियों के अपने फायदे और नुकसान हैं - कुछ के लिए सर्वर की आवश्यकता नहीं होती है, लेकिन डोमेन को बदलने के लिए SWF फ़ाइल को फिर से तैयार करने की आवश्यकता होती है, जिसके लिए बाध्यकारी बनाया जाना चाहिए, और इसके विपरीत कुछ।

लेख के कोड में (संग्रह का एक लिंक लेख के अंत में है), "1-URL लॉक" फ़ोल्डर में, आपको वर्णित कुछ विधियों के कार्यान्वयन के साथ एक उदाहरण मिलेगा और तरीकों में से एक के लिए पैच के कुछ उदाहरण।

चेतावनी! अधिकांश URL- लॉक ट्रिक को डेनवर या XAMPP जैसे स्थानीय सर्वर के तहत काम करके देखा जा सकता है।

- 2. चर, संसाधन और वर्ग

गेम लिखते समय आमतौर पर चर और संसाधनों का ध्यान रखा जाता है। बेशक, क्लाइंट के बाहर महत्वपूर्ण तर्क, डेटा और चर रखना बेहतर है, लेकिन, अफसोस, यह हमेशा संभव नहीं है, इसलिए, कभी-कभी आपको यह सोचना चाहिए कि घोटाले के लिए खामियों की संख्या को कैसे कम किया जाए।

वे संसाधनों और कक्षाओं के प्रतिस्थापन के रूप में अक्सर उपयोग नहीं करते हैं, लेकिन अभी भी उन्हें संपादित करने के लिए उपयोग करते हैं, इसलिए मैं आपको यह बताने की कोशिश करता हूं कि वे इसे कैसे करते हैं और आप इसे कैसे रोक सकते हैं (इससे खुद को बचाना असंभव है)।

परिवर्तनीय संरक्षण

चर को छिपाने और परिवर्तन से संरक्षित किया जाना चाहिए। छिपाने का सबसे आसान तरीका आधार कक्षाओं के आसपास अपने स्वयं के रैपर लिखना है।

उदाहरण के लिए, CryptInt, CryptString, आदि। स्वयं कक्षाओं में, आप एक मान प्राप्त करने और वापस करने के लिए तरीके लिख सकते हैं, इसे एन्क्रिप्ट या डिक्रिप्ट कर सकते हैं, जो मेमोरी में चर को छिपाएगा। "2-मैमोरी एंड डोमेन \ मैमोरीएक्सप्लिमेंट" फ़ोल्डर में लेख के लिए कोड में क्रिप्टाइंट और क्रिप्ट्रीस्ट्रिंग कक्षाओं के कार्यान्वयन पर एक नज़र डालें।

इसके अलावा, चर के मूल्यों को छिपाने के लिए, आप उन्हें घटकों, मिश्रण, बदलाव आदि में तोड़ सकते हैं। आप किसी प्रकार की पाइपलाइन लिखने की कोशिश भी कर सकते हैं जो GC (गारबेज कलेक्टर) के लिए उपयोग किए गए चर को मुक्त करते हुए छिपे हुए मूल्य को एक चर से दूसरे चर में ले जाएगी। बाइटएरे का उपयोग ऐसे पुनरावर्तनीय चर के लिए "अस्थायी भंडारण" के रूप में किया जा सकता है, संभवतः "अल्केमी" के उपयोग के साथ (एज़ोथ से फास्टमेम , एपेरट से मेमोरी)।

और इतना है कि चर नहीं बदल सकते हैं, भले ही वे पाए जाते हैं, तो आप उदाहरण के लिए, एक चर के मान की तुलना संदर्भ के साथ कर सकते हैं। इसके अलावा, एक चर को बदलने या इसे एक्सेस करने और दिए गए अंतराल पर दोनों की तुलना की जा सकती है।

संसाधन स्वैप

आप पूरे SWF को बदल सकते हैं, या बाहरी फ़ाइलों को ब्राउज़र कैश में लोड कर सकते हैं। एक नकली SWF फ़ाइल, या एक स्पूफ संसाधन में, ग्राफिक्स (आकार, पारदर्शिता, शिफ्ट, फ्रेम दर, आदि) और कोड में कोई भी बदलाव (जो आपको कम से कम पसंद है) किया जा सकता है।

बीमार-इच्छाधारी को कार्य को जटिल करने के लिए (यह अपने आप को स्पूफिंग से बचाने के लिए असंभव है), आपको डाउनलोड किए गए डेटा की प्रामाणिकता और खुद को सत्यापित करना चाहिए - उदाहरण के लिए, आप एमडी 5 को स्टोर कर सकते हैं और इसे बूट पर तुलना कर सकते हैं, और एमडी 5 को कहीं दूर और एन्क्रिप्टेड रूप में संग्रहीत किया जाना चाहिए।

यदि SWF सर्वर के साथ संचार करता है - छिपी हुई जाँच करें - डाउनलोड किए गए संसाधनों को MD5 सर्वर पर भेजें, उदाहरण के लिए।

यदि संभव हो, तो, स्पूफिंग को रोकने के लिए, बाहरी एसडब्ल्यूएफ और अन्य संसाधनों को मुख्य एसडब्ल्यूएफ के शरीर में एन्क्रिप्टेड रूप में संग्रहीत किया जा सकता है और Loader.loadBytes

साथ लोड किया जा Loader.loadBytes

, उन्हें खुद से हटाने के बाद। Loader.loadBytes

ब्राउज़र कैश में डाउनलोड किए गए डेटा को Loader.loadBytes

नहीं है, लेकिन एक ही समय में, आपका मुख्य SWF कैश किया जाएगा। ऐसे मामलों में Loader.loadBytes

का उपयोग करने के बारे में अधिक जानकारी लेख के निम्नलिखित वर्गों में से एक में लिखी गई है।

आप सर्वर से संसाधनों और अन्य SWF फ़ाइलों का भी अनुरोध कर सकते हैं जो एन्क्रिप्टेड रूप में हैं, फिर उन्हें डिक्रिप्ट करें और Loader.loadBytes

माध्यम से डाउनलोड करें।

कक्षा ओवरराइड

मैं तुरंत कहूंगा कि स्वयं को इससे बचाना भी असंभव है।

ApplicationDomain

लोडर में SWF लक्ष्य लोड करके कक्षाएं बदली जा सकती हैं। ऐसा करने के लिए, आप एक बूटलोडर लिख सकते हैं जिसमें एक ही नाम वाला एक वर्ग हो सकता है जिसे प्रतिस्थापित किया जा रहा है, और अपने डोमेन में SWF लोड करें:

 var appDomain:ApplicationDomain = ApplicationDomain.currentDomain; var swfLoader:Loader = new Loader(); swfLoader.load(new URLRequest('original.swf'), new LoaderContext(false, appDomain));

इस प्रकार, लोडेड एसडब्ल्यूएफ को अपने लोडर से कक्षा के साथ "संवाद" करने के लिए मजबूर किया जाएगा। आप "2-मेमोरी एंड डोमेन \ एप्लीकेशनडोमेन" फ़ोल्डर में लेख के लिए कोड के कार्यान्वयन के उदाहरण देख सकते हैं। एक बच्चे को अपलोड करने और वहां आपके डोमेन पर कक्षा प्रतिस्थापन के उदाहरण मिलेंगे। "पीड़ित" में आप भीड़ के लिए जाँच करने के लिए कई विकल्प पा सकते हैं (जो उस वर्ग के प्रतिस्थापन की लागत जिसमें वे निहित हैं)।

आप अपने स्वयं के लोडर के माध्यम से मुख्य SWF को लोड करके इसे रोकने का प्रयास कर सकते हैं

 var appDomain:ApplicationDomain = new ApplicationDomain(null); var swfLoader:Loader = new Loader(); swfLoader.load(new URLRequest('original.swf'), new LoaderContext(false, appDomain));

और बूटलोडर और मुख्य SWF के बीच एक मजबूत संबंध स्थापित करना ताकि उन्हें "अलग" करना बहुत मुश्किल हो। हालांकि, अगर वे बूटलोडर को बदल देते हैं और इस कनेक्शन को बनाए रखने का प्रबंधन करते हैं, तो ये प्रयास व्यर्थ होंगे।

केवल महत्वपूर्ण चर और डेटा को सुरक्षित रखें, तरीकों को संयोजित करें।

यदि संभव हो तो, महत्वपूर्ण चर के साथ काम करने का तर्क सर्वर पर ले जाएं, और संसाधनों में बदलाव के लिए सदस्यता लें और जांच करें।

- 3. वॉटरमार्क

उनका उपयोग प्रतिलिपि सुरक्षा, अवैध उपयोग के साथ-साथ विज्ञापन उद्देश्यों के लिए किया जा सकता है।

यहाँ उनके कुछ प्रकार हैं:

उच्च दृश्यमान तत्व: पाठ, लोगो, छवि, आदि।

यदि लेबल "मिलाप" है (यह एसडब्ल्यूएफ में छवियों और ग्राफिक्स दोनों पर लागू होता है), तो आपको लेबल पर लागू किए गए डेटा को संपादित करके इसे मैन्युअल रूप से हटाना होगा, जो बहुत मुश्किल या पूरी तरह से असंभव कार्य हो सकता है।

यदि लेबल अलग से निहित है (या प्रोग्रामेटिक रूप से जोड़ा जाता है), उदाहरण के लिए, एसडब्ल्यूएफ में सबसे ऊपरी "परत" पर, तो इसे सावधानीपूर्वक हटाए जाने की संभावना बहुत अधिक है।
छिपी हुई वस्तु। वे कहीं भी हो सकते हैं। ऐसे वॉटरमार्क से छुटकारा पाना अक्सर असंभव होता है, क्योंकि कोई नहीं बल्कि उनके रचनाकारों को पता होगा कि कहां देखना है। अदालत में यह साबित करने में सक्षम होने के लिए ऐसे निशान अद्वितीय होने चाहिए कि ये वास्तव में निशान हैं और उन्हें दोहराना असंभव है।

यह आइटम बहुत त्रुटिपूर्ण निकला, हालांकि, यहां कहने के लिए और कुछ नहीं है, बस यह मत भूलो कि ऐसे उपाय भी मौजूद हैं।

- 4. "पैकेजिंग" एसडब्ल्यूएफ

एसडब्ल्यूएफ को छिपाना असंभव है, लेकिन कम से कम एक बहुत ही प्रसिद्ध तरीका है जो अशुभ हमलावरों द्वारा वांछित एसडब्ल्यूएफ के लिए खोज को जटिल कर सकता है।

आप एंबेड टैग का उपयोग करके अपने फ्लेक्स या फ्लैश प्रोजेक्ट में SWF जोड़ सकते हैं, उदाहरण के लिए, इस तरह:

 [Embed(source = "./dummy.swf", mimeType = "application/octet-stream")] private var _content:Class;

एक फ़ाइल को इस तरह से जोड़ा गया है (यह किसी भी बाइनरी फ़ाइल या कई फाइलें हो सकती हैं, अगर कई एंबेड टैग हैं) को DefineBinaryData टैग में रखा गया है।

अगला, आप इस तरह से Loader.loadBytes

का उपयोग करके "पैक" फ़ाइल को लोड कर सकते हैं:

 var someFile:ByteArray = new _content(); loader.loadBytes(someFile);

SWF फ़ाइलों को पार्स करने और टैग्स को हेर-फेर करने के लिए कई उपकरण हैं, जिनकी बदौलत DefineBinaryData टैग को बदलना या जोड़ना संभव है।

यह सब जानते हुए, आप प्रक्रिया को स्वचालित करने के लिए अपने सरल "पैकर" को स्केच कर सकते हैं। लपेटने से पहले, एसडब्ल्यूएफ को किसी भी तरह से परिवर्तित किया जा सकता है, उदाहरण के लिए, एक सरल और तेज सममितीय एक्सोर के साथ प्रसंस्करण करके, और बूटलोडर में (जिसमें "पैक" एसडब्ल्यूएफ होगा) कोड लिखें जो इसमें संग्रहीत एसडब्ल्यूएफ को डिक्रिप्ट करेगा और फिर लोड करेगा। एक्सोर के साथ सरल "एन्क्रिप्शन" केवल डिकम्पाइलर्स द्वारा स्वचालित प्रसंस्करण से बचाने के लिए आवश्यक है, ताकि एसडब्ल्यूएफ फ़ाइल लोडर में "शुद्ध रूप" में न हो, अधिक जटिल एन्क्रिप्शन व्यर्थ है।

ऐसा होता है कि फाइलें अन्य तरीकों से "एम्बेडेड" होती हैं, उदाहरण के लिए, बिटमैपडेटा के रूप में, और नेस्टिंग के कई स्तर भी बनाते हैं।

सरलतम पैकर के कार्यान्वयन का एक उदाहरण "3-SWFPacker" फ़ोल्डर में, लेख के लिए कोड में पाया जा सकता है। इसके अलावा दो फाइलें हैं: Origin.swf और pack.swf - आप विघटित करने और उनकी तुलना करने की कोशिश कर सकते हैं।

यह विधि कम से कम दो तरीकों से करती है:

- बूटलोडर में डिकोडर एल्गोरिथ्म का अध्ययन और अपना डिकोडर लिखना (समय लेने वाली, विशेष रूप से एक बड़े नेस्टिंग लोडर के साथ)

- मेमोरी के उस हिस्से को सहेजना जिसमें SWF फ़ाइल जो पहले से ही अनपैक और एफपी में भरी हुई है, स्थित है (बस और जल्दी से, खासकर यदि मेमोरी से बचाने के लिए सुरक्षा के साधन जो नीचे वर्णित हैं, उपयोग नहीं किए जाते हैं)

- 5. डायनेमिक कोड जेनरेशन और SWF एडिटिंग

मुझे पहले से ही बार-बार पूछा गया है - क्या यह वास्तविक समय के फ्लैश में कोड उत्पन्न करने या अन्य SWF फ़ाइलों को बनाने और संपादित करने के लिए संभव है? जवाब है हां, यह संभव है!

कोड के लिए, AS3Commons ByteCode का प्रयास करें। यह परियोजना आपको वास्तविक समय के बाइटकोड को इकट्ठा करने और निष्पादित करने की अनुमति देगा।

आप खरोंच से विभिन्न तरीकों और गुणों के साथ कक्षाएं बना सकते हैं, या अन्य वर्गों से विरासत में ले सकते हैं। विधि निकाय, उदाहरण के लिए, बाइटकोड को रैखिक रूप से उपयोग करके वर्णित किया जा सकता है - methodBuilder.addOpcode(Opcode.getlocal_0)

, या तुरंत ब्लॉकों में:

 var source:String = (<![CDATA[ getlocal_0 pushscope ... getlocal_1 returnvalue]]>).toString(); methodBuilder.addAsmSource(source);

आप abcBuilder.buildAndLoad()

का उपयोग करके उत्पन्न कोड को AVM में लोड कर सकते हैं।

इसके अलावा bytecode में हेरफेर करने के लिए आप as3abc की कोशिश कर सकते हैं, जो कि लेखक के अनुसार, कुख्यात जोए एबर्ट से अद्भुत ऐपेट फ्रेमवर्क का एक आंशिक बंदरगाह है।

यदि आप एक स्क्रिप्ट के गतिशील निष्पादन का सपना देखते हैं, न कि बाइटकोड, तो as3scriptinglib को देखें । इस परियोजना का उपयोग करके, आप वास्तविक समय में जावास्क्रिप्ट सहित ActionScript 3 / ECMAScript स्क्रिप्ट को संकलित और निष्पादित कर सकते हैं। आप देख सकते हैं कि यह फ्लेक्स डेमो एप्लिकेशन में कैसे काम करता है। दुर्भाग्य से, परियोजना लंबे समय तक अपडेट नहीं की गई है।

SWF फ़ाइल और इसकी संरचना के साथ प्रयोग करने के लिए, as3swf या swfassist आज़माएँ ।

मक्खी पर कोड उत्पन्न करने की क्षमता, साथ ही वास्तविक समय में एसडब्ल्यूएफ को संपादित करने और बनाने की क्षमता, आपको एक हमलावर को भ्रमित करने और अपने कोड को छिपाने के लिए विभिन्न जटिल स्क्रिप्ट और ट्रिक्स बनाने की अनुमति देती है। यहाँ, उदाहरण के लिए, पहली 3 चालें जो मेरे दिमाग में आईं:

सर्वर से आने वाले भागों में ग्राहक पक्ष पर कोड \ bytecode उत्पन्न करें और निष्पादित करें, पूरे कोड से मूल SWF में बीमार-शुभचिंतकों को छोड़कर, केवल यह कि आपको उन्हें छोड़ने का मन नहीं है (मुक्त पुस्तकालयों, बटन, आदि का कोड) + डिकोडर का कोड और "बिल्डर" पहले से ही अंतिम कोड है।
SWF को क्लाइंट साइड पर भागों में इकट्ठा करें, कोड के साथ एक ट्रिक के समान - आप टैग से एकत्र कर सकते हैं, उन्हें सर्वर से प्राप्त कर सकते हैं, या बूटलोडर में पैक एन्क्रिप्टेड डेटा से एक-एक करके अनपैक कर सकते हैं।
निष्पादन प्रक्रिया के दौरान स्वयं-संशोधित कोड बनाएँ, जो उदाहरण के लिए, कुछ नियमों या पैटर्न के अनुसार अलग-अलग तरीकों से समान तरीके उत्पन्न करेगा। उदाहरण के लिए, i ++ को i + = 1 के रूप में लागू किया जा सकता है (और यह एक अलग बायोटेक होगा, कम से कम अब यह अलग है, FP 10.1 में), लूप को भी अलग-अलग तरीकों से लागू किया जा सकता है, आदि।

इस तरह से कार्य करना संभव हो सकता है कि उत्पन्न कोड उन तरीकों को संशोधित करता है जो इसे उत्पन्न करते हैं। उदाहरण के लिए, ताकि उनके निष्पादन की अगली पुनरावृत्ति में अन्य वर्गों और विधियों को उत्पन्न किया जाएगा, जिससे कोड को काफी जटिल और भ्रमित किया जा सकेगा, ताकि, यदि यह किसी हमलावर द्वारा प्राप्त किया गया था, तो उत्तरार्द्ध को यह सब "गड़बड़" पार्स पर जितना संभव हो उतना समय बिताना होगा।

मुझे लगता है कि यह एक जटिल (या फ्लैश में भी असंभव) चाल है। मैं अभी तक फ्लैश पर इस विचार के वास्तव में काम करने वाले कार्यान्वयन से नहीं मिला हूं। यदि आप मिले हैं, तो मुझे बताएं कि मुझे कहां देखना है, मुझे अध्ययन करने में खुशी होगी।

- 6. कोड ओफ़्फ़्यूशन और डेटा छिपाना

सबसे पहले ओब्यूशन के बारे में। स्रोत और बायटेकोड-संकलित कोड दोनों को इसके संपर्क में लाया जा सकता है। स्रोत कोड का अवलोकन इतना सुविधाजनक और प्रभावी नहीं है, क्योंकि ऑफ्टेकसेटिंग बाईटेकोड बहुत अधिक आकर्षक लगता है, क्योंकि स्रोत कोड को कंपाइलर की आवश्यकताओं को पूरा करना चाहिए, जो कि बायटेकोड के बारे में नहीं कहा जा सकता है, जिसमें, इसके अलावा, कल्पना और सरलता की अभिव्यक्ति के लिए बहुत अधिक गुंजाइश है।

बायोटेक ऑब्सफैक्शन में नाम बदलने वाले तत्वों को संकलक के लिए अर्थहीन और अनजाने नामों में शामिल किया जा सकता है, कुछ एंटी-डिकंपाइलर ट्रिक का उपयोग करके, कोड को छिपाया और "कूड़े करना" आदि।

नाम बदलना, शायद, एकमात्र अपरिवर्तनीय और 100% काम करने का तरीका है, जो फ्लैश में कम से कम कुछ छिपाने के लिए है। विधि का सार उन तरीकों, गुणों, पैकेजों और नामों के अन्य तत्वों को बदलना है जो संकलन के बाद सहेजे जाते हैं, लेकिन कोड को निष्पादित करते समय उपयोग नहीं किए जाते हैं। मूल नामों को स्वचालित रूप से पुनर्स्थापित करना असंभव है, आपको कोड अनुसंधान के दौरान अर्थ में उनके बारे में अनुमान लगाते हुए, यह मैन्युअल रूप से करना होगा। आक्षेप के बाद, नए नामों में अमान्य वर्ण या आरक्षित शब्द हो सकते हैं, जो आपको आसानी से विघटित होने और कोड को विघटन के बाद उपयोग करने की अनुमति नहीं देगा।

कभी-कभी, जब बायोटकोड को बाधित किया जाता है, तो "ट्रैप्स" डिकम्पाइलर्स के लिए सेट होते हैं, इस तथ्य के आधार पर कि डिकॉम्पलर एफपी के विपरीत, ब्लॉक में, जटिल तरीके से कोड का विश्लेषण करते हैं, जो इसे रैखिक रूप से निष्पादित करता है, उदाहरण के लिए:

अमान्य "मृत कोड" - एक कृत्रिम सशर्त संक्रमण बनाया जाता है, जो हमेशा केवल एक शाखा को पूरा करता है। इस प्रकार, दूसरी शाखा में, हमारे पास कोड है जिसे कभी भी निष्पादित नहीं किया जाएगा, लेकिन डिकंपाइलर्स द्वारा संसाधित किया जाएगा। और अगर कुछ अप्रत्याशित है (और हम वहां कुछ भी कर सकते हैं, क्योंकि एफपी कभी नहीं मिलेगा), तो कुछ डीकंपाइलर असामान्य रूप से व्यवहार कर सकते हैं - उदाहरण के लिए, क्रैश।
उन क्षेत्रों में अप्रत्याशित बाइट्स जो एफपी को अनदेखा करता है, लेकिन जो हमेशा अनदेखा नहीं करते हैं और सही ढंग से डिकंपाइलर को संभालते हैं।

इसके अलावा, कोड बस "कूड़े" हो सकते हैं, इसे मात्रा में बढ़ा सकते हैं और इसकी पठनीयता को कम कर सकते हैं। यह प्रदर्शन पर प्रतिकूल प्रभाव डाल सकता है।

डेटा को विभिन्न तरीकों से छिपाया जा सकता है, उदाहरण के लिए:

SWF . , flex- Embed SWF DefineBinaryData, , SWF (FP ) , .

, "4-CustomTag" — as3swf ( com.codeazur.as3swf.factories.SWFTagFactory

com.codeazur.as3swf.tags.TagCustom

). , SWF — , — , , , SWF Loader.loadBytes()

SWF .

. , ( , , ):

 package { [FocusMeta(name="secret", data="123")] public class Dummy { [Cool(key="another secret")] public var dummyInt:int; public var dummyStr:String; } }

"Additional compiler arguments" : -keep-as3-metadata+=FocusMeta,Cool. , XML, describeType()

:

 var typeXML: XML = describeType(Dummy); var myMeta: XMLList = typeXML.factory.metadata.(@name == "FocusMeta");

कुछ डिकंपाइलर और डिस्सेम्बलर्स उपयोगकर्ता टैग और मेटाडेटा को खोजने और पता लगाने में आसान बनाते हैं।

डिकम्पाइलर्स में उच्च-गुणवत्ता के हस्तक्षेप को बनाने के लिए स्वतंत्र रूप से जानने के लिए, आपको यह अध्ययन करना होगा कि डिकम्पोलर सामान्य रूप से बायटेकोड और एसडब्ल्यूएफ की जांच कैसे करते हैं। लेकिन याद रखें - डिकंपाइलर डेवलपर्स लगातार अपने उत्पादों को विकसित कर रहे हैं और यदि आपके ट्रिक के साथ SWF उन्हें मिल जाता है, तो ये ट्रिक काम करना बंद कर सकती हैं।

एसडब्ल्यूएफ सुरक्षा उपयोगिताओं हैं जो केवल नाम के बिना डिकंपाइलर या "पैकेजिंग" विधियों के खिलाफ चाल का उपयोग करते हैं, जो आपको उच्च-गुणवत्ता वाले सार्वजनिक या अपने स्वयं के डिकंपाइलर्स का उपयोग करके लगभग मूल स्रोत कोड प्राप्त करने की अनुमति देता है, जो त्रुटियों के बिना संकलन करता है और अच्छी तरह से पढ़ा जाता है। नीचे मैं "सही" टूल के बारे में बात करूंगा, जिस पर आपको ध्यान देना चाहिए।

- 7. मेमोरी से SWF फ़ाइल को बचाने के खिलाफ संरक्षण

स्वयं को स्मृति से एक डंप से सुरक्षित करना असंभव है। हालांकि, एक सरल तकनीक है जो प्रक्रिया को जटिल कर सकती है - आप बहुत सारे नकली SWF हेडर बना सकते हैं (वे आमतौर पर मेमोरी में SWF फ़ाइलों को देखने के लिए उपयोग किए जाते हैं) जो मूल SWF को उनके बीच खो जाने में मदद करेंगे। ताकि आपकी SWF फ़ाइल दूसरों से अलग न हो, आप अपनी SWF फ़ाइल के आकारों = आकारों के साथ बहुत सारे नकली हेडर बना सकते हैं।

हेडर को मेमोरी में दिखाई देने के लिए, बस उन्हें एक बाइटएयरे में लिखें। इस विधि के कार्यान्वयन का एक उदाहरण है, जो किसी एक रक्षक के बूटलोडर से खींचा गया है:

 private function spamMemory(swfBytes:ByteArray):void { var allLen:uint = swfBytes.readUnsignedInt(); var swfLen:uint = swfBytes.readUnsignedInt(); var spamMemorySWFLen:uint = swfBytes.readUnsignedInt(); var spamMemorySWFBytes:ByteArray = new ByteArray(); spamMemorySWFBytes.endian = Endian.LITTLE_ENDIAN; swfBytes.readBytes(spamMemorySWFBytes, 0, spamMemorySWFLen); var allBytes:ByteArray = new ByteArray(); while (allBytes.length < allLen) { spamMemorySWFBytes.position = 4; spamMemorySWFBytes.writeUnsignedInt((((swfLen * 3) / 4) + ((Math.random() * swfLen) / 2))); allBytes.writeBytes(spamMemorySWFBytes); }; Sprite.prototype["__spam_"] = allBytes; }

जैसा कि आप अनुमान लगा सकते हैं, swfBytes "नकली" हेडर बनाने के लिए "टेम्पलेट" हेडर और "सेटिंग्स" की शुरुआत के साथ बाइट्स की एक सरणी है, और एक लूप में, "टेम्पलेट" हेडर की लंबाई किसी दिए गए रेंज में यादृच्छिक मान से भर जाती है।

- 8. फ्लैश एक्सप्लोरर टूलकिट

अपने स्वयं के अनुभव के आधार पर, मैं इन उपकरणों की सिफारिश करूंगा (कीमतों को 2010 के अंत में दर्शाया गया है):

Decompilers:

एक्शन स्क्रिप्ट व्यूअर (एएसवी) - चतुराई से कोड का विश्लेषण करता है, एक समयरेखा बनाता है, सभी टैग देखता है, बहुत कुछ जानता है। एक उपयोगकर्ता के लिए लाइसेंस की लागत $ 80 है।
AS3 जादूगर (ASV डेवलपर से) - केवल कोड को डिकंपाइल करता है, ASV इंजन का उपयोग कोड का विश्लेषण करने के लिए किया जाता है, यह जल्दी और बहुत कुशलता से काम करता है। यदि आपने 2010 में एएसवी खरीदा है, तो आपको एएस 3 जादूगर के लिए मुफ्त में लाइसेंस दिया जाएगा। 3 महीने के लिए मुफ्त अपडेट वाले लाइसेंस की लागत $ 22 है।
Sothink SWF Decompiler – , ASV. — $79.99.

( ):

ASV Sothink , .
Nemo440 – "Advanced ActionScript 3/ABC2/Flex 2/Flex 3/Flex 4/AIR disassembler". .
Yogda – "AVM2 bytecode workbench" – , , , SWF, . .
RABCDAsm – "Robust ABC (ActionScript Bytecode) [Dis-]Assembler" – \ . (+ ).

secureSWF — , , . , , secureSWF . , , "" .. , "" SWF . , : Standard $199.
irrFuscator — , , , , , .. . , , "" . Standard 79 .
OBFU – , flash, ( – 1500 ). — , haXe. – AS3, .. , , as2 2005 . , , - , , .

मैं आपको यह भी ध्यान देने के लिए कहता हूं कि अमायटा एसडब्ल्यूएफ एनक्रिप्ट, डीसीओमॉफ्ट एसडब्ल्यूएफ प्रोटेक्टर, मोची एनक्रिप्शन, - यह वह नहीं है जो आपको अपनी परियोजनाओं की "रक्षा" करनी चाहिए (फिलहाल), आप अपना पैसा बेकार की सुरक्षा पर खर्च करेंगे।

इसके अलावा, आप स्वतंत्र रूप से सबसे सरल ओफ़्स्क्यूशन को लागू कर सकते हैं, उदाहरण के लिए, यह makc3d से उदाहरण में किया जाता है । डेप्रोटेक्टर्स \ डिक्रिप्टर्स, आदि।:

एसडब्ल्यूएफ रीडर - एक पोलिश शिल्पकार की एक परियोजना - एक बहुक्रियाशील संपादक जो आपको संरचनाओं, टैग आदि के साथ काम करने की अनुमति देता है। इसमें कुछ जाने-माने उत्पादों (विशेष रूप से, doSWF, SecureSWF के लिए अनपैकर्स) के लिए अंतर्निहित डिक्रिप्टर्स / डेप्रोटेक्टर भी हैं। एक लाइसेंस की लागत 10 यूरो है।
SWF डिक्रिप्ट - आपको Amayeta SWF Encrypt और DComSoft SWF रक्षक (Mochi एन्क्रिप्शन भी डेवलपर की योजनाओं में है) से छुटकारा पाने में मदद करता है। यह मुफ़्त है।

विविध:

SWiX एक सुविधाजनक XML प्रतिनिधित्व में एक SWF फ़ाइल के टैग को संपादित करने के लिए एक उत्कृष्ट उपयोगिता है। यह मुफ़्त है।

यदि आप अन्य जानते हैं, वास्तव में उल्लेखनीय उपकरण, और उनके बारे में बात करने के लिए तैयार हैं, तो हमें टिप्पणियों में बताएं या व्यक्तिगत रूप से लिखें, मुझे उनसे मिलकर खुशी होगी।

- उपसंहार

संक्षेप में, हम कह सकते हैं कि कुशलता से अपनी परियोजनाओं की रक्षा के लिए तात्कालिक साधनों का उपयोग करके, आप घुसपैठियों के कुछ दर्शकों को मात दे सकते हैं। हालांकि, यदि कोई पेशेवर आपकी एसडब्ल्यूएफ फ़ाइल की जांच करता है, तो वह शायद बाधाओं को नहीं रोकेगा और मामले को समाप्त कर देगा, खासकर यदि वह एक दिलचस्प कार्य या पर्याप्त मौद्रिक इनाम से प्रेरित है। इसलिए, हमेशा अपनी परियोजनाओं की सुरक्षा के लिए आपके योगदान का उचित मूल्यांकन करें - यदि इसके लायक नहीं है तो इस पर बहुत अधिक समय और पैसा खर्च न करें।

और फिर भी - डीबगिंग जानकारी के साथ एसडब्ल्यूएफ को संकलित न करें, जैसा कि इसमें संभावित क्रैकर के लिए कई उपयोगी डेटा शामिल हैं, प्रदर्शन में कमी का उल्लेख नहीं करने के लिए।

सामग्री पढ़ने के लिए इस कठिन पढ़ने के लिए धन्यवाद। मुझे उम्मीद है कि आपने अपने लिए कुछ नया पाया होगा। आप टिप्पणियों में कोई भी सुझाव, सुझाव और रचनात्मक सुझाव छोड़ सकते हैं, मैं आपका बहुत आभारी रहूंगा।

इस लेख के लिए शिक्षण सामग्री और जानकारी के स्रोत (बेतरतीब ढंग से):

FITC एम्स्टर्डम 2010 के साथ क्लॉस वाहलर्स "हैकिंग एसडब्ल्यूएफ" की प्रस्तुति ।
साइमनोव वेलेंटाइन रिपोर्ट ( वेलगार्ड ) "फ्लैशगैम 2010 के साथ हमारे गेम को कौन और कैसे हैक करें"
निकिता लेशचेंको द्वारा अंग्रेजी में एक लेख, एन्क्रिप्शन का उपयोग करके संसाधनों और कोड की रक्षा कैसे करें।
रोमानीम से लेख "डू-इट-योर प्रोटेक्शन"।
नॉटिलस का लेख "अपने गेम को रिब्रांडिंग से कैसे बचाएं।"
puzzlesea "Robolander, 25 days later. , ".
flashco ": €1500".
Alexis' SWF Reference — , SWF .
OWASP – , flash ( , ..).
flash senocular "Security Domains, Application Domains, and More in ActionScript 3.0".
Adobe flash.
Adobe FP 10 (White Paper).

इसके अलावा इस लेख और इसके लिए कोड में, यहां निर्दिष्ट स्रोतों से विभिन्न सामग्रियों का उपयोग किया जा सकता है जो मुझे याद नहीं था।

लेख के लिए फाइलें: codestage.ru/files/flash_defend_files.7z

फ़्लैश अनुप्रयोगों को "सुरक्षित" करने के तरीके