. NET obfuscation tools / strategy [closed]

Próbowaliśmy wielu zaciemnień. Żaden z nich nie działa na dużej aplikacji klient/serwer, który używa remoting. Problem polega na tym, że klient i serwer mają wspólne biblioteki dll, a my nie znaleźliśmy żadnego obfuscatora, który by sobie z tym poradził.

Wypróbowaliśmy DotFuscator Pro, SmartAssembly, XenoCode, Salamander i kilka małych aplikacji, których nazwy mi uciekają.

Szczerze mówiąc, jestem przekonany, że zaciemnienie to wielka ściema.

Nawet problemy, które rozwiązuje, nie są do końca prawdziwym problemem. Na jedyną rzeczą, którą naprawdę musisz chronić, są ciągi połączeń, kody aktywacyjne, wrażliwe na bezpieczeństwo rzeczy. Ten nonsens, że inna firma zamierza odtworzyć twój cały kod i stworzyć z niego konkurencyjny produkt, to coś z koszmaru paranoicznego menedżera, a nie rzeczywistość.

Jestem teraz "po kolana" w tym, próbując znaleźć dobre rozwiązanie. Oto moje dotychczasowe wrażenia.

Xenocode - mam starą licencję na Xenocode2005, której używałem do zaciemniania moich zestawów. NET 2.0. Działało dobrze na XP i było przyzwoitym rozwiązaniem. Mój obecny projekt to. net 3.5 i jestem Na Vista, wsparcie powiedział mi dać go spróbować, ale Wersja 2005 nawet nie działa na Vista (crashes) więc I teraz muszę kupić "PostBuild2008" w pyskującej cenie $1900. To może być dobre narzędzie, ale się nie dowiem. Za drogo.

Reactor.Net - jest to znacznie atrakcyjniejszy punkt cenowy i działało dobrze na moim samodzielnym wykonywalnym. Moduł licencjonowania był również miły i zaoszczędziłby mi sporo wysiłku. Niestety brakuje w nim kluczowej funkcji, a mianowicie możliwości wykluczenia rzeczy z zaciemnienia. To sprawia, że niemożliwe jest osiągnięcie wymaganego rezultatu (Scalanie wielu zespołów razem, zaciemnianie niektóre, nie-zaciemniać inne).

SmartAssembly - pobrałem Eval dla tego i działało bez zarzutu. Byłem w stanie osiągnąć wszystko, czego chciałem, a interfejs był pierwszej klasy. Cena jest nadal nieco wysoka.

Dotfuscator Pro - nie można znaleźć ceny na stronie. Obecnie w dyskusjach, aby uzyskać wycenę. Brzmi złowieszczo.

Confuser - projekt open source, który działa dość dobrze(aby zmylić ppl, tak jak sama nazwa wskazuje). https://confuser.codeplex.com/
( dodany przez jgauffin)

Jeśli szukasz darmowego, możesz wypróbować DotObfuscator Community Edition, który jest dostarczany z Visual Studio lub Eazfuscator.NET .

Od 29 czerwca 2012, Eazfuscator.NET jest teraz komercyjny. Ostatnia Darmowa dostępna wersja to 3.3.

Używam smartassembly. Zasadniczo wybierasz bibliotekę dll i zwraca ją zaciemnioną. Wydaje się, że działa dobrze i nie miałem żadnych problemów do tej pory. Bardzo, bardzo łatwy w użyciu.

Wypróbowałem prawie każdy obfuscator na rynku i SmartAssembly jest moim zdaniem najlepszy.

Używałem również SmartAssembly. Stwierdziłem, że Ezrinz. Net Reactor jest znacznie lepszy dla mnie w aplikacjach. NET. Zaciemnia, obsługuje mono, łączy zespoły, a także ma bardzo ładny moduł licencyjny do tworzenia wersji próbnej lub połączenia licencji z konkretnym komputerem (bardzo łatwy do wdrożenia). Cena jest również bardzo konkurencyjna i kiedy potrzebowałem wsparcia, gdzie szybko. Eziriz

Dla jasności jestem tylko custumerem, który lubi ten produkt i nie jest w żaden sposób związany z firmą.

Krótka odpowiedź jest taka, że nie możesz.

Istnieją różne narzędzia, które utrudnią komuś przeczytanie Twojego kodu - niektóre z nich zostały wskazane przez inne odpowiedzi.

Jednak wszystko to sprawia, że trudniej jest czytać - zwiększają ilość wymaganego wysiłku, to wszystko. Często wystarczy to, aby zniechęcić przypadkowych czytelników, ale ktoś, kto jest zdeterminowany, aby zagłębić się w twój kod, zawsze będzie w stanie to zrobić.

Mamy aplikację wielopoziomową z asp.net i interfejs winform, który również obsługuje remoting. Nie miałem problemów z używaniem jakiegokolwiek obfuscatora z wyjątkiem typu szyfrującego, który generuje loader, który może być problematyczny na różne nieoczekiwane sposoby i po prostu nie warto w mojej opinii. Właściwie moja rada byłaby bardziej zbliżona do "unikaj szyfrowania zaciemniaczy typu loader, takich jak plaga". :)

Z mojego doświadczenia każdy obfuscator będzie działał dobrze z każdym aspektem z. Net w tym asp.net i remoting, po prostu trzeba stać się intymne z ustawieniami i dowiedzieć się, jak daleko można go wcisnąć, w których obszarach kodu. Poświęć trochę czasu, aby spróbować inżynierii odwrotnej na to, co masz i zobaczyć, jak to działa z różnymi ustawieniami.

Przez lata używaliśmy kilku w naszych aplikacjach komercyjnych i osiedliliśmy się na przyprawy obfuscator z 9rays.net ponieważ cena jest odpowiednia, wykonuje swoją pracę i mają dobre wsparcie, chociaż naprawdę nie potrzebowaliśmy wsparcia w lat już, ale szczerze mówiąc, nie sądzę, że naprawdę ma znaczenie, którego obfuscator używasz, problemy i krzywa uczenia się są takie same, jeśli chcesz, aby działał poprawnie z remotingiem i asp.net.

Jak inni wspominali, wszystko, co naprawdę robisz, jest odpowiednikiem kłódki, utrzymując uczciwych ludzi na zewnątrz i lub utrudniając po prostu przekompilowanie aplikacji.

Licencjonowanie jest zazwyczaj kluczowym obszarem dla większości ludzi i zdecydowanie powinieneś używać jakiegoś rodzaju cyfrowego podpisany System certyfikatów do licencjonowania. Twoja największa strata będzie wynikać z przypadkowego dzielenia się licencjami, jeśli nie masz inteligentnego systemu, ludzie, którzy łamią system licencjonowania, nigdy nie będą kupować.

Naprawdę łatwo jest posunąć się za daleko i mieć negatywny wpływ na klientów i firmę, robić to, co jest proste i rozsądne, a następnie nie martwić się o to.

Przez ostatnie dwa dni eksperymentowałem z Dotfuscator Community Edition advanced (darmowym pobraniem po zarejestrowaniu podstawowego CE, który jest dołączony do Visual Studio).

Myślę, że powodem, dla którego więcej osób nie używa maskowania jako domyślnej opcji jest to, że jest to poważny kłopot w porównaniu z ryzykiem. Na mniejszych projektach testowych mogłem uzyskać ukryty kod uruchomiony z dużym wysiłkiem. Wdrożenie prostego projektu za pomocą ClickOnce było kłopotliwe, ale możliwe do osiągnięcia po ręcznym podpisywanie manifestów z magiem. Jedynym problemem było to, że po błędzie ślad stosu wrócił zaciemniony i CE nie ma zapakowanego deobfuscator lub clarifier.

Próbowałem zaciemnić prawdziwy projekt, który jest oparty na VSTO w Excelu, z integracją Virtual Earth, wieloma wywołaniami webservice i kontenerem IOC I dużo refleksji. To było niemożliwe.

Jeśli zaciemnienie jest naprawdę krytycznym wymogiem, powinieneś zaprojektować swoją aplikację z myślą o tym od samego początku, testowanie zaciemnionych kompilacji w miarę postępów. W przeciwnym razie, jeśli jest to dość złożony projekt, skończysz z poważnym bólem.

Crypto Obfuscator rozwiąże wszystkie twoje obawy i scenariusze. It:

1. automatycznie wyklucza typy / członków z zaciemniania na podstawie reguł. Serializowane typy / pola są jednym z nich.
2. może być zintegrowany z procesem budowania za pomocą MSBUild.
3. podpory ASP.Net projekty.

Ostatnio próbowałem przekierować wyjście jednego darmowego obfuscatora do innego darmowego obfuscatora-a mianowicie Dotfuscator CE i Nowy obfuscator Babel na CodePlex. Więcej szczegółów na moim blogu.

Jeśli chodzi o serializację, przeniosłem ten kod do innej biblioteki DLL i włączyłem go do projektu. Uznałem, że nie ma tam żadnych tajemnic, które nie są w XML i tak, więc nie trzeba zaciemniać. Jeśli w tych klasach jest jakiś poważny kod, to użycie klas częściowych w główny zespół powinien go pokryć.

Powinieneś używać tego, co jest najtańsze i najbardziej znane dla Twojej platformy i nazwij to dniem. Zaciemnianie języków wysokiego poziomu jest trudnym problemem, ponieważ strumienie opcode maszyn wirtualnych nie cierpią z powodu dwóch największych problemów natywnych strumieni opcode: identyfikacji funkcji/metod i aliasingu rejestru.

Co powinieneś wiedzieć o cofaniu kodu bajtowego, to to, że testerzy zabezpieczeń sprawdzają prosty kod X86 i znajdują w nim luki. W raw X86, ty nie może nawet znaleźć poprawnych funkcji, nie mówiąc już o śledzeniu zmiennej lokalnej podczas wywołania funkcji. W prawie żadnych okolicznościach natywne odwracacze kodu nie mają dostępu do nazw funkcji i zmiennych-chyba że przeglądają kod Microsoftu, dla którego MSFT pomaga publicznie udostępniać te informacje.

"Dotfuscation" działa głównie poprzez szyfrowanie nazw funkcji i zmiennych. Prawdopodobnie lepiej to zrobić niż opublikować kod z informacjami o poziomie debugowania, gdzie Reflektor dosłownie rezygnuje z twojego kodu źródłowego. Ale wszystko, co zrobisz poza tym, może uzyskać malejące zyski.

Nie miałem żadnych problemów ze Smartassembly.

Możesz użyć "Dotfuscator Community Edition" - jest on domyślnie dostępny w Visual Studio 2008 Professional. Możesz o tym przeczytać na stronie:

Http://msdn.microsoft.com/en-us/library/ms227240%28VS.80%29.aspx
http://www.preemptive.com/dotfuscator.html

"Profesjonalna" wersja produktu kosztuje, ale jest lepsza.

Czy naprawdę potrzebujesz zaciemnienia kodu? Zazwyczaj jest bardzo niewiele złego w dekompilacji aplikacji, chyba że jest używany dla celów bezpieczeństwa. Jeśli obawiasz się, że ludzie "kradną" Twój kod, nie bądź; zdecydowana większość ludzi patrzy na Twój kod w celach edukacyjnych. W każdym razie, nie ma całkowicie skutecznej strategii maskowania dla. NET - ktoś z wystarczającymi umiejętnościami zawsze będzie w stanie dekompilować/zmienić aplikację.

Unikaj Reaktora. Jest to całkowicie bezużyteczne (i tak, zapłaciłem za licencję). Xenocode był najlepszym, z jakim się spotkałem i do którego też kupiłem licencję. Wsparcie było bardzo dobre, ale nie potrzebowałem go bardzo, ponieważ po prostu działało. Przetestowałem każdy obfuscator, który mogłem znaleźć i mój wniosek jest taki, że xenocode był daleko i daleko najbardziej wytrzymały i zrobił najlepszą robotę (również możliwość post przetwarzania EXE.NET do natywnego exe, którego nie widziałem nigdzie indziej.).

Istnieją dwie główne różnice między reaktor i xenocode. Pierwsza jest taka, że Xenocode faktycznie działa. Drugim jest to, że szybkość wykonywania złożeń nie różni się. Z reaktorem był około 6 milionów razy wolniejszy. Odniosłem też wrażenie, że reaktor był jednoosobową operacją.

Znalazłem Agile.Net zapewnij całkiem dobrą ochronę dla swojego zestawu. Net, ponieważ oferuje nie tylko zaciemnianie, ale także szyfrowanie. Pobierz darmowy trail.
http://secureteam.net/NET-Code-Protection.aspx http://secureteam.net/downloads.aspx

Zaciemniam kod w tej samej aplikacji od. Net 1, i to był poważny ból głowy z punktu widzenia konserwacji. Jak już wspomniałeś, problemu serializacji można uniknąć, ale naprawdę łatwo jest popełnić błąd i zaciemnić coś, czego nie chcesz zaciemnić. Łatwo jest złamać kompilację lub zmienić wzorzec zaciemniania i nie móc otwierać starych plików. Dodatkowo może być trudno dowiedzieć się, co poszło nie tak i gdzie.

Naszym wyborem był Xenocode, a gdybym jeszcze dzisiaj dokonał wyboru, wolałbym nie zaciemniać kodu lub używać Dotfuscatora.

Oto dokument od samego Microsoftu.Mam nadzieję, że to pomoże..., pochodzi z 2003 roku, ale nadal może być istotne.

Używamy SmartAssembly na naszym kliencie windows. Działa dobrze.

Dodaje też kilka dodatkowych problemów. Wypisywanie nazw klas w plikach logów / wyjątkach musi zostać usunięte z ukrycia. I oczywiście nie można utworzyć klasy z jej nazwy. Dobrze jest więc przyjrzeć się klientowi i zobaczyć, jakie problemy można uzyskać poprzez zaciemnianie.

Wszystko zależy od języka programowania, którego używasz. Przeczytaj artykuł: Obfuscated code

Darmowym sposobem byłoby użycie dotfuscatora z poziomu visual studio, w przeciwnym razie musisz wyjść i kupić obfuscator, taki jak Postbuild ( http://www.xenocode.com/Landing/Obfuscation.aspx )

Musiałem użyć ochrony przed maskowaniem / zasobami w moim najnowszym rpoject i znalazłem Crypto Obfuscator jako ładne i proste w użyciu narzędzie. Problem z serializacją jest tylko kwestią ustawień tego narzędzia.

Jest dobra wersja open source o nazwie Obfuscar. Wygląda na to, że działa dobrze. Typy, właściwości, pola, metody mogą być wykluczone. Oryginał jest tutaj: https://code.google.com/p/obfuscar/, ale ponieważ wydaje się, że nie jest już aktualizowany, ktoś rozwidlił go tutaj: https://obfuscar.codeplex.com/

Warto również przyjrzeć się nowym technologiom ochrony kodu, takim jak Metaforic i V. I.Labs oraz nowym technologiom ochrony przed kopiowaniem oprogramowania, takim jak ByteShield . Ujawnienie: pracuję dla ByteShield.

Używam również smartassembly. Nie wiem jednak, jak to działa w przypadku aplikacji webowej. Chciałbym jednak zwrócić uwagę, że jeśli Twoja aplikacja korzysta z ochrony typu shareware, upewnij się, że nie sprawdza licencji z zwrotem logicznym. to zbyt łatwe byte crack. http://blogs.compdj.com/post/Binary-hack-a-NET-executable.aspx

SmartAssembly jest świetny, byłem używany w większości moich projektów

Próbowałem wersji demo Eziriz....Podobało mi się. Ale nigdy nie przyniósł oprogramowania.

Zaciemnianie nie jest prawdziwą ochroną.

Jeśli Masz plik. NET Exe, istnieje znacznie lepsze rozwiązanie.

Używam Themida i mogę powiedzieć, że działa bardzo dobrze.

Jedyną wadą Themida jest to, że nie może chronić bibliotek DLL.NET. (Chroni również kod C++ w Exe i bibliotekach DLL)

Themida jest o wiele tańsza od wymienionych tutaj obfuscatorów i jest najlepsza w anty piractwo ochrona na rynku. Tworzy maszyna wirtualna były krytyczne części kodu są uruchamiane i uruchamia kilka wątków, które wykrywają manipulację lub punkty przerwania ustawione przez cracker. Konwertuje. NET Exe na coś, czego Reflector nawet nie rozpoznaje jako. NET assembly już.

Prosimy o zapoznanie się ze szczegółowym opisem na ich stronie internetowej: http://www.oreans.com/themida_features.php

Wypróbowałem produkt o nazwie Rummage i robi dobrą robotę, dając Ci trochę kontroli ... Chociaż brakuje wielu rzeczy, które oferuje Eziriz, ale cena za grzebanie jest zbyt dobra...