Как защититься от SWF-декомпиляторов

[Gaen]

Что кроме лени помешает злоумышленнику экспортнуть внедренный swf и скормить его декомпилятору?

[bukt]

Что вы имеете ввиду? Экспортнуть как? В каком виде? Куда?

[Gaen]

Имеем один swf внутри другого в виде массива байт. Достаем этот массив байт, сохраняем его в отдельный файл, получаем внутренний swf.

[bukt]

Получаем интерпретируемый байт-код, который тем не менее весьма сложно проанализировать.
Я не говорю о том, что взломать невозможно. Невозможно украсть только уничтоженные данные, да и то не всегда. Вопрос безопасности — баланс между доступностью и защищённостью. Я готов утверждать только то, что время анализа такого приложения возрастает в разы.

[homm]

В чем сложность его анализа, если по вашим же словам в movieClipData ложится сам swf-файл?

[bukt]

>>Сам swf-файл при внедрении ложится в его свойство movieClipData как массив байт

[homm]

И? В чем сложность его оттуда сохранить?

[bukt]

Сложности никакой, кроме той, что там лежит байткод, вместо человекочитаемого кода. Да и, кстати

[homm]

Да, естественно байткод. Там же swf, вы же сами это сказали.

[anthony_613]

Интересно услышать мнение об этом вопросе тех, кто тоже разбирается во флеше, ибо только из-за возможности спокойно получать исходники я не могу портануть проект на флеш :(

[nuit]

Работал над одним из свф протекторов, технология что описана в этой статье обходится элементарно.
Вот более вменяемое описание подобной технологии: Protect Your Flash Files From Decompilers by Using Encryption
Но это всё так же обходится меньше чем за минуту. Вобщем это защита от дурачков. Очень тяжело разработать на флеше нормальную защиту, которая бы увеличивала трудозатраты на получение ресурсов и защищала от декомпиляции.

[bukt]

Это же обфускация сплошная. Естественно, если заняться переименованием методов/свойств, можно получить более внушающие результаты. Собственно, я думаю, что мой метод, как единственный ипользовать действительно смысла не имеет, а как одну из запертых дверей — почему бы и нет?

[nuit]

Большинство протекторов, которые не перестали развиваться — все реализуют подобное обёртывание, кто-то даже множественное обёртывание. Хотя множественное обёртывание никак не усложняет процесс вытаскивания конечной свфки. Кто-то там на alchemy пишет часть кода для дешифровки итп.
Все это делают чтобы потом написать о том что у них используется и подобная технология :)
От дурака это защитит, а те кто умеет пользоваться гуглом сразу найду способ обойти эту защиту. Скорость с которой злоумышленик захочет вытащить конечную свфку равна скорости загрузки этой свфки в плеере.

[ideator]

Если можно, киньте swf который невозможно декомпильнуть. Задайте какой-нибудь переменной какое-нибудь контрольное значение внутри. Публика попробует поломать, тем самым доказав вашу или не вашу правоту.

[bukt]

Например вот-так. Требуется прочитать значение текстовой переменной, определённой во вложенной swf.

[anycolor]

Я может что-то неправильно понял, но вроде www.showmycode.com/ — отлично выдал сорс данной флешки.

[Scratch]

попробуйте разобрать флешку игры timezero. В свое время на ней даже swf decompiler обламывался, не знаю как сейчас.

[bukt]

А что в ней разбирать? Весь арт лежит рядом, по папочкам расфасованный. Все обсчёты ведутся на сервере. Сокет-логику выдернуть? А толку?

[Scratch]

бота написать который бы бродил и че нить делал, не знаю как щас, но раньше мы собирали из арсенала всякую шнягу автоматом. Мышекликами правда

[bukt]

Интересно. Я думал что это делали либо внешними макрос-сервисами, либо цепляли сниффером команды, уходящие на сервер

[Scratch]

все проще ) запомнил куда кликать, выставил задержки и ушел курить )

[Agent_Smith]

Не, а вот у меня одно время был дезвинговский клиент, потом правда большинство его фич перенесли в VIP-аккаунты. Сейчас точно не помню, но из плюшек можно было видеть все хар-ки обвеса противника, был автопилот в шахте собирающий ресурсы с возможностью фильтрации, был еще автопилот по локам можно было ходить на атопилоте по маршрутам, особенно под таблетками сталкер летал между городом и заводом за 2 секунды/лока, так что даже не успевал появится в чате. В противовес этой фичи, были в клиенте макросы на цепляние таких вот бегунов с помощью команды %username% //batle или как-то так. Которая юзернейм выдирала из логов. Еще можно было вроде как в соседние клетки смотреть, как потом с помощью модуля бинокль. Еще много всего, довольно жирный был клиент, дающий огромное превосходство. Почти все топ кланы на них бегали, пока его не легализовали официально и за реал.

[silencer]

Вполне успешно и декомпилировали, и инжектили свой функционал.

[ideator]

Не могу скачать. Видимо слишком зашифровано. :-) Положите на народ пожалуйста или что-нибудь «широкое».

[bukt]

Видимо лёг сервачок. Логи надо будет глянуть. Перезалил.

[ideator]

Скачал. Строка указывается явно или собирается?

[bukt]

Могу сразу строку сказать: если знать что искать, найти очень просто, даже банальным HEX'ом. :-)
Кинул SWF-ку другу. Он обещал заморочиться при помощи bytecode-анализатора. О результатах сообщу отдельно.

[ideator]

Не, не надо пока. Относительно хорошее решение. Действительно что бы «доковырять» нужно потратить достаточно времени. А если ещё заморочиться с рекурсией, типа байткод который генерит байткод, который… :-)

[Eddy_Em]

Мое вам ФУ: в эпоху html5 рассуждать о каких-то некошерных flash… Вы еще ActiveX вспомните :)

[bukt]

Толсто. Как только HTML5 сможет воспроизвести хотя бы половину того, что флеш делал лет пять назад — я может и заинтересуюсь.

[Eddy_Em]

> Как только HTML5 сможет воспроизвести хотя бы половину того, что флеш делал лет пять назад — я может и заинтересуюсь.

Чего вам не хватает в html5, что вы используете flash?

[diamant]

Видеокамера и микрофон?

[homm]

Фары и ремень.

[ideator]

Зачем вы зашли в этот пост? Какая цель?

[Eddy_Em]

> Зачем вы зашли в этот пост?

Да надоели уже проприетарщики, пихающие всякие ActiveX'ы и flash'и направо и налево, хотя в 99% случаев можно было бы использовать html5. А оставшийся 1% никому не интересен.

[ideator]

Цель ясна. Спасибо.

[Eddy_Em]

Вантузятнечки, минусуйте дальше. Совсем немного до read-only осталось!

[GrigoryPerepechko]

Вижу вас зеленым троллем в коже, с плёткой, стегающего себя и произносящего эту фразу.

Хочется комикс нарисовать, жаль у меня с рисованием как у вас с толерантностью :)

[Eddy_Em]

Здесь я как раз не троллю. Достали просто вантузятники, считающиеся, что на их мастдае свет клином сошелся.

[Dragonizer]

Презираю трусов, молча «минусующих» пользователя только за то, что его мнение отличается от их мнения (как же так, миллионы мух не могут быть не правы!).
(из хабрапрофиля Eddy_Em)

Без проблем, минусую «вслух».

И не путайте, пожалуйста, понятия «высер» и «мнение». Если вас интересует разница, то последнее аргументировано не только эмоциями и ортодоксальной радикальностью.

[Mezomish]

Достали идиоты, дискредитировавшие слово «линуксоид».

[Shirixae]

Да он уже получил, что хотел :) Рыдонля.

[roman_pro]

UFO appears suddenly?

[bukt]

Именно так. Можете описать метод анализа?

[roman_pro]

Открыл WinHEX'ом, пропустил первые 8 байт, остальное скопировал в новый файл, к нему применил Edit->Convert->zlib inflate и распаковал 1ю флешку. В распакованной флешке поискал байты CWS, нашлись по смещению 0x241, опять же пропустил 8 байт, со смещения 0x249 начинаются сжатые данные и продолжаются до смещения 0x4FA (после глазами явно видны нули), опять копируем диапазон 0x249-0x4FA и распаковываем. Ну а дальше глазками смотрим и видим по смещению 0x29C байт 0x06 затем название класса String, байт 0x14 (длина строки) и сама строка «UFO appears suddenly».

[bukt]

Красиво. Но не особо интуитивно. Для описанной операции нужно всё-таки поболе знаний, чем для использования декомпил-нюков.

[m1el]

Буквально недавно обходил более веселую защиту, чем эту. Кроме прочего, исходник был «защищен» от декомпиляции. Зачем это делать? Если что-то исполняется на стороне клиента, он *может* его исследовать/изменить/разобрать.

//class Main
package 
{
    import flash.display.*;
    import flash.events.*;
    
    public class Main extends flash.display.Sprite
    {
        public function Main()
        {
            super();
            if (stage) 
            {
                this.init();
            }
            else 
            {
                addEventListener(flash.events.Event.ADDED_TO_STAGE, this.init);
            }
            return;
        }

        internal function init(arg1:flash.events.Event=null):void
        {
            removeEventListener(flash.events.Event.ADDED_TO_STAGE, this.init);
            var loc1:*=String("UFO appears suddenly");
            return;
        }
    }
}

[m1el]

Как это делается? Из спецификаций SWF узнаем как он устоен, выдираем все объекты. Среди них — SWF файл.
Done.

[bukt]

В моём случае это применяется для того, чтобы не спёрли арт/механику игрушки и не подставили свою механику/арт. Удивительно, но большинство «серых» реселлеров флеш-игр не будут заморачиваться на анализ байткода. Если время, потраченное на «взлом» игры не оправдается полученной прибылью с «переделки» — они отказываются от взлома. Так что в некотором роде цель достигнута.

[m1el]

В первый раз на разбор файла у меня ушло двадцать минут. Из них минут десять я искал чем сделать inflate :)

Разбирать SWF и разбирать байткод — разные вещи.

[m1el]

Вот, кстати, как разбирается SWF: pastebin.com/ah4Mbagg

[ideator]

В Trilix он бинарным файлом. Сохранил и открыл сразу :-)

[bukt]

Хорошо. Буду искать другие способы «закрыться» :-) Топик из-за этого комментария, к сожалению, силу свою теряет.

[ideator]

Спасибо за утро! Движуха мозговая хоть. Приятно. :-)

[Alexnn]

Всё, что скачивается на комп юзера может и будет взломано. Это ж аксиома.

Вне зависимости это флеш или хтмл5й

[artfabrique]

Есть одно ноу-хау у меня:
1)на AS2 делать SWF
2)внутри нее в base64 байткод SWFки на AS3
3)Обфусцируем
4)Делим на части по 250 байт
5)Кодим в base64

6) Распихиваем как текст в кастомное поле EXIF произвольных джипегов.

7) При загрузке ресурсов проверяем каждый загруженный ресурс на наличие EXIF
8) Сливаем все части ведино, переводим в байткод и LoadBytes();

Сложность для злоумышленника состоит в том, что жипегов может быть, например 300 и только в 3 из них есть правильный байткод.

Байткод в EXIF засовывается на лету сервером в рамках одной сессии в произвольное количество жипегов из общего списка ресурсов приложения.

Так же внутри результирующей SWF на лету встраивается идентификатор сессии для контроля загрузки. и соответственно все исходящие запросы из приложения подписываются этим идентификатором. Так мы знаем, что этот шфрованный шлюз был создан из таких то частей тогда-то тогда то. Сессия очень короткая. около 30 сек. после загрузки последнего ресурса. Тоесть требуется отправить запрос на сервер с сообщением об удачной сборке в теч. 30 сек. после получения частей. В противном случае ключ меняется и злоумышленник не получит ключевую часть во втором этапе инициализации.

Таким образом мы ограничиваем время на вычисление последовательности и осознание принципа сборки 30-ю сек.

[bukt]

>>1) на AS2 делать SWF
>>2) внутри нее в base64 байткод SWFки на AS3
А разве AVM1 нормально воспроизводит AS3 код?

[Aquahawk]

Да при некоторых условиях. Просто превосходно воспроизведёт.

[iLLuzor]

Можно подробней?

[Aquahawk]

По-русски по-английски

SWF-файлы, написанные в ActionScript 1.0 или 2.0, не могут загружать SWF-файлы, написанные в ActionScript 3.0. Это означает, что SWF-файлы, созданные в Adobe Flash 8 или Flex Builder 1.5, а также в более ранних версиях этих программ, не смогут загружать SWF-файлы в ActionScript 3.0.

Единственным исключением из этого правила является то, что SWF-файл ActionScript 2.0 может заменить себя SWF-файлом ActionScript 3.0, если для этого SWF-файла ActionScript 2.0 не выполнялась какая-либо загрузка ни на один из его уровней. В SWF-файле ActionScript 2.0 это можно выполнить с помощью вызова loadMovieNum(), передав значение 0 параметру level.

[artfabrique]

Прочитайте еще раз внимательнее. AVM1 swf юзается только из-за полноценной обфускации кода в отличии от AS3/AVM2 мувиков. Он используется только как контейнер для хранения переведенного в строку (base64) и расзбросанного вместе с мусором искаженного клона байткодом настоящего мувика AVM2. Далее байткод AVM1 файла так же переводится в строку и бьется на куски по 255 символов. Далее эти куски распихиваются на лету с помощью сервака в EXIF всех отдаваемых жипегов. Отдаеются по очереди но не в каждом. В результате пишем на лямку, дешефруем… Далее слушаем локал конекшн (единственный способ коммуникации между AVM1 и AVM2), проверяем домены откуда загружено, проверяем целостность запросом на сервак. Далее AVM1 мувик вызывает функцию сборки запакованного в него в строке AVM2 мувика. Ну а дальше все ясно…

[bukt]

>>вызывает функцию сборки запакованного в него в строке мувика
И делает с ним что? Возвращает на сервак?

[artfabrique]

LoadBytes с контекстом текущего апп. домена.

[atd]

меняем все вызовы LoadBytes на вызов логгера, и получаем всё что вы там напрятали

[artfabrique]

Я не пользуюсь Loader классом для загрузки удаленного контента вообще из-за проблем с сессиями в некоторых браузерах. Поэтому почти весь контент грузится через LoadBytes. Уследить что из этого является шлюзом — сложно, при условии, что расположение и код меняется при каждом вызове.

[GrigoryPerepechko]

Пост. -5 от защищённости игры. :)

[artfabrique]

В смысле раскрыл ноухау? :) Нет. Это один из механизмов. Все делается автоматом, поэтому накрутить 15-20 механизмов защиты является выходом от «ленивого хака». Взломать можно все. Просто копаться со взломом игры чтобы записать свое имя в топ — дело не благодарное ) Всегда есть модератор, который 95% хакерских результатов просто забанит. Ну и разумеется закодированный шлюз (это единственное что стоит охранять — там находятся все подробности общения с сервером) можно получить только после аутентификации. Аутентификация происходит с помощью соц сети. Что тоже является барьером для ленивых. Нужно будет иметь 100-200 левых акков.

[datacompboy]

Как спастись от декомпиляторов? Не компилируйте.

[alexandreyev]

Хочешь защитить приложение — делай клиент тонким и переноси всю логику на сервер.

[GrigoryPerepechko]

Не всегда подобное возможно. Иногда можно продублировать логику, но перенести полностью — это +3 к тормозам(не у всех пинг до сервера 1мс)

[Aquahawk]

UFO appears suddenly
15 минут. 010Editor + Sothink + тулза для распаковки флешек самопальная(потом только узнал что есть уже готовые).

[Aquahawk]

Уже до меня успели. Давайте чтоль крекми позанимаемся во флеше.

[pietrovich]

помнится много лет назад iviv с не менее продвинутыми товарищами (простите, имена уже не вспомню) ваяли какой-то гиперхитрый протектор который базировался на хитрых манипуляциях с байткодом, позволяющих оставить байткод все еще читаемым плэйером, но заставляющий капитально заткнуться декомпиляторы. И вроде даже все было круто и работало… А потом началась чуть-ли не юридическая суета с Burak KALAYCI, который вроде как разобрался с тем как обходить эту защиту. Чем все закончилось за давностью лет уже не упомню, подробности можно в ruflash поискать. А рассказал я это потому что:
— тот метод был совсем уж не детским (не в обиду топикстартеру)
— все равно не устоял, емнип :(
В общем протектить флешки дело неблагодарное, что к клиенту попало, то рано или поздно будет пломано. единственный надежный способ — экономическая нецелесообразность взлома, да и та против упрямого фанатика не поможет. посему не держите в клиентской части ничего ценного, тогда и ломать не станут.

[Aquahawk]

Более-менее нормальная защита возможно при написании некой своей вируальной машины которая будет интерпретировать код в своём языке приходящий с сервера. Естественно там нужно нормальное шифрование и криптографическая подпись запросов и много чего ещё. Уникальная защита = дорогой и уникальный взлом. Простая защита = простой взлом. Взломать можно всё что есть на клиенте.

[Maksimus2000]

Разработка декомпиляторов тоже не стоит на месте
Flash Decompiler Trillix показывает все внутренности приложенного файла
Результат (habrastorage)

[i360u]

Хм, после прочтения комментов становится понятно как функционирует игровая индустрия…