Версия для печати темы
Нажмите сюда для просмотра этой темы в оригинальном формате
Форум программистов > PHP: Общие вопросы > PHP Defender


Автор: BuShaRt 11.6.2007, 08:54
Сегодня наткнулся на интересное творение, так называемую http://www.phpdefender.com/. Суть программы в придане коду некоторой запутаности, а именно, как утверждают разработчики: 

Цитата

PHP Defender запутает Ваш PHP-код до неузнаваемости: 

  • Приведет все переменные, функции и классы к нечитаемому виду
  • Удалит все комментарии, лишние пробелы и переносы строк
  • Скрипты будут работать даже на тех хостингах, где не поддерживается или не установлен Zend Optimizer
  • Обрабатывает все дерево каталогов за один проход
  • Не требует никаких надстроек на сервере
  • Полный контроль над процессом



Хотелось бы выслушать ваше мнение, а стоит ли игра свеч, для чего приведу пример кода:

До:
Код

<?php
include_once 'all_connect.php';

if (empty($page)){  
    $page='new';
}

if (empty ($_POST['indexform'])) {
    GoIndex ($_GET['page']);    
}
    
$filter_obj->field_validator('Логин', $_POST['login'], 'alphanumeric', 4, 15);     
$filter_obj->field_validator('Пароль', $_POST['password'], 'string', 4, 15);
    
if (!($row = $mysql_obj->CheckPass ($_POST['login'], $_POST['password']))) {
    $filter_obj->messages[] = 'Логин - пароль не совпадают.';    
}     

if ($filter_obj->messages) {    
    GoIndex ($page);         
}

GreatMemberSession($row['login'], $row['password'], $row['lvl']);    
header('Location: index.php?'.session_name().'='.session_id().'&page=rule');     
    
?>


После:
Код

<?php // Protected by PHPDefender.com ?>
<?php include_once 'all_connect.php'; if (empty($IIIIIIIIIIII)){ $IIIIIIIIIIII='new'; } if (empty ($_POST['indexform'])) { GoIndex ($_GET['IIIIIIIIIIII']); } $IIIIIIIIIIlI->field_validator('Логин', $_POST['login'], 'alphanumeric', 4, 15); $IIIIIIIIIIlI->field_validator('Пароль', $_POST['password'], 'string', 4, 15); if (!($IIIIIIIIIIll = $IIIIIIIIIIl1->CheckPass ($_POST['login'], $_POST['password']))) { $IIIIIIIIIIlI->messages[] = 'Логин - пароль не совпадают.'; } if ($IIIIIIIIIIlI->messages) { GoIndex ($IIIIIIIIIIII); } GreatMemberSession($IIIIIIIIIIll['login'], $IIIIIIIIIIll['password'], $IIIIIIIIIIll['lvl']); header('Location: index.php?'.session_name().'='.session_id().'&IIIIIIIIIIII=rule'); ?>

Автор: Хрипа 11.6.2007, 10:15
BuShaRt, 
Ну и для чего это надо ?
Ах да я догадался утилита для ламеров которые сами не в состоянии написать безопастный код smile))
Смысла в этой утилите нет так как Нечитабельный код оценивается в 0 каким бы он полезным небыл!

Автор: BuShaRt 11.6.2007, 11:23
Хрипа, 
Хм, а ты можешь написать код защищенный от модификации третьими лицами?
И любой код, защищенный от модификации нечитабелен smile

Автор: Serkys 11.6.2007, 11:47
Надо попробовать.
Перед выкладкой заказчику на хостинг можно хотя бы так затруднить работу, если он меня кинет.
Не кинет - нормальный код отдавать.

Добавлено через 4 минуты и 5 секунд
Цитата(Хрипа @  11.6.2007,  10:15 Найти цитируемый пост)
Ах да я догадался утилита для ламеров которые сами не в состоянии написать безопастный код

Код она безопасным не делает, только предельно затрудняет его чтение и модификацию.

Автор: Opik 11.6.2007, 14:21
Абсолюбтно в этом не вижу смысла, т.к этот код при желании вполне можно разобрать, никакой смысловой нагрузки.

Автор: sTa1kEr 11.6.2007, 14:28
Это называется http://ru.wikipedia.org/wiki/%D0%9E%D0%B1%D1%84%D1%83%D1%81%D0%BA%D0%B0%D1%86%D0%B8%D1%8F. А подобные программы соответственно обфускаторами (для PHP их в интернете полно). 

На самом деле, имхо, на данный лучшая защита кода PHP - это именно обфускация. Лучше, чем Zend Encoder и IonCube, т.к. после них код возможно восстановить (хотя бы даже в теории, хотя на практике это тоже возможно) полностью включая имена переменных итп, после обфускатора, код автоматически привести в исходное состояние невозможно в принципе, а восстановление кода вручную потребует чрезмерно много усилий. 

Но тут есть и подводные камни, к примеру если используются магические методы типа __get(), изменяемые имена переменных $$var, функций $func() итп, то после обфускатора код может стать не рабочим, либо обфускатор не принесет сколько-нибудь полезного эффекта.

Добавлено через 2 минуты и 31 секунду
Цитата(Opik @  11.6.2007,  14:21 Найти цитируемый пост)
Абсолюбтно в этом не вижу смысла, т.к этот код при желании вполне можно разобрать, никакой смысловой нагрузки. 

В данном, простейшем примере - да. К тому же в этом примере не были заменены имена методов (вероятно потому-что они public). Но попробуйте разобрать сколько-нибудь большой проект. Услий на это уйдет в разы больше чем написать все с нуля.

Автор: mikla 11.6.2007, 15:04
Хорошая штука) лабы преподам сдавать )

Автор: BuShaRt 11.6.2007, 15:08
Цитата(sTa1kEr @  11.6.2007,  14:28 Найти цитируемый пост)
Цитата(Opik @  11.6.2007,  14:21 )Абсолюбтно в этом не вижу смысла, т.к этот код при желании вполне можно разобрать, никакой смысловой нагрузки. В данном, простейшем примере - да. К тому же в этом примере не были заменены имена методов (вероятно потому-что они public). Но попробуйте разобрать сколько-нибудь большой проект. Услий на это уйдет в разы больше чем написать все с нуля.


именно... код на килобайт 100 можно пол дня только разбивать на строки и проблемы проставлять... а переменные искать, так еще дольше... (даже если юзать Find&Replace)...

Если уж говорить о безопастности, то в данном коде для пущий безопастности (в плане кидалова), можно добавить функцию замоудаления, вызываемую по определенному POST запросу.... я сомневаюсь, что эту функцию можно найти в таком коде...

Автор: WolfON 11.6.2007, 15:08
Ничего запутанного в том коде не увидел.
Ну убрал переносы, ну изменил название переменной - код все-равно читабелен.

Автор: BuShaRt 11.6.2007, 15:09
Причем способ не плох в плане борьбы с конкурентами... Я бы заказчику помохал ручкой, если бы мне он такой код на доработку дал smile))
ну или за дешифрацию, взял бы больш, чем за доработку...

Добавлено через 1 минуту и 15 секунд
WolfON, 
в данном случае код всего несколько байтовый, а если больше? там уже за переменными не уследишь... 

Автор: sTa1kEr 11.6.2007, 15:33
Цитата(WolfON @  11.6.2007,  15:08 Найти цитируемый пост)
Ничего запутанного в том коде не увидел.
Ну убрал переносы, ну изменил название переменной - код все-равно читабелен. 

Так же в идеале изменение имен пользовательских классов, методов, функций, замена числовых констант на числа (да много чего еще можно перечислить).  Еще в данном примере вы сначала прочитали исходный код и только затем код после обфускатора, согласитесь, это имеет очень большое значение. Легко разгадывать кроссворды заранее зная все ответы.

Вы просто возьмите любой не знакомый вам проект, проведите его через обфускатор и только потом попробуйте разобраться в нем.

Автор: WolfON 11.6.2007, 16:08
sTa1kEr, я не читал оригинальный код smile
в теме про то, как кодить не надо были примеры и позапутанней без всякого обфускатора )

Автор: BuShaRt 11.6.2007, 16:29
Цитата(WolfON @  11.6.2007,  16:08 Найти цитируемый пост)
в теме про то, как кодить не надо были примеры и позапутанней без всякого обфускатора )

это точно...

Автор: sTa1kEr 11.6.2007, 16:48
Цитата(WolfON @  11.6.2007,  16:08 Найти цитируемый пост)
в теме про то, как кодить не надо были примеры и позапутанней без всякого обфускатора ) 

Т.е. вы предлагаете сразу писать так, что бы никто не понял? Тоже вариант smile
Для наглядности, скрипт простейший из FCKEditor-а, но немножко посложнее (120 строк). Использовал простенький бесплатный обфускатор PHP Obfuscator.
Код

<?php       require('config.php') ;  require('util.php') ;     function R160B6F6AB8B123CE49124372CDE87FBF( $R160B6F6BB8B965CE49124372CDE87FBF, $R9F74F54ADCF8A58328B7A52193984A15 = '', $R1FCB858E12F43C96B8466B76542888EA = '', $R78165B45A2CB66AE0C95F4B3E58DE8B6 = '' )  {   echo '<script type="text/javascript">' ;   echo 'window.parent.OnUploadCompleted(' . $R160B6F6BB8B965CE49124372CDE87FBF . ',"' . str_replace( '"', '\\"', $R9F74F54ADCF8A58328B7A52193984A15 ) . '","' . str_replace( '"', '\\"', $R1FCB858E12F43C96B8466B76542888EA ) . '", "' . str_replace( '"', '\\"', $R78165B45A2CB66AE0C95F4B3E58DE8B6 ) . '") ;' ;   echo '</script>' ;   exit ;  }     if ( !$RF29199C6C5DC97F47564201E7F579BC5['Enabled'] )   R160B6F6AB8B123CE49124372CDE87FBF( '1', '', '', 'This file uploader is disabled. Please check the "editor/filemanager/upload/php/config.php" file' ) ;     if ( !isset( $_FILES['NewFile'] ) || is_null( $_FILES['NewFile']['tmp_name'] ) || $_FILES['NewFile']['name'] == '' )   R160B6F6AB8B123CE49124372CDE87FBF( '202' ) ;     $RDE1F7C1965E6876162F452A003BC5022 = $_FILES['NewFile'] ;     $R9B035C0C2CD4419F00AEC294C6412607 = $RDE1F7C1965E6876162F452A003BC5022['name'] ;     if ( $RF29199C6C5DC97F47564201E7F579BC5['ForceSingleExtension'] )   $R9B035C0C2CD4419F00AEC294C6412607 = preg_replace( '/\\.(?![^.]*$)/', '_', $R9B035C0C2CD4419F00AEC294C6412607 ) ;    $R2C7C70346D7697E2CD813AAF4DBE7476 = $R9B035C0C2CD4419F00AEC294C6412607 ;     $RC899AB8B9C9BCB7E599F49D8B6AF43EE = substr( $R9B035C0C2CD4419F00AEC294C6412607, ( strrpos($R9B035C0C2CD4419F00AEC294C6412607, '.') + 1 ) ) ;  $RC899AB8B9C9BCB7E599F49D8B6AF43EE = strtolower( $RC899AB8B9C9BCB7E599F49D8B6AF43EE ) ;     $R09440A3CA3835D43618D631497F1FC4C = isset( $_GET['Type'] ) ? $_GET['Type'] : 'File' ;     if ( !in_array( $R09440A3CA3835D43618D631497F1FC4C, array('File','Image','Flash','Media') ) )      R160B6F6AB8B123CE49124372CDE87FBF( 1, '', '', 'Invalid type specified' ) ;     $R0FD6040BC2389043D7DF33DC288A136E = $RF29199C6C5DC97F47564201E7F579BC5['AllowedExtensions'][$R09440A3CA3835D43618D631497F1FC4C] ;  $R8921101612376865B7055EB62CDBAFFA = $RF29199C6C5DC97F47564201E7F579BC5['DeniedExtensions'][$R09440A3CA3835D43618D631497F1FC4C] ;     if ( ( count($R0FD6040BC2389043D7DF33DC288A136E) > 0 && !in_array( $RC899AB8B9C9BCB7E599F49D8B6AF43EE, $R0FD6040BC2389043D7DF33DC288A136E ) ) || ( count($R8921101612376865B7055EB62CDBAFFA) > 0 && in_array( $RC899AB8B9C9BCB7E599F49D8B6AF43EE, $R8921101612376865B7055EB62CDBAFFA ) ) )   R160B6F6AB8B123CE49124372CDE87FBF( '202' ) ;    $R797BFCF1140B70857CFEA95A6E20C7F7 = '0' ;  $RBE8758BD26B4BC41D963F311D3949ADB  = '' ;     $RFE872B8B9666AC541A60A136195EC79C = 0 ;     if ( isset( $RF29199C6C5DC97F47564201E7F579BC5['UserFilesAbsolutePath'] ) && strlen( $RF29199C6C5DC97F47564201E7F579BC5['UserFilesAbsolutePath'] ) > 0 )   $R1A2300728C23076C0271587CC6D3B6A0 = $RF29199C6C5DC97F47564201E7F579BC5['UserFilesAbsolutePath'] ;  else    $R1A2300728C23076C0271587CC6D3B6A0 = GetRootPath() . $RF29199C6C5DC97F47564201E7F579BC5["UserFilesPath"] ;    if ( $RF29199C6C5DC97F47564201E7F579BC5['UseFileType'] )   $R1A2300728C23076C0271587CC6D3B6A0 .= $R09440A3CA3835D43618D631497F1FC4C . '/' ;    while ( true )  {     $RD272D57B3C3DDE20773A61EFB42C2BDF = $R1A2300728C23076C0271587CC6D3B6A0 . $R9B035C0C2CD4419F00AEC294C6412607 ;       if ( is_file( $RD272D57B3C3DDE20773A61EFB42C2BDF ) )   {    $RFE872B8B9666AC541A60A136195EC79C++ ;    $R9B035C0C2CD4419F00AEC294C6412607 = RemoveExtension( $R2C7C70346D7697E2CD813AAF4DBE7476 ) . '(' . $RFE872B8B9666AC541A60A136195EC79C . ').' . $RC899AB8B9C9BCB7E599F49D8B6AF43EE ;    $R797BFCF1140B70857CFEA95A6E20C7F7 = '201' ;   }   else   {    move_uploaded_file( $RDE1F7C1965E6876162F452A003BC5022['tmp_name'], $RD272D57B3C3DDE20773A61EFB42C2BDF ) ;      if ( is_file( $RD272D57B3C3DDE20773A61EFB42C2BDF ) )    {     $R7DF43AFDE393D029B781DEF7D6A49D3B = umask(0) ;     chmod( $RD272D57B3C3DDE20773A61EFB42C2BDF, 0777 ) ;     umask( $R7DF43AFDE393D029B781DEF7D6A49D3B ) ;    }        if ( $RF29199C6C5DC97F47564201E7F579BC5['UseFileType'] )     $RBE8758BD26B4BC41D963F311D3949ADB = $RF29199C6C5DC97F47564201E7F579BC5["UserFilesPath"] . $R09440A3CA3835D43618D631497F1FC4C . '/' . $R9B035C0C2CD4419F00AEC294C6412607 ;    else     $RBE8758BD26B4BC41D963F311D3949ADB = $RF29199C6C5DC97F47564201E7F579BC5["UserFilesPath"] . $R9B035C0C2CD4419F00AEC294C6412607 ;      break ;   }  }    R160B6F6AB8B123CE49124372CDE87FBF( $R797BFCF1140B70857CFEA95A6E20C7F7, $RBE8758BD26B4BC41D963F311D3949ADB, $R9B035C0C2CD4419F00AEC294C6412607 ) ;  ?>

Автор: BuShaRt 11.6.2007, 18:21
Я думаю, как нечто для постоянной защиты не пройдет т.к. Replace быстро все поставит на свои месте...

Но вот,
Цитата(Serkys @  11.6.2007,  11:47 Найти цитируемый пост)
Перед выкладкой заказчику на хостинг можно хотя бы так затруднить работу, если он меня кинет.Не кинет - нормальный код отдавать.

+
Цитата(BuShaRt @  11.6.2007,  15:08 Найти цитируемый пост)
Если уж говорить о безопастности, то в данном коде для пущий безопастности (в плане кидалова), можно добавить функцию замоудаления, вызываемую по определенному POST запросу.... я сомневаюсь, что эту функцию можно найти в таком коде...

По моему действенно, хотя не пробывал... ваше мнение?

Автор: sTa1kEr 11.6.2007, 18:40
Цитата(BuShaRt @  11.6.2007,  18:21 Найти цитируемый пост)
Я думаю, как нечто для постоянной защиты не пройдет

Да, это не панацея. Но это лучшее, что может защитить код на данный момент.
Цитата(BuShaRt @  11.6.2007,  18:21 Найти цитируемый пост)
Replace быстро все поставит на свои месте...

И что на что менять? smile  "R160B6F6AB8B123CE49124372CDE87FBF" заменить на "any_unknown_function1" smile? Да, много пользы это принесет. Прежде чем давать функции/классу/переменной осмысленное название, надо разобраться, что делает та или иная функция, а вот это как-раз самое сложное.
Кроме того методы могут называться одинаково или для локальных переменных те же названия, что и для свойств классов, вариантов много т.ч. даже замена по регулярному выражению тут не поможет. Единственное что легко восстановить - это переносы строк и отступы. Приводить же код к первоначальному виду выйдет дороже, чем написать с нуля.

Автор: ARG 11.6.2007, 18:46
Во первых от толкого пшпшника не обезопасит, во вторых я этих финтелей не люблю, потому, что многие не обезопасиваются, а клиента так к себе привязывают, хорошо, если еще все толково сделано было, а если все через одно место, то потом такие вот подсевшие горе заказчики ко мне попадают и у меня от них одна головная боль.

Автор: BuShaRt 11.6.2007, 18:46
sTa1kEr, 
Я английского не знаю, да и некоторые программисты не когда не называют переменные понятными именами, поэтому, 
Цитата(sTa1kEr @  11.6.2007,  18:40 Найти цитируемый пост)
заменить на "any_unknown_function1" 
 вполне вариант... цель - разлечать функции и переменные в коде... а вот lllldasdllll32 и u4124488a отличаються очень плохо от аналогичных....

Добавлено через 5 минут и 49 секунд
ARG, 
есть и такое дело, но мне честно говоря пофиг smile мне важны мои клиенты и как раз именно по той, причине, чтоб они не устраивали мне головную боль после того как им себя прорекламировал другой программист, переманил, а сделать нечего не смог.. т.к. закзчик смутно понимает слово "качество"

Автор: sTa1kEr 11.6.2007, 19:26
Цитата(ARG @  11.6.2007,  18:46 Найти цитируемый пост)
Во первых от толкого пшпшника не обезопасит

Согласен, но толковый программист быстрее и лучше сам напишет нужный функционал, чем будет разгребать такой код.
Цитата(ARG @  11.6.2007,  18:46 Найти цитируемый пост)
во вторых я этих финтелей не люблю, потому, что многие не обезопасиваются, а клиента так к себе привязывают

Если скрипт пишется на заказ, то да, это это бы выглядело как минимум не красиво по отношению к клиенту. Но когда скрипт пишут на продажу, то это какая-никакая, но все же защита от любителей "зануливать" чужие скрипты.
Цитата(BuShaRt @  11.6.2007,  18:46 Найти цитируемый пост)
вполне вариант... цель - разлечать функции и переменные в коде... 

Цель не просто различать функции и переменные, а понимать код и уметь его модифицировать.

Автор: BuShaRt 11.6.2007, 20:27
Цитата(sTa1kEr @  11.6.2007,  19:26 Найти цитируемый пост)
Цель не просто различать функции и переменные, а понимать код и уметь его модифицировать.

3 шага:
1. Разбиение на строки по символу ";" - explode
2. Замена все "абры" и  "кадабры" на "function1-2-3" и "var1-2-3" - replace
3. Ручками добивание "логически нужны в дыннах местах переменных" т.е. result, val, i и т.п.

код читаеться... имхо все кроме третьего пункта можно доверить дешефратору написанному за 1-2 часа максимум.... 

поэтому мне кажеться способ действителен лишь в когда надо чтоб код не могли просмотреть в горячем режиме...

Автор: WolfON 11.6.2007, 20:41
Лучше-уж тогда самим написать нормальный обфускатор, который будет использовать ссылки на перменные, кучу дефайнов для запутывания кода, евалы и тд

Автор: sTa1kEr 11.6.2007, 21:02
Цитата(BuShaRt @  11.6.2007,  20:27 Найти цитируемый пост)
1. Разбиение на строки по символу ";" - explode
2. Замена все "абры" и  "кадабры" на "function1-2-3" и "var1-2-3" - replace

А как же строкои, html код, конструкции вида $str = <<< EOS, в них вы тоже будете менять все без разбора? А различия между классами, функциями, методами, константами?
Цитата(BuShaRt @  11.6.2007,  20:27 Найти цитируемый пост)
3. Ручками добивание "логически нужны в дыннах местах переменных" т.е. result, val, i и т.п.

"Добейте" ручками эту переменную (пускай даже не в "абрах" и не в "кадабрах") 
Код

$var-54=function-435($var-1243,$var-4553,$var-221,$var-332,true,32);
$var-54->method-23($var-343);

А такого кода будет 95%.

Я не спорю, что возможно привести код к более-менее читабельному виду, но, уверяю, это только на практике кажется 3 preg_replace() и готово. В реале вы потратите в лучшем случае в разы больше усилий, чем напишете с нуля.
Вы просто попробуйте сами восстановить, если у вас много свободного времени smile

Автор: BuShaRt 11.6.2007, 21:58
Цитата(sTa1kEr @  11.6.2007,  21:02 Найти цитируемый пост)
А как же строкои, html код, конструкции вида $str = <<< EOS, в них вы тоже будете менять все без разбора? А различия между классами, функциями, методами, константами?

Грамотно написаннй парсер все нормально сделает, ведь в основе кодера лежат те же алгоритмы, что и в декодаре, только наоборот smile



Цитата(sTa1kEr @  11.6.2007,  21:02 Найти цитируемый пост)
В реале вы потратите в лучшем случае в разы больше усилий, чем напишете с нуля.

Убедили smile

Автор: Serkys 12.6.2007, 11:03
А ещё можно заказать переработку кода в нормальное состояние авторам обсфукатора smile
Тоже бизнес

Автор: BuShaRt 12.6.2007, 14:03
Serkys, 
авторы могу в два счета написать дешифратор...

Автор: Serkys 12.6.2007, 16:50
BuShaRt, у меня на этот счёт сомнений нет

Автор: GZep 12.6.2007, 18:23
штука полезная: можно ускорить немного обработку кода, убрав из него переносы smile 

Автор: BuShaRt 12.6.2007, 21:57
GZep, 
Жжешь) 
чтоб привести в нормальный вид код некоторых "умельцев", его сначала надо прогнать через шифратор smile
а ведь оно и правда...

Powered by Invision Power Board (http://www.invisionboard.com)
© Invision Power Services (http://www.invisionpower.com)