Теория привязывания скрипта к домену

[Lifeline]

Теория привязывания скрипта к домену

Задумался над этим вопросом в свете того, что расшифровать исходники никакой проблемы не составляет. Единственная более менее достояная альтернатива - обфускация кода, однако она лишь делает код плохочитаемым, но найти место привязки скрипта к домену или серверу все так же не особенно сложно. И появилась такая мысль: возможно ли какое-то автоматическое генерирование кода, который бы (если скрипт запущен на другом домене) выполнялся очень долго или некорректно ?

очень базовый пример

например у нас есть какая-то важная переменная $important_var, и ее значение должно быть 19.4
те изначально у нас в коде что-то вроде

$important_var = 19.4;

код тот что нам надо автоматически делает замену на подобие следующей

$domain = $_SERVER['HTTP_HOST']; // asd.com
$important_var = ord($domain[0])/13;


те если скрипт будет запущен на другом домене то переменная $important_var получит неверное значение и в целом скрипт отработает неверно. Напихать в скрипт таких ключей можно очень много, а учитывая что:

1. код проходит через обфускатор - значит придется разбирать весь скрипт
2. такой код может автоматичеки генерироваться под нужный домен - значит тупо скопировать его так же не получится, надо будет перерабатывать руками под каждый домен


минусы: обойти такую защиту очнеь просто - упаковав нащ скрипт во что-то вроде

<?
$_SERVER['HTTP_HOST'] = 'asd.com';

include(наш_скрипт);
?>


Одним словом хотелось бы поговорить на эту тему Быть может кто-то двигался дальше в этом направлении.

 

[HraKK]

переезжаем в оффтопик.

Вы хотите об этом поговорить? Тогда вы ошиблись форумом, психиатры сидят на другом.

 

[boombick]

Зачем?

 

[Lifeline]

boombick если ваша несомненно ценная месага пытается выразить ваше бесспорно обоснованное и, конечно же, нетерпящее возражений мнение, основанное на догмате "все надо раздавать бесплатно", то можете смело проходить мимо кассы. Спасибо за участие.

 

[weregod]

Re: Теория привязывания скрипта к домену

да теория как теория, а минусы Ваши надуманы

взлом

<?
$_SERVER['HTTP_HOST'] = 'asd.com';

include(наш_скрипт);
?>

сработает, когда "наш_скрипт" состоит из 30 строк, а если по проекту много обращений к $_SERVER['HTTP_HOST'] и эти данные используются для генерации много чего, то выхлоп будет неверный при взломе

 

[HraKK]

Lifeline
Несомненно ценная месага у Вас. Я, Вам, уже посоветовал обратится к психиатру, еще раз крайне настоятельно предлогаю воспользоваться мои советом.

 

[fixxxer]

Диагноз: упячка головного мозга.

 

[Lifeline]

weregod не совсем понял - почему ? ведь переменная будет изменена в самом начале скрипта, как она примет оригинальное значение позже ?


HraKK вы меня искренне улыбнули постом в стиле "сам дурак". Постарайтесь поскорее вырасти из детских штанишек и , если вас не затруднит, воздержитесь от дальшейших месаг в мой адрес. Заранее спасибо.

 

[boombick]

если ваша несомненно ценная месага пытается выразить ваше бесспорно обоснованное и, конечно же, нетерпящее возражений мнение, основанное на догмате "все надо раздавать бесплатно", то можете смело проходить мимо кассы

Если уж ваш, пораженный хроническим фимозом, мозг не способен придумать иных бизнес-планов, кроме пямой продажи вашего быдлокода, который в принципе никому кроме вас не нужен, то не стоит отнимать время сообщества.. Которое, как вы могли заметить, отнюдь не рвется разделить ваши идеи. Спасибо за участие.

 

[Духовность™]

а чем

быдлокод

от говнокода отличается?

 

[pilot911]

что вы налетели на человека ? он дело спрашивает...

у вас самих кот наплакал идей, только желч...

мой совет - HraKK, triumvirat - найдите себе девушек... станете добрее

-~{}~ 25.09.08 01:53:

насчет защиты-можно использовать в коде ссылки на картинки (style="display:none;"), которые будут лежать на вашем серваке и фиксировать обращения cо всех доменов

 

[HraKK]

Из нас всех желчь, только у 2 в этом топике.
А еще затаившая в глубине души обида, на весь мир. Вы не понимаете что на самом деле я не питаю к вам не капли злобы, что желчь я свою не разбрасываю. У вас комплекс как у маленького ребенка которого журят родители. Я тоже в детстве обижался на родителей, теперь слава богу уже вырос и только люблю и прислушиваюсь к ихним советам по мере возможностей. Потому что я понял что учиться можно не только на своих ошибках.

Один зациклился на том что он написал неипическую цмс, что все остальные дураки и не разу так никто не садился писать( ну конечно кроме десятков тысяч других цмс ), другой не понимая рынка, сферы применения, элементарной знании области взлома и защиты, да даже программирования - хочет написать такую же неипическую защиты, думая что остальные тупые и никто до него не писал и не пытался. Оглянитесь вокруг, вы не одни в этом мире и когда вам говорят не то что вы хотите услышать, задумайтесь, потому что подслащивать вам будут враги, не я. Я вас покритикую даже тогда когда вы будете миллионерами и гениальными общепризнанными разработчиками. За дело покритикую. Потому что такое мое Ка, если хотите.

Спасибо, за понимание.

-~{}~ 25.09.08 01:01:

насчет защиты-можно использовать в коде ссылки на картинки (style="display:none;"), которые будут лежать на вашем серваке и фиксировать обращения cо всех доменов

Да, мля, вырежут твою ссылку за 5 секунд.

 

[fixxxer]

да если у человека дата регистрации 2002г и он такое спрашивает то это полная клиника и невменяемость, что тут разжевывать?

 

[HraKK]

fixxxer
Это я так сорвался
Я конечно не обращаю внимание на такое, но сегодня ДР у брата, немного позволил себе пригубить + сижу работаю до 3-4. А тут еще, советуют девушку найти, которая меня умоляет встретится, а у меня тупо нету времени. А они сидят херней страдают.

 

[флоппик]

HraKK,
терпелив пребудь,
гнев недостойный отринь,
неисчерпаема глупость.

 

[Lifeline]

Всем спасибо, молодцы, отметились, можете спокойно идти кодить дальше, я совершенно не настроен обсуждать ваших существующих\несуществующих девушек, обиды на мир, "неипические" цмс и тд. Если кто-то считает меня тупым идиотом - просто не обращайте внимания, вряд ли ваши коменты, особенно в столь язвительной форме будут позитивно восприняты.


По поводу знания рынка: как не сложно заметить я на форуме с 2002 года. За это время зенд начал с bcompiler, перешел на encoder\guard, появидись ioncube, sourceguardian и прочие. В разработку всех этих продуктов вложено прилично денег и не будучи совсем левым человеком в данной области я уж точно разбираюсь в структуре\емкости рынка побольше вашего, тк как я понимаю у вас обновная тема - это все же кодинг, а не рынок.


Далее хотелось бы продолжить разговор в рамках обозначенной тематики.

pilot911 как уже верно отметил Хракк все хардкоденные варианты защиты обходятся на раз-два. Единственный возможный вариант был описан мною еще в первой месаге: это обфускация + невозможность номральной работы скрипта без разбирания всего кода.

 

[флоппик]

невозможность номральной работы скрипта без разбирания всего кода.

недостаток формальных языков, и соответственно ЯП в том, что реверс-инжинирить исходный код крайне просто с технологической точки зрения. tokenizer в руки, и через денек любая ваша супер-мега защита на базе условий в исходном коде канет в Лету.

Dixi.

А я вам могу подсказать, куда копать - в сторону проверки лицензии на _удаленном_ сервере с заданной переодичностью. Удаленный сервер должен возвращать _код_ необходимый для дальнейшего функционирования, а в идеале — обновления. Но и это, естественно, не панацея.

 

[phprus]

флоппик

Удаленный сервер должен возвращать _код_ необходимый для дальнейшего функционирования,

В таком случае на юристов гораздо больше денег уйдет, чем стоит весь софт. Так как в случае падения этого удаленного сервера встанут все проекты легально купивших софт клиентов...

 

[флоппик]

случае падения этого удаленного сервера

с заданной переодичностью

Я предложил мысль, идею. Реализация — другой вопрос. И надежность решения, банально зависит от цены продукта.

 

[Lifeline]

флоппик, в принципе в этом и заключается суть: затраты на разбор кода должны быть больше стоимости продукта. Если для выковыривания всех подмен в коде уйдет например 3 дня - это уже допустимый вариант тк подавляющее большинство продуктов стоят меньше стоимости 3х дней работы програмера, который может все это сделать.

Удаленные варианты не рассматриваются по причине ненадежности каналов, серверов и тд.