एक exe या dll में तारों को कैसे छिपाना है?

Question

मुझे पता चला कि बाइनरी से हार्ड-कोडेड स्ट्रिंग निकालना संभव है।
उदाहरण के लिए Process Explorer के गुण दृश्य 3 से अधिक वर्णों वाली सभी स्ट्रिंग प्रदर्शित करते हैं।

#ifndef _WIN32_WINNT 
#define _WIN32_WINNT 0x0501 
#endif 
#include <stdio.h> 
#include <tchar.h> 
#include <Windows.h> 

int _tmain(int argc, _TCHAR* argv[]) 
{ 
    _TCHAR* hiddenString1 =_T("4537774B-CC80-4eda-B3E4-7A9EE77991F5"); 
    _TCHAR* hiddenString2 =_T("hidden_password_or_whatever"); 
    for (int i= 0; i<argc; i++) { 
     if (0 == _tcscmp(argv[i],hiddenString1)) { 
      _tprintf (_T("The guid argument is correct.\n")); } 
     else if (0 == _tcscmp(argv[i],hiddenString2)) { 
      _tprintf (_T("Do something here.\n")); } 
    } 

    _tprintf (_T("This is a visible string.\n")); 
    //Keep Running 
    Sleep(60000); 
    return 0; 
} 

तार स्पष्ट रूप से इसी निष्पादन से निकाला जा सकता:

यहाँ एक सरल निष्पादन का कोड है कि मैं बस यह परीक्षण करने के लिए लिखा है

मुझे लगता है कि यह है कि तारों को ढूंढना थोड़ा आसान है।

मेरे प्रश्न हैं:

1. कैसे करें बस छिपाने hiddenString1 या निष्पादन में hiddenString2?
2. क्या के साथ कुछ धोखेबाज छिपे हुए इनपुट के साथ "धोखा कोड" का उपयोग करने के लिए कोई और सुरक्षित सुरक्षित तरीका है?

Answer 1

रक्षात्मक प्रोग्रामिंग की व्यापक दुनिया में आपका स्वागत है।

कुछ विकल्प हैं, लेकिन मेरा मानना ​​है कि वे सभी कुछ प्रकार के अपवित्रता पर निर्भर करते हैं; जो, हालांकि सही नहीं है, कम से कम कुछ है।

1. सीधे स्ट्रिंग मान के बजाय आप टेक्स्ट को किसी अन्य बाइनरी फॉर्म (हेक्स?) में स्टोर कर सकते हैं।

2. आप अपने ऐप में संग्रहीत तारों को एन्क्रिप्ट कर सकते हैं, फिर उन्हें रन टाइम पर डिक्रिप्ट कर सकते हैं।

3. आप उन्हें अपने कोड में विभिन्न बिंदुओं पर विभाजित कर सकते हैं, और बाद में पुनर्निर्माण कर सकते हैं।

या इसके कुछ संयोजन।

ध्यान रखें कि कुछ हमले वास्तविक बाइनरी को देखने से आगे जाते हैं। कभी-कभी वे चल रहे समय प्रोग्राम के मेमोरी एड्रेस स्पेस की जांच करेंगे। एमएस SecureString in .Net 2.0 नामक कुछ के साथ आया था। ऐप चल रहा है, जबकि तार एन्क्रिप्टेड स्ट्रिंग रखने का उद्देश्य है।

एक चौथा विचार ऐप में स्ट्रिंग को स्टोर नहीं करना है, बल्कि आपके द्वारा नियंत्रित सर्वर पर सबमिट करने के लिए एक सत्यापन कोड पर भरोसा करना है। सर्वर पर आप सत्यापित कर सकते हैं कि यह एक वैध "धोखा कोड" है या नहीं।

Answer 2

उन तरीकों के अलावा क्रिस का उल्लेख है कि आप एक हैशिंग एल्गोरिदम का भी उपयोग कर सकते हैं। यदि आप बस इतना करना चाहते हैं कि सही आईडी निर्दिष्ट की गई है तो आपको वास्तव में अपने कार्यक्रम में पूरी आईडी को स्टोर करने की आवश्यकता नहीं है।

• स्ट्रिंग/पासवर्ड/आईडी आप के खिलाफ तुलना करने के लिए, हो सकता है यह करने के लिए एक 'नमक' मूल्य जोड़ने चाहते हैं के हैश (MD5, SHA, आदि) बनाएँ।इसे अपने प्रोग्राम में स्टोर करें
• जब प्रोग्राम चलाया जाता है, इनपुट स्ट्रिंग/पासवर्ड/आईडी पर वही एल्गोरिदम करें और दो हैंश की तुलना करें कि वे मेल खाते हैं या नहीं।

इस तरह वास्तविक पाठ आपके प्रोग्राम में कभी भी संग्रहीत नहीं होता है और वे मूल प्रोग्राम क्या था क्योंकि हैश एल्गोरिदम केवल एक तरफ है, यह आपके प्रोग्राम को इंजीनियर नहीं कर सकता है।

Answer 3

सबसे आसान तरीका उन्हें xor या rot-13 जैसे कुछ छोटे से एन्क्रिप्ट करना है, और फिर उन्हें उपयोग किए जाने पर फ्लाई पर डिक्रिप्ट करना है। इससे उन्हें अनौपचारिक रूप से देखने को खत्म कर दिया जाएगा, लेकिन यह किसी को भी उलटने पर ज्यादा अनुभव नहीं करेगा।

Answer 4

यदि कोई विशिष्ट स्ट्रिंग है तो आप नहीं चाहते हैं कि लोग इसे देखने में सक्षम हों, फिर इसे एन्क्रिप्ट करें और रनटाइम पर डिक्रिप्ट करें।

आप लोगों को अपने GUID को देखने के लिए नहीं करना चाहते हैं, तो यह बाइट्स से निर्माण, एक स्ट्रिंग से निर्मित बजाय:

const GUID SecretGuid = 
     { 0x4537774B, 0xCC80, 0x4eda, { 0x7A, 0x9E, 0xE7, 0x79, 0x91, 0xF5 } }; 

Answer 5

अपने सभी गुप्त कोड GUIDs होगा या सिर्फ एक उदाहरण था?

शायद एक द्विआधारी GUID के रूप में अपने गुप्त की दुकान:

const GUID SecretGuid = 
    { 0x4537774B, 0xCC80, 0x4eda, { 0x7A, 0x9E, 0xE7, 0x79, 0x91, 0xF5 } }; 

फिर अपने आपूर्ति की दो द्विआधारी guids बाइनरी फ़ॉर्मेट में स्ट्रिंग से guid और तुलना परिवर्तित।

Answer 6

निष्पादन योग्य में अस्पष्ट डेटा के कई तरीके हैं। यहां अन्य ने अच्छे समाधान पोस्ट किए हैं - कुछ दूसरों की तुलना में मजबूत हैं। मैं उस सूची में नहीं जोड़ूंगा।

बस इतना याद रखें: यह सब एक बिल्ली और चूहे खेल है: यह है असंभवगारंटी है कि कोई भी अपने "गुप्त" पता लगाना होगा।

कोई फर्क नहीं पड़ता कि आप कितनी एन्क्रिप्शन या अन्य चाल का उपयोग करते हैं; कोई फर्क नहीं पड़ता कि आप इसमें कितना प्रयास या धन डालते हैं। इससे कोई फर्क नहीं पड़ता कि कितने "नासा/एमआईटी/सीआईए/एनएसए" प्रकार छिपाने में शामिल हैं।

यह सब सरल भौतिकी के लिए नीचे आता है:
यदि यह किसी भी उपयोगकर्ता के लिए असंभव थे निष्पादन से अपने गुप्त बाहर निकालते हैं और "को सामने लाने" यह है, तो कंप्यूटर यह या तो सामने लाने के लिए सक्षम नहीं होगा, और आपका प्रोग्राम इसका उपयोग करने में सक्षम नहीं होगा। पर्याप्त प्रोत्साहन के साथ किसी भी मामूली कुशल डेवलपर को रहस्य को छिपाने का तरीका मिलेगा।

जिस क्षण आपने अपने निष्पादन योग्य को उपयोगकर्ता को सौंप दिया है, उनके पास रहस्य जानने के लिए आवश्यक सब कुछ है।

सबसे अच्छा आप के लिए आशा कर सकते हैं

यह इतनी मेहनत रहस्य नहीं है कि किसी भी लाभ आप गुप्त परेशानी के लायक नहीं बन जानने से प्राप्त कर सकते हैं उजागर करने के लिए बनाने के लिए है।

तो, डेटा को अस्पष्ट करने का प्रयास करना ठीक है अगर यह सार्वजनिक होने के लिए केवल "अच्छा नहीं" है, या यदि इसका परिणाम सार्वजनिक हो रहा है तो यह "असुविधाजनक" होगा। लेकिन अपने कार्यक्रम में छिपाने के बारे में भी सोचें "अपने मास्टर क्लाइंट डेटाबेस का पासवर्ड", एक निजी कुंजी, या कुछ अन्य महत्वपूर्ण रहस्य। आप बस नहीं कर सकते

यदि आपके पास वास्तव में गंभीर रूप से गोपनीय जानकारी है कि आपके प्रोग्राम को किसी भी तरह की आवश्यकता होगी लेकिन कभी भी सार्वजनिक जानकारी (निजी कुंजी की तरह) नहीं बननी चाहिए, तो आपको अपने प्रोग्राम के तहत रिमोट सर्वर से बात करने की आवश्यकता होगी, उचित प्रमाणीकरण लागू करें और प्राधिकरण नियंत्रण (है, यह सुनिश्चित करें कि केवल अनुमोदित लोग या कंप्यूटर सर्वर पर अनुरोध करने में सक्षम हैं), और वह सर्वर गुप्त रखे और इसका उपयोग करें।

Answer 7

सबसे अच्छा आप अपने पासवर्ड या अन्य स्ट्रिंग को कोड करना चाहते हैं जिसे आप चार सरणी के रूप में छिपाना चाहते हैं। उदाहरण के लिए:

std::string s1 = "Hello"; // This will show up in exe in hex editor 
char* s2 = "World"; // this will show up in exe in hex editor 
char s3[] = {'G', 'O', 'D'}; // this will not show up in exe in hex editor. 

Answer 8

http अनुरोध करता है कि मैं भी छिपाने के लिए चाहते हैं के लिए URL हैं।

यदि आपका ऐप अनुरोध कर रहा है, तो इसमें कोई छिपी बात नहीं है। फिडलर, http विश्लेषक, या दर्जनों अन्य मुफ्त और आसानी से उपलब्ध विधियों जैसे एक ऐप को चलाने से आपका ऐप बनने वाले सभी ट्रैफ़िक दिखाए जाएंगे।