如何确保您的代码安全？

Question

我是电脑程序编制员。我有大约 5 年不同语言的编程经验。我关心的是我的代码速度、优化使用我的代码的内存以及良好的编码风格等等。但从来没有想过我的代码有多安全。所以我反汇编了我的代码，看看黑客能做什么。破解我的代码容易吗？ 我看到确实如此！这很容易，因为我也将

1. 序列号存储为字符串
2. 加密解密代码，

所以如果有人对汇编程序了解很少，他/她就可以简单地反汇编，经过 10-20 分钟的调试，我的代码就被破解了！ ！我想甚至可以通过用记事本打开exe来完成！ :-)

所以我要问的是：

1. 我应该在哪里存储这种安全信息？
2. 提供安全代码的常见策略有哪些？

Answer 1

您必须意识到的第一件事是，您永远无法阻止坚定的逆向者破解任何保护方案，因为代码可以执行的任何操作，逆向者最终都会找到如何复制它。实现任何类型的可靠保护的唯一方法是让附带的程序只不过是一个愚蠢的客户端，并在逆向者无法访问的某些服务器上首当其冲地使用该软件。

排除了这一点，您肯定可以让潜在的逆向者更难破坏您的保护。 混淆是实现这一目标的第一步。我没有使用混淆器的经验，但我相信你可以找到一些关于SO的建议。此外，如果您使用的是 C/C++ 等较低级语言，只需通过完全优化来编译代码并删除所有调试符号即可获得相当多的混淆。

我几年前读过这篇文章，但我仍然认为这是技巧今天起来。这是一款名为《小龙斯派罗》的视频游戏的开发者之一，他正在谈论他们用来防止盗版的一系列技术。他们声称直到发布3个月后才推出破解版，这相当令人印象深刻。

Answer 2

如果您担心盗版，那么您可以采取多种途径。提高代码安全性（混淆、许可证代码、将软件绑定到特定 PC、硬件/加密狗保护等）是其中之一，但值得记住的是，每个软件都可以被破解如果一个足够有才华的人会被打扰。

另一种方法是考虑软件的定价模型。如果每份收费 1000 美元，那么就会有很大的动力去尝试破解它。如果你只收取 5 美元，那么为什么有人要费心去破解它呢？

所以需要的是一个平衡。即使是最基本的保护也能阻止普通人随意复制。除此之外，简单的技术（混淆和许可证代码）和合理的定价策略将阻止大多数潜在的破解者，使其不值得破解。之后，您开始学习更复杂的技术（需要存在加密狗/CD才能运行软件，只有在登录在线许可系统后才能运行该软件），这些技术需要花费大量的精力/成本来实施并显着增加惹恼真正客户的风险（还记得每个人购买《半条命》却不允许他们玩游戏时有多恼火吗？） - 除非您拥有流行的主流产品（即需要保护的巨大收入流），付出那么多努力可能没有多大意义。

Answer 3

使其成为网络应用程序。

Answer 4

除非有外部服务进行您可以控制的检查，否则它通常不会得到很好的保护 - 并且该服务仍然可能被真正想要“破解”它的人欺骗。相反，信任客户并仅提供最低限度的版权保护。我确信 Joel Spolsky 在某处有一篇关于此问题的文章或播客...这是另一个 相关SO问题。

我不知道这是否有帮助，但 Windows 提供了（自 2000 年以来）一种检索和存储加密信息的机制，如果需要，您还可以根据每个应用程序对此存储进行加盐：数据保护 API (DPAPI)

这是在计算机或用户级别上，但存储序列号，也许使用它的一些密钥可能比将它们隐藏在应用程序中更好吗？

Answer 5

你说的是哪种安全？
从保护用户数据的角度来看是否安全？如果是这样，请研究一些真正的密码学并利用现有库来加密您的数据。 win32 API 对此非常有用。

但如果您正在谈论阻止破解者窃取您的应用程序呢？方法有很多，但只能放弃。他们会减慢饼干的速度，但不会阻止它们。

Answer 6

查看如何隐藏二进制代码中的字符串？问题

Answer 7

首先，您必须定义您的代码应该针对什么进行安全保护，这样的安全是没有意义的。

您似乎担心逆向工程和用户在不付费的情况下生成许可证代码，尽管您没有这么说。为了让这变得更困难，您可以通过各种方式混淆您的代码和关键信息。还有一些技术可以使调试器的使用更加困难，以防止逆向工程师单步调试代码并清楚地看到信息。
但这只会使逆向工程变得更加困难，但并非不可能。

另一个常见的安全威胁是执行不需要的代码，例如通过缓冲区溢出。

Answer 8

执行此操作的一个简单技术是对所有代码进行异或，然后在需要时进行异或回来...但这需要天生的汇编知识...我不确定，但您可以尝试以下操作：

void (*encryptionFunctn)(void);
void hideEncryptnFunctn(void)
{
    volatile char * i;
    while(*i!=0xC0) // 0xC0 is the opcode for ret
    {
        *i++^=0x45; // or any other code
    }
}

Answer 9

为了防止黑客查看您的代码，您应该使用混淆器。混淆器将使用各种技术，这使得理解混淆的代码变得极其困难。使用的一些技术包括字符串加密、符号重命名、控制流混淆等。查看 Crypto Obfuscator 另外还具有外部方法调用隐藏、反反射器、反调试等功能。

目标是在潜在黑客的道路上设置尽可能多的障碍。