✔ Script sichern?

[Sven Mintel]

@Sven Mintel

Meinst du mit Zend verschlüsseln?
Das Tool ist recht teuer

Nö, meint ich nicht, ich weiss dass es was kostet

Hab soetwas wie gesagt noch nie gemacht, aber vielleicht penne ich heute mal nicht nach 5min auf der Couch ein und überlege, wie man es machen kann :suspekt:

 

[Sven Mintel]

So, ein Telefonanruf hat mich von der Couch gerissen, hab mal kurz etwas gebastelt

Zum Verschlüsseln hab ich Blowfish genommen: http://www.php-einfach.de/sonstiges_generator_blowfish_script.php

Dazu diese Funktion:

function include_encrypted($f)
{
  $blowfish = new Blowfish($_SERVER['HTTP_HOST'].md5(file_get_contents(__FILE__)));
  eval(preg_replace('#(<\?( |php)|\?>)#',' ',$blowfish->decrypt(file_get_contents($f))));
}

Sie erwartet als Parameter den Pfad zu der zu entschlüsselnden Datei.

Ich hab da mal $_SERVER['HTTP_HOST'] als Variable genommen, wie man an die MAC-Adresse kommt, ist ja noch nicht ganz klar

Ihr könnt jetzt mit dieser Funktion Dateien inkluden, welche ihr vorher per $blowfish->decrypt() verschlüsselt habt.
Wichtig: Die Dateien dürfen nur PHP-Code enthalten(man könnte da natürlich noch weiter dran schrauben mit einem Parser, der auch nicht-PHP-Code ermöglicht, aber das soll ja nur mal das Prinzip zeigen, wie man es angehen könnte)

Beim Verschlüsseln braucht ihr natürlich noch einen Key...den Host lasst ihr euch von dem Kunden sagen, falls ihr ihn nicht wisst, und dort dann den md5-Hash des PHP-Skriptes ranhängen(damit da niemand herumfummeln kann und sich den Dateiinhalt einfach per echo ausgeben lässt).


Hier mal der Inhalt einer verschlüsselten Datei:

SHKD0wAKupdTi7jlOrnInU9Pz4u/AxYTTdtOUAYAtjECOr74BalKgg==

Ich hänge das Ganze mal ran zum Probieren...wenn es klappt, dann dürftet ihr zuhaus auf dem localhost etwas sehen, Online gibts nur Fehlermeldungen ;-)

Mir ist klar, dass das kein grosser Schutz ist, falls man an die Source will, aber es erschwert die Sache doch schon ein wenig....man könnte da sicher noch mehr Falltüren einbauen :suspekt:

Wer sichergehen will, muss sich halt die Zend-Verschlüsselung kaufen.


Wer als 1. sagt, was da nun ausgegeben wird, bekommt eine Bewertung

 

[DeluXe]

Wer als 1. sagt, was da nun ausgegeben wird, bekommt eine Bewertung

Du kommst aus dem Norden?

Nein, nein, ich will den anderen nicht ihre Lohrbeeren weg schnappen, ich war nur neugierig, da ich vor paar Monaten auch schonmal über soetwas ähnliches nachgedacht habe, es mir dann aber schnell wieder aus dem Kopf geschlagen habe.
Mir ist das alles zu viel gebastel gewesen, um im Endeffekt keine mir ausreichende Wirkung zu erhalten.

Also, sollen die Ihre Bewertung bekommen, die wirklich etwas mit dem Thema zu tun haben.

 

[Sven Mintel]

Du kommst aus dem Norden?

Nö....aber irgendwie sagt man das in Berlin auch, allerdings eher als halb verschlucktes "Guten Morgen"

Mich hat vor zig Jahren mal nen Fischkopp darüber aufgeklärt, dass das nichts mit "Morgen" zu tun hat, seitdem sag ich es doppelt ;-)

 

[DeluXe]

dass das nichts mit "Morgen" zu tun hat

Bei mir hat sich das auch als standardmässige Begrüßung - unabhängig von der Tageszeit - eingebürgert. Und dabei bin ich in 30 Minuten in Frankreich, ein paar Minuten mehr und ich bin in der Schweiz.

Aber wenn es nicht von "Morgen" kommt, wovon dann? Mail das Wiki fragen..ich will ja nicht Schuld sein, dass hier alles ins OT abgleitet.

 

[Da_Chris]

Hey Sven coole idee aber wer sich mit php halbwegs auskennt wird trotzdem an den code kommen wenn er ihn statt includiert aks datei liest und ausgibt.
Aber in verbindung mit einem obfuscator wird es auf jedenfall richtig gut erschwert an den code zu kommen

 

[Sven Mintel]

Jo, das ist halt das Problem, dass man den Code, der entschlüsselt, irgendwo im Klartext zu stehen hat...das dürfte das Problem bei allen Verschlüsselungsversuchen per PHP sein.

 

[Da_Chris]

Also Fazit würde ich sagen:
Es gibt nur Zend als sichere möglichkeit den Code zu schützen das ist aber recht teuer.
Mit eigenen Mitteln ist Svens Lösung meiner Meinung nach kombiniert mit einem obfuscator auch schon recht sicher da man hier definitiv zuviel Zeit braucht um den code zu verstehen und die Sicherheitsabfrage zu umgehen.