[SWF] Anti Decompileren

[CrashOne]

Er zijn dus programma's die je hele swf kunnen decompileren. Inclusief alle as-code.

Is hier ook wat tegen te doen?

Vind het nl vrij kut dat andere mijn as kunnen lezen.

Ik geloof dat er ooit een regeltje was wat je toe kon voegen zodat dit niet meer mogelijk was.

Iemand?

[Willem]

Bij Export Settings "Protect from Import" aanvinken?

[Yellow|A]

Dan zijn er natuurlijk nogsteeds pakketjes waarmee je het kan lezen, maar daar is geloof ik nu nog niks tegen te doen...

[Hangloozz]

werkt dat echt?
kan me het haast niet voorstellen..
d'r is altijd wel weer een bobo die een "Protect from 'Protect from import'" tooltje bouwt...

[oh,when?]

je kunt het de 'crackers' hoogstens wat moeilijker maken. that's it. en je zou jezelf eerst een moeten afvragen of dat het allemaal waard is, m.a.w. waarom zouden mensen jouw code perse willen kraken?

[Bosmonster]

En kweet niet hoe SWF files zijn opgebouwd.. maar over het algemeen kun je met decompileren van een programme nooit andermans code lezen, slechts wat de decompiler ervan maakt.

[CrashOne]

Er is dus een tool waarmee je letterlijk mijn code kan lezen. Protect from import helpt idd niet.

Er bestaat wel een regel code, welke je kan toevoegen aan je eigen code waardoor die decompiler over de zeik raakt, weet alleen de regel niet meer.

Ik vind het gewoon kut dat als ik een tijd heb lopen scripten op iets dat een ander dat zo kan jatten....

[Verwijderd]

Ach als jij als eerste iets heel tofs maakt, en iemand anders ript en recycled dat komen mensen er toch wel achter.
En zijn hun de lozers.....
En heb jij nog steeds vette sh*t gemaakt.

Als mensen iets willen pikken doe je er toch niks aan.

[Guillome]

Zolang ze je kennis niet kunnen jatten doen ze maar zou ik zeggen.
Het is ook een eer dat ze jouw code willen hebben. Alles is te kraken, dus dat ook.
En je kan het ze evt. idd wel moeilijker maken.
Maar ach, als je het zelf kan maken ben je heel wat meer dan dat ze het jatten.
En i know, dit is geen oplossing

[Bosmonster]

Precies.. in de digitale wereld is niks veilig, alleen heilig Als iemand je zut wil jatten laat hem.. dan is het een sukkel... Je bent echt niet de eerste of enige die zoiets maakt, en de ander heeft niet de ervaring opgedaan die jij hebt opgedaan tijdens het ontwikkelen.

Maar grote kans dat iemand anders alleen even wil kijken hoe je iets gedaan hebt, om er simpelweg zelf ervaring aan op te doen...

* Bosmonster vindt dat mensen moeten zich imho niet zo druk maken om hun source.. al die anti-rightclick en anti-decompilatie zut... Denk open-source...

[Verwijderd]

Een oude truc in de software wereld is om je code te obfusicaten, dat wil zeggen allerlij
variabelen etc. zo te renamen, dat de code bijna onleesbaar wordt.

zoek eens bij google met de woorden;
obfuscation actionscript

Maar aan de andere kant, als je een boek schrijft, en mensen jatten stukken tekst,
dan kan je ze van plagiaat beschuldigen,
Ik weet het is wat lastiger online om alles te checken, maar toch.

Als je een 'flash' klus voor een groot bedrijf moet maken, en je ript 'een op een' de source van iemand anders, en als dit tevens 'uitkomt' gaan er links en recht toch koppen rollen. En weg is jou 'goede' naam.

[Verwijderd]

Ik ben het met bosmonster eens, van mij mogen ze m`n source bekijken, en ik ga ook niet moeilijk doen om m`n source onleesbaar te maken. Anders krijg je weer anti-obfusicate tooltjes die obfusicated source weer 'leesbaar' gaan maken.

Het gaat meer om de vorm, en dat jij de eerste bent die zoiets nieuws maakt.
Jatten is een ding, inspiratie is iets anders. Inspiratie moet je maar als een compliment zien.

Het leuke van new-media/coding/vormgeving vindt ik nog steeds, dat er soms iets uit je handen kan rollen, wat je nog nooit ergens anders (online) heb gezien. Na een tijd, zie je andere mensen dit ook oppikken in allerlei variaties, en na een tijdje is het gemeengoed. En goede ideeën worden door iedereen 'gejat', daar zal je toch mee moeten leven. Er zijn meer mensen die puur leven, door dingen links en rechts 'te jatten', dan dat er mensen zijn die steeds een 'nieuw wiel' uitvinden.

edit:

Ik kende ooit een ontwerper die een vaas had ontworpen, een jaar later stond er precies dezelfde vaas in de schappen bij een grote winkelketen van ons land met een 'made taiwan' sticker. Hij heeft de rechtzaak verloren om dat zijn orginele vaas gemaakt was van glas, en de taiwanese versie was van plastic

[ Voor 0% gewijzigd door Verwijderd op 06-11-2002 20:47 . Reden: aanvulling ]

[MaDDoG]

Ik vind ook niks mis met het lezen van html, action script, php of wat dan ook. Zo heb ik alles mijzelf aangeleerd. Bekijken>aanpassen>ontleden>begrijpen etc. Als je mij op een stand-alone computer zet zonder internet kan ik nog geen normaal stylesheet in elkaar zetten. Daar heb ik echt wel internet voor nodig. (al was het maar w3)
Van elkaar leren is een van de beste manieren om snel vooruitgang te boeken.

[Verwijderd]

op http://www.genable.com/aso/ kan je een goed werkende Action Script Obfuscator downloaden.
Op zich is 't niet echt een groot probleem dat mensen je code kunnen lezen, alleen heb je heel vaak internetspelletjes waar je prijzen mee kunt winnen waarin de scores worden gepost aan een php-script. Als je dan de code kan lezen (met bijv sothink swf decompiler (erg goede!)) kan je gewoon checken welke variabelen gepost worden en kan je jezelf de eerste prijs laten winnen.
Vorig jaar was er van de vara het torentjesspel.. door te decompilen en te kijken welke php-files werden aangeroepen (en met welke variabelen) kon ik mezelf bovenaan zetten
Als Volkert niet besloten had Pim Fortuyn te vermoorden zat ik nu op een 2e kamerzetel

[Bosmonster]

Verwijderd schreef op 07 November 2002 @ 09:49:
op http://www.genable.com/aso/ kan je een goed werkende Action Script Obfuscator downloaden.
Op zich is 't niet echt een groot probleem dat mensen je code kunnen lezen, alleen heb je heel vaak internetspelletjes waar je prijzen mee kunt winnen waarin de scores worden gepost aan een php-script. Als je dan de code kan lezen (met bijv sothink swf decompiler (erg goede!)) kan je gewoon checken welke variabelen gepost worden en kan je jezelf de eerste prijs laten winnen.
Vorig jaar was er van de vara het torentjesspel.. door te decompilen en te kijken welke php-files werden aangeroepen (en met welke variabelen) kon ik mezelf bovenaan zetten
Als Volkert niet besloten had Pim Fortuyn te vermoorden zat ik nu op een 2e kamerzetel

Als dat zo is dan is die communicatie vrij brak... zo ingewikkeld is het niet om een flash-file te laten communiceren met een server zonder dat de code kennen nut heeft. Denk aan sessions-checks, host-checks, etc...

[Xurk]

De beste programma's om SWFs helemaal te decompilen zijn SWF Scanner en ActionScript Viewer.
Echter, als je de SWF in FlashMX exporteert, en dan de nieuwe optie van 'comprimeren' ofzo aanvinkt bij het export opties box, en het dan vervolgens opent in 1 van die 2 programma's is alle ActionScript verneukt. Echt, dan zie je allemaal termen die niets met Actionscript te maken hebben
En als je ook nog actionscript van FlashMX erin hebt zitten, wat niet bestond in Flash 5, dan wordt dat ook wartaal. Dit komt allebei omdat de nieuwste versies van die programma's nog niet compatible zijn met FlashMX [misschien nu wel, maar ik heb lang niet gekeken].

[henkleerssen]

Als krakers de as code willen hebben.. dan krijgen ze het wel..
besides..hoe erg is het dat ze jouw flash ding kraken? Komen er bedrijfsgeheimen op straat zo? Lijkt me niet... Als het wel zo is.. dan moet je idd gaan beveiligen... of aan andere dingen gaan denken dan as

[oh,when?]

zie nu iets van 10 posts die allemaal hetzelfde zeggen, dus aan de topicstarter:

kzou er maar niet teveel moeite aan besteden, als ze erachter willen komen dan komen ze er wel achter.

edit:
eej bd..ben je vrijdag er ook?

[-DarkShadow-]

Het is eigenlijk een eer als andere mensen je code hacken, maar het is een nog grotere eer om ervoor te zorgen dat ze hem niet kunnen hacken. Je zou ergens kunnen neerzetten dat ze gratis de hele code van jou krijgen. Als ze jou mailen en als jij enkele credits krijgt. Dan weet je tenminste wie jou code gebruikt.

[Verwijderd]

you can also put: void(a)<=b>"c"||0(!1 && !0); in the first frame as the first line of code.

op deze manier is het moeilijker om de flash te decompilen

[Verwijderd]

fingiecrookie.. komt een jaar later bijna met de perfecte oplossing! Nog niet getest btw.

anyway ik dacht een tijdje terug slim te zijn om een rooturl check erin te gooien..
zodat mensen niet ff snel m`n flash stuff konden copieren. (zonder flash decompiler)

zoiets als

code:

function checkurl() 
{
    if (substring(_root._url, 0, 4)=="file")
    {
        test=substring(_root._url, 0, 4);
        canplay=true;
    }
    if (substring(_root._url, 0, 25)=="http://www.mijn_site.nl")
    {
        test=substring(_root._url, 0, 25);
        canplay=true;   
    }
    if (substring(_root._url, 0, 20)=="http://ipnummer.ipnummer.ipnummer.ipnummer")
    {
        test=substring(_root._url, 0, 20);
        canplay=true;
    }
    if (canplay==false)
    {
        test="security error - e-mail: [e-mail]";
        getURL("mailto:[e-mail]?subject=Yes, I want also a this nice flash-thing on my site!");
    }
}

Maar op een of andere manier ging root url verkeerd, (op bijv. het moment dat mensen proxy servers gingen gebruiken?! ofzo werkte de _root.url niet meer goed?! Geen informatie hierover yet.. Anyway ik kreeg al snel een mailtje terug.. van achteloze surfers.

edit:
fixed 2 typo`s

[ Voor 6% gewijzigd door Verwijderd op 29-07-2003 19:42 ]

[bloody]

Verwijderd schreef op 29 July 2003 @ 17:45:
you can also put: void(a)<=b>"c"||0(!1 && !0); in the first frame as the first line of code.

op deze manier is het moeilijker om de flash te decompilen

yup. Dit heb ik ook wel eens gebruikt
Het schijnt inderdaad zo te zijn dat sommige decompilers erover crashen. Wellicht zijn er nu decompilers die hiet NIET op crashen...

[ Voor 28% gewijzigd door bloody op 30-07-2003 08:27 ]

[Verwijderd]

Wat ik ook wel eens doe is alle code in een andere swf stoppen en die als code library gebruiken. Niet dat ze die niet kunnen downloaden / decompilen maar ze moeten wel eerst uitvinden dat alle code uit die swf komt.

[bloody]

nog een idee: de code op de server bewaren, in flash met een socket connectie de code overhalen, en deze uitvoeren.
kun je gelijk een check op ip doen.

[oh,when?]

je kan alleen geen runtime code uitvoeren in Flash.

[Verwijderd]

Hoe bedoel je dat owen?

[McVirusS]

bloody schreef op 30 July 2003 @ 11:16:
nog een idee: de code op de server bewaren, in flash met een socket connectie de code overhalen, en deze uitvoeren.
kun je gelijk een check op ip doen.

Owen bedoelt dat dit dus niet werkt omdat je geen code tijdens het draaien van SWF kan uitvoeren (tijdens de runtime dus) aangezien SWF een compiled formaat is. Gok ik zo .

[Verwijderd]

Ja maar als je dus je code in een andere swf hebt, een codelibrary, dan kan het wel, deze is natuurlijk al gecompiled. IP check is onzin, want de code wordt ingeladen vanaf de de client zijn browser.

[Janoz]

Verwijderd schreef op 30 July 2003 @ 12:26:
Ja maar als je dus je code in een andere swf hebt, een codelibrary, dan kan het wel, deze is natuurlijk al gecompiled. IP check is onzin, want de code wordt ingeladen vanaf de de client zijn browser.

Mwah, als het goed is heeft die client ietsje ervoor ook de html bij je opgehaald waarin de swf staat . Je kan dus weten vanaf welk ip je wat kunt verwachten...


Heeft AS trouwens niet een eval functie?

[Verwijderd]

Hmm ja maar dan nog kan hij makkelijk die swf los downloaden, misschien kan je wat vogelen met sessies om het wat moeilijker te maken, maar waterdicht wordt het nooit.

[oh,when?]

Verwijderd schreef op 30 July 2003 @ 12:26:
Ja maar als je dus je code in een andere swf hebt, een codelibrary, dan kan het wel, deze is natuurlijk al gecompiled. IP check is onzin, want de code wordt ingeladen vanaf de de client zijn browser.

als je je code in een ander SWF je hebt zitten ben je toch weer terug bij af?

[Verwijderd]

't is wel mogelijk, probeer de flash op http://www.planet.nl maar eens te decompilen
flasm -d over je .swf draaien is ook een goede trouwens...

[ Voor 29% gewijzigd door Verwijderd op 30-07-2003 13:25 ]

[oh,when?]

Flash ActionScript:

    trace ("::pmgSys::\n----------");
    trace ("\n::Installing Base::");
    if (Object.pmgSys == undefined) {
        var t = ((Object.pmgSys = new Object ()));
        var v = eval ("/:$version").split(",");
        t.majorVersion = int (substring (v[0], v[0].length, 1));

...

moet ik nog doorgaan...

[Verwijderd]

W00ps....net nieuwe versie online gedumped.....k*tzooi, nog niet geflasmed

[Verwijderd]

SWF is altijd te decompilen, 'tis niet voor niets een 'open' formaat.
Je kan het alleen lastiger maken door oa. obfuscaten, code uit externe swf'jes te gebruiken, runtime code invoegen, etc.
Maar helemaal secure ben je nooit.
Voorkomen dat mensen je source stelen kan dus gedeeltelijk wel.
Voorkomen dat mensen 'cheaten' aan de client-kant kan nooit.

Dus zorg er altijd voor dat zoveel mogelijk aan de server-kant gebeurd

[BtM909]

Verwijderd schreef op 30 July 2003 @ 17:27:
1. runtime code invoegen, etc.
2. Dus zorg er altijd voor dat zoveel mogelijk aan de server-kant gebeurd

1. Kan dus niet
2. Wat voor toegevoegde waarde heeft dat voor Flash?

[Verwijderd]

BtM909 schreef op 30 July 2003 @ 17:49:
[...]


1. Kan dus niet
2. Wat voor toegevoegde waarde heeft dat voor Flash?

1. Kan zeker wel, SWF is een open standaard, zijn libs voor.. dus je kan als je wilt dynamich SWF code genereren dmv CGI/PHP oid.. en die dan inladen dmv LoadMovie
2. Zodat men je flashje niet kan exploiten.

Goed voorbeeld van 2 is bijv een multiple choice test..
Als je de antwoorden op de client zou checken, dan zou iedereen bijv. alles goed kunnen laten antwoorden.
Als je dat op de server zou doen, kunnen ze dat niet exploiten.

[oh,when?]

je kan geen MX code genereren met Ming...

[oh,when?]

ow wacht! Bedenk me net dat je Rich Vector Markup Language kan gebruiken ( is sinds een paar dagen officieel uit. Zeg maar roundtrip SWF <> RVML ( XML subset ) <> SWF via Java. Ontzettend tof spul.