Offusquer un programme avant creation du setup

Version imprimable

11/12/2007, 19h26
Aspic

Offusquer un programme avant creation du setup

Bonjour à tous,

Voici mon petit soucis,

En fait je souhaiterais offusquer mon programme (en .exe) avant de créer le setup de telle sorte que lorsque l'utilisateur va installer mon programme (grace au setup .msi), le fichier .exe soit offusqué !

En ce moment, je ne veux offusquer que le programme hors du setup et donc si je "build" mon setup alors lors de l'installation, il va m'installer le programme non offusqué...

Je ne sais pas si je suis clair mais c'est pas facile à expliquer.

En clair, comment se débrouiller pour que une fois le programme installé (par le setup .msi) sur la machine distante, il soit offusquer ?

:merci:
11/12/2007, 21h15
SaumonAgile

Juste pour savoir : quel est l'intérêt d'offusquer le programme ? Si la personne veut vraiment voir ton code, ce genre de choses est inutile... C'est un peu comme si tu effaçais les petits symboles sur ton levier de vitesse dans l'espoir de décourager les gens de voler ta voiture...
Mais ce n'est que mon avis. ;)

Autre question pourquoi tu n'offusque pas ton programme après la compilation et qu'ensuite seulement tu construises le setup ?
Autre chose encore, as tu essayé d'ajouter une étape de post-compilation de ton projet et qui justement appelerait le programme d'offusquation ?
11/12/2007, 22h18
Aspic

Citation:

Envoyé par SaumonAgile

Juste pour savoir : quel est l'intérêt d'offusquer le programme ? Si la personne veut vraiment voir ton code, ce genre de choses est inutile... C'est un peu comme si tu effaçais les petits symboles sur ton levier de vitesse dans l'espoir de décourager les gens de voler ta voiture...
Mais ce n'est que mon avis. ;)
?

Parce qu'il y a des infos personnels sur mon FTP dedans codé en brut et donc je ne prends pas de risque de me faire chopper mon serveur ;)

Citation:

Envoyé par SaumonAgile

Autre question pourquoi tu n'offusque pas ton programme après la compilation et qu'ensuite seulement tu construises le setup ?

Justement c'est ce que je voudrais faire mais comme j'utilise le truc de base de visual studio pour créer un setup, il me reconstruit automatiquement un autre exe qui n'est pas celui que j'ai offusqué. En fait, je ne sais pas comment inclure le .exe que j'ai offusqué dans le setup :?

Citation:

Envoyé par SaumonAgile

Autre chose encore, as tu essayé d'ajouter une étape de post-compilation de ton projet et qui justement appelerait le programme d'offusquation ?

Je ne sais pas comment faire cela :oops:

:merci:
12/12/2007, 00h03
Thomas Lebrun

Il existe des programmes pour faire ce genre de choses normalement: je pense par exemple à Xenocode (mais payant)
12/12/2007, 00h20
SaumonAgile

Pour l'étape de post-compil, tu peux voir dans les propriétés du projet, onglet build ou compilation (de mémoire, et suivant la langue).
12/12/2007, 00h42
Aspic

Citation:

Envoyé par Thomas Lebrun

Il existe des programmes pour faire ce genre de choses normalement: je pense par exemple à Xenocode (mais payant)

Justement j'utilise ce logiciel en version démo et je ne vois pas où je peux faire ce que je cherche...

SaumonAgile, je ne vois pas les options "post-build" dans les propriétés du projet, onglet "compilation". Est ce bien dans els prorpiétés du projet ? de la solution ? ou de projet d'install ?
12/12/2007, 03h44
smyley

Citation:

Envoyé par Aspic

SaumonAgile, je ne vois pas les options "post-build" dans les propriétés du projet, onglet "compilation". Est ce bien dans els prorpiétés du projet ? de la solution ? ou de projet d'install ?

vs 2005 :
Options du projet > ~Evenements de compilation ( Build Events, vu que je l'ai en anglais )
là tu as 2 boites : pre build events et post build events
Dedans tu peut alors mettre tes commandes avec une syntaxe proche des fichiers .bat.

Et puis pas obligé d'utiliser un truc payant, y'en a des gratuits :
http://dotnet.developpez.com/outils/...poseObfuscator
12/12/2007, 09h45
_skip

Citation:

Envoyé par SaumonAgile

Juste pour savoir : quel est l'intérêt d'offusquer le programme ? Si la personne veut vraiment voir ton code, ce genre de choses est inutile... C'est un peu comme si tu effaçais les petits symboles sur ton levier de vitesse dans l'espoir de décourager les gens de voler ta voiture...
Mais ce n'est que mon avis. ;)

Quand tous les noms de méthodes et de variables ont des allures de 5da8aa7126701c9840f99f8e9fa54976 et qu'il y a pour 6-7mo de code en taille compilée, crois-moi que ça décourage pas mal de monde.
12/12/2007, 15h22
Aspic

Citation:

Envoyé par smyley

vs 2005 :
Options du projet > ~Evenements de compilation ( Build Events, vu que je l'ai en anglais )
là tu as 2 boites : pre build events et post build events
Dedans tu peut alors mettre tes commandes avec une syntaxe proche des fichiers .bat.

Et puis pas obligé d'utiliser un truc payant, y'en a des gratuits :
http://dotnet.developpez.com/outils/...poseObfuscator

Salut,

Désolé mais je trouve toujours pas. Voila ce que j'ai dans les options du projet : http://www.zonegeeks.com/temp/p.JPG

PS : Effectivement offusquer le code est une tache importante pour ne pas se faire voler son projet ;)

EDIT : Je pense que j'ai trouvé l'endroit ou taper des lignes de code mais que dois je mettre pour offusquer le programme lors de la création du setup ?
14/12/2007, 22h52
Aspic

Je relance la nouvelle question :

Que dois je entrer dans "post build" pour offusquer le code après compilation ?

:merci:
19/12/2007, 18h40
Aspic

J'ai trouvé une as tuce mais je voudrais avoir votre avis :

Si je mets les chaines de caractères sensibles dans les ressources du programme et que je les utilise avec :

Code:

My.Ressources.[Nom_De_Ma_Chaine]

Est ce qu'il est possible par décompilation d'accéder à ces chaines ?

:merci:
19/12/2007, 23h45
smyley

C'est encore plus facile d'y accéder que si elles étaient codée en dur ... :?
20/12/2007, 00h14
Aspic

Citation:

Envoyé par smyley

C'est encore plus facile d'y accéder que si elles étaient codée en dur ... :?

Lol OK ..... :aie:

Donc en gros, il y a aucun moyen de brouiller le texte codé en dur...

Bon, je vais réfléchir à une solution car j'ai pas envi de payer 500 dollars pour acheter Xenocode Pro !!
20/12/2007, 01h17
_skip

Dotfuscator community edition il ne fait pas ce genre de chose?
20/12/2007, 08h09
Aspic

Citation:

Envoyé par _skip

Dotfuscator community edition il ne fait pas ce genre de chose?

Malheureusement non, c'est la première chose que j'ai vérifée.
20/12/2007, 09h34
_skip

Serait-ce peut-être possible que tu obtiennes les pass de ton serveur au moment du runtime voir même son adresse en consultant un webservice?
Ca te permettrait de les changer fréquemment et ça éviterait de cacher les infos de login directement dans l'application.

Sinon tu peux toi-même mettre une chaine cryptée en dur dans le programme, et tu offusques l'algo qui permet d'en faire quelque chose d'utilisable. Si c'est une grande application faut déjà y aller pour savoir ou c'est au milieu d'une floppée de classe avec des noms à ressort.

Par ailleurs, le compte FTP que tu utilises, il est clair que ce doit être un compte limité au strict minimum niveau droit. Si c'est un FTP de pages perso avec les mêmes informations de login que ton propre compte client, en effet ce n'est pas top.

En plus tu vas faire du SSL ? (C'est supporté par FtpWebRequest) Car sinon il est probable qu'il suffise de sniffer les paquets pour le voir apparaître en clair.
20/12/2007, 09h36
SaumonAgile

Avec ce FTP, tu vas seulement lire des fichiers ou aussi en écrire ? Parce que si c'est simplement pour lire, tu pourrais utiliser un compte en lecture seule. De cette manière récupérer les accès aux ftp est moins critique.
20/12/2007, 17h55
Aspic

Citation:

Envoyé par SaumonAgile

Avec ce FTP, tu vas seulement lire des fichiers ou aussi en écrire ? Parce que si c'est simplement pour lire, tu pourrais utiliser un compte en lecture seule. De cette manière récupérer les accès aux ftp est moins critique.

Non je fais des opérations de lecture/ecriture. Mon ftp n'est pas limité en droit puisque ce n'est pas un ftp perso mais un hebergement que j'ai payé :)

Sinon peut etre que la méthode de _skip peut marcher mais je ne vois pas trop comment la mettre en place :aie:

En ce moment, j'ai offusqué le programme avec Xenocode 2007 qui possède tout ce que je cherche mais payant :( donc j'ai un message au lancement de l'application disant "que ce programme a été offusqué par la version gratuite de Xenocode ... blabla" et c'est pas top.
20/12/2007, 20h43
Nikoui

Ou sinon si seule la connexion a ton FTP est sensible, place la dans un fichier de configuration (ou autre) et encrypte/décrypte ce fichier avec les lib fournie par .Net pour le cryptage.
20/12/2007, 20h59
Aspic

Citation:

Envoyé par Nikoui

Ou sinon si seule la connexion a ton FTP est sensible, place la dans un fichier de configuration (ou autre) et encrypte/décrypte ce fichier avec les lib fournie par .Net pour le cryptage.

Bonne idée mais pour le cryptage (par exemple avec Vigenère) on a besoin d'une Key et donc cette Key sera codé en brut dans le code et donc on retombe sur le problème précédant... à moins qu'il soit possible de générer une clef "aléatoire" mais je ne pense pas...
21/12/2007, 16h58
_skip

Qu'est-ce que j'ai proposé que tu ne comprends pas au juste?
21/12/2007, 17h50
Aspic

Citation:

Serait-ce peut-être possible que tu obtiennes les pass de ton serveur au moment du runtime voir même son adresse en consultant un webservice?
Ca te permettrait de les changer fréquemment et ça éviterait de cacher les infos de login directement dans l'application.

Sinon tu peux toi-même mettre une chaine cryptée en dur dans le programme, et tu offusques l'algo qui permet d'en faire quelque chose d'utilisable. Si c'est une grande application faut déjà y aller pour savoir ou c'est au milieu d'une floppée de classe avec des noms à ressort.

POur accéder à mon ftp, je suis obligé de mettre mes pass... donc je peux faire aucune requete par WebBrowser ou autre sans avoir fourni les pass.

Si je crypte les pass dans un fichier texte par exemple, il faut définir une clef pour le cryptage par exemple avec Vigenère donc si un personne malhonnete décompile le programme, récupère la clef en brut dans le code source puis décrypte la chaine grace à l'algo de vigenère et je suis c******

DOnc en fait on tourne en rond...
21/12/2007, 19h36
_skip

Et bien ma foi si tu n'as pas suffisamment de controle sur la structure pour faire du boulot propre c'est pas gagné...

Quand j'ai parlé de webservice, je parlais d'un webservice au sens dotnet pas d'un accès web sur ftp ( je suis pas sûr que c'était clair ). Une simple webmethod que ton prog appelle et qui lui permet de récupérer les login et mots de passe du ftp avant de s'y connecter, infos que tu peux alors changer régulièrement à ta guise et sans préavis.

Ce webservice, bien entendu, tu l'héberges sur le net ou chez toi, ce sera parfait. Si tu ne peux pas activer le SSL, obfuscation ou pas ce sera trop facile de récupérer les chaines lorsqu'elles seront envoyées au serveur en sniffant les paquets ("PASS monpassword" en pur ASCII).

Et surtout, tu as besoin de créer un compte utilisateur pour ton FTP qui n'a que les droits dans un répertoire que tu définis à l'avance, et qui surtout n'a pas suffisamment de droit pour modifier les droits.

Si tu ne peux pas mettre en place ni SSL, ni webservice, ni compte limité. Quoi que tu fasses ce sera risqué
21/12/2007, 20h12
Aspic

Citation:

Envoyé par _skip

Si tu ne peux pas mettre en place ni SSL, ni webservice, ni compte limité. Quoi que tu fasses ce sera risqué

Ok merci je vais me renseigner auprès de mon hébergeur pour voir ce que je peux faire.
21/12/2007, 21h11
_skip

Tu as raison, si ton ftp à ce que j'ai compris c'est un service payant en plus, il vaut la peine de faire attention. Y'a trop d'abrutis sur le net.
21/12/2007, 21h35
Aspic

Citation:

Envoyé par _skip

Tu as raison, si ton ftp à ce que j'ai compris c'est un service payant en plus, il vaut la peine de faire attention. Y'a trop d'abrutis sur le net.

Qu'entends tu par la ?
21/12/2007, 21h52
_skip

Ben rien, juste que t'avais raison de prendre des mesures pour la sécurité
22/12/2007, 09h51
Aspic

Citation:

Envoyé par _skip

Ben rien, juste que t'avais raison de prendre des mesures pour la sécurité

Oui c'est sur, généralement je n'ai pas ce soucis puisque mon code n'est pas sensible mais la c'est un peu différent. Bon je vous remmercie et puis je me renseigne !

:merci:

Fuseau horaire GMT +2. Il est actuellement 15h12.