Newsgroup: it.comp.www.php
Titolo: Ioncube loader e applicazioni PHP

Ciao a tutti, una curiosità se utilizzo  ioncube loader per proteggere 
una mia applicazione web, sono sicura al 100% oppure esistono dei modi 
per recuperare il codice "nascosto"?
Grazie

 esistono dei modi per recuperare il codice "nascosto"?
Esistono servizi online a pagamento che assicurano di essere in grado
di recuperare il codice sorgente originale.
-- 
Vuoi distribuire il tuo sito web su CD/DVD?
Prova 
http://www.dwebpro.com/
Vuoi diventare un esperto analista PHP/MySQL?
Vieni a fare uno stage con noi: 
http://www.creativepark.it/stage/


Hola.
Premesso che il loader implica che tu abbia compresso e criptato i dati
con Ioncube Encoder, premesso anche che un qualsiasi bravo hacker prima
o dopo dei sistemi di criptazione se ne infischia (anche se normalmente
"attaccano" sistemi di un certo calibro, e in quel caso significa che
avrai per le mani una infrastruttura/azienda piuttosto grossa da
permetterti quasi di comprare direttamente la Ioncube :) )...
...posso dirti che uso felicemente l'encoder da un paio d'anni, insieme
al loro Package Foundry (per eseguire installazioni) e garantisce una
certa sicurezza e tranquillità, compreso l'offuscamento dei numeri di
riga e delle variabili.
Tutto ciò va usato con cautela, naturalmente.
In passato avevo provato anche lo Zend Encoder, ma Ioncube garantiva
molta più indipendenza, dato che si possono installare loader e librerie
senza passare per i sistemisti.
Tra l'altro, uno dei due motivi principali (oltre alla sicurezza
delle applicazioni che non è mai troppa nemmeno quando si lavora
su server propri) è la compressione che l'encoder permette, rendendo
più veloci le applicazioni stesse.
Scusa... mi sono dilungato... :)
-- 
Aloha, (m|t)
---------------------------------------------------------------------
Comunicazione per la pubblica amministrazione, grandi aziende, pmi
Bazzmann|Mag > 
http://www.bazzmann.com
Bazzmann Srl > 
http://www.bazzmann.it
---------------------------------------------------------------------

 di recuperare il codice sorgente originale.
Esistono anche utenti che assicurano di essersi affidati a loro ma
con in ritorno del codice non funzionante. :)
Comunque sia, pur non essendo io un esperto di reverse engineering e
sicurezza in generale, il sistema usato da quelli di Ioncube non si
occupa solo di offuscare il codice, quanto di compilare a tutti gli
effetti il codice sorgente, con in aggiunta altri livelli di
protezione.
Ciň non toglie che qualsiasi esperto con la "e" maiuscola possa in
qualche modo penetrare le difese... ma in tal caso nemmeno all'NSA
o al Pentagono godono della totale certezza. :)


 con in ritorno del codice non funzionante. :)
La mia infatti era una affermazione un po' retorica (vedi l'assicurano).
Anchio utilizzo lo IonCube da diversi anni e fino ad ora non ho
riscontrato problemi.
Se poi uno vuole essere paranoico puo' sempre implementare una funzione
che controlli l'MD5 dei file codificati per garantire che vengano
eseguiti in forma codificata, ed in caso contrario faccia un "ping" ad
un server di controllo con info tipo IP dell'utilizzatore.




Il modo di recuperare... "del" codice... c'e' ed e' relativamente facile,
avendo lo strumento adatto (e' Open Source). Ma IonCube salva nel file il
codice gia' "predigerito", e quindi quello che recuperi e' una foresta di
simboli che funziona, ma, prima che sia leggibile, hai da camina' roccia.
E' stato recuperato "del" codice? Si'. E' il TUO codice? No.
Password e costanti stringa naturalmente le recuperi subito. Ma per dire,
se invece di scrivere
	$password = '12345';
scrivi
	$passarr = { '1','2','3','4','5' };
	$password = implode('', $passarr);
quello che si recupera e' una cosa del tipo
	$a351 = { 0 => "1", 1 => "2", ... };
	$s780 = implode("", $a351);
che e' molto meno immediato capire cosa sia e cosa faccia, specie se dove
la setti e dove poi vai a usarla sono molto lontani fra loro.
Gia' se dichiari qualcosa tipo
	$variabilechenonserveaunabega = array{'password' => 's1m0n3tta');
il 90% dei wannabe cracker guarda il codice "decriptato", gongola fra se'
"Ecco la password! Simonetta, scritto in 3133t!", e la usa senza guardare
se e' la password vera, o una password che fa scattare un allarme (tipo -
per esempio - un file_get_content(
http://tuoserver/manuale/errore72.html
)
che ti lascia nei log l'accaduto e l'IP dell'accadente.
Leonardo
-- 
While ordinarily valid that being widespread does not make a statement
true, I feel that the diffusion of anti-evolutionary beliefs does pose
a strong argument for Darwin having been, indeed, sorely mistaken.

 simboli che funziona, ma, prima che sia leggibile, hai da camina' roccia.
Che software sarebbe??

Grazie a tutti per le risposte!!!!