Schutz vor Decompeilierung

[meisterwms]

Hi Leute

wie kann ich meine EXE vor dem Decompeilierung schützen, also damit diese keiner öffnen kann und den Code oder die Eigenschaften ändern kann ?

[Matze]

Meines Wissens so gut wie gar nicht. Und durch Dekompilieren bekommt man den Code auch nicht in einer Hochsprache, sondern man kann nur Assemblercode bekommen und den umzusetzen ist nicht einfach.

[meisterwms]

Das irgendwie geht das durch crypten oder so. Aber wie das genau geht wollte ich ja wissen ;)

[Neotracer64]

Schreib in .NET. Es gibt nur wenige die schon den IL-Code beherrschen.

[quivadis]

.net hat einen richtigen decompiler der den quelltext widerherstellt. bleibe lieber bei der normalen native exe.-datei.

[Neotracer64]

Ich geb zu, das war nich wirklich ein guter Tip. Aber als ich zum ersten mal mit ildasm was dekompiliert habe bin ich da überhaupt .net *fg* durchgestiegen. :>

[meisterwms]

Leute versucht mal etwas richtiges zu posten, was das problem löst ;)
Ich will meine EXE davor schützen und nicht selbst entpacken...

[Luckie]

Es gibt wohl Programme die dir deine Exe verschlüsseln. Wobei die einfachste Methode wäre es mit UPX zu packen. Nachteil: Wer UPX hat, hate s auch genauso schnell wieder entpackt.

[meisterwms]

Kannst du mir so ein Programm nennen ?

[Matze]

UPX

In der Freewaresparte wurde das mit GUI veröffentlicht, soweit ich weiß. Aber bedenke, die dateigröße wird kleiner und die Startzeit des Programms dauert länger und wird in den RAM entpackt, wodurch dessen AUslastung steigt. Aber, wie Luckie sagte, bringt das als Schutz so gut wie nicht's.

[meisterwms]

kennt ihr irgendwas anderes was wirklich bringt ?

[Luckie]

Gegenfrage: Bist du wirklich davon überzeugt, dass du das ultimative superduper Programm geschrieben hast, dass es einen solchen Schutz benötigt? :gruebel:

[meisterwms]

will nicht angeberisch wirken aber ja, denn das programm wurde schon von 3 Firmen gekauft und ich muss es Ende dieser Woche ausliefern und da will ich ds gerne schützen

[Luckie]

Also eine Exe ist schon verschlüssel genug, das höchste aller Gefühle wären die Ressourcen und den Code in hoch optimierten ASM. Mit diesem Ausgangsmaterial Reverseengeneerimng zu betreiben dürfte teuerer sein, als es selber gleich neu zu schreiben.

[Neotracer64]

Benutz Morphine. Kennt keine Sau. Also kann sie fast keine Sau entpacken.

http://hxdef.czweb.org/download/Morphine27.zip

Zitat:

Morphine is very unique application for PE files encryption. Unlike
other PE encryptors and compressors Morphine includes own PE loader which
enables it to put whole source image to the .text section of new PE file. This
one is very powerful because you can compress source file with your favourite
compressor like UPX and then encrypt its output with Morphine. Another powerful
thing here is polymorphic engine which always creates absolutely different
decryptor for the new PE file. This mean if your favourite trojan horse is
detected by an antivirus you can encrypt it with Morphine. You will not get
the virus alert again.
What's more, Morphine allows you to encrypt one file several times!
But be sure you're using -b option (see usage) when doing this. Unlike others
Morphine enlarges your executable by not more than 5kb (this is not true for
morphined DLLs without using -d option, see below)! Morphine supports most
of PE files and many of other PE encryptor/packers. Also one of the greatest
things here is that it is an open source project. In these days antivirus
companies sniff around our site waiting for new version of morphine to add
new decoder into their databases. But you can simply make your own undetectable
version. Because new PE file has random loader it is possible the loading will
take more time than you want to (especially when encrypting bigger files).
If this occurs simply delete the long time loading PE file and try to build it
again. And be careful with morphined DLLs. This can really slow down final
execution.
Whole Morphine code is compatible with Delphi 6 and 7 compiler.
Morphined files can be executed on Windows with NT kernel only.

[jim_raynor]

Zitat:

Zitat von Neotracer64

Another powerful
thing here is polymorphic engine which always creates absolutely different
decryptor for the new PE file. This mean if your favourite trojan horse is
detected by an antivirus you can encrypt it with Morphine. You will not get
the virus alert again.

Autsch, das sagt doch fast schon alles über die Herkunft.

[Olli]

Zitat:

Zitat von meisterwms

kennt ihr irgendwas anderes was wirklich bringt ?

So etwas gibt es per-se nicht. Ein kurzes Gedankenmodell sollte dir da auf die Sprünge helfen:
Angenommen du verschlüsselst die EXE - wie führt sie der Anwender aus? Korrekt, er bekommt den Schlüssel. Wozu hast du den Schutz gemacht? Genau, weil du potentiell in jedem Kunden einen Dieb ("Einbrecher") siehst. Das Dilemma sollte klar sein, wenn man sich vor Augen führt, daß du dem Einbrecher den Schlüssel gibst. Logischerweise muß er nicht die Verschlüsselung an sich knacken (was bei einigen als mathematisch unmöglich nachgewiesen wurde und per BF zulange dauert), sondern nur den Schutz der zusätzlich existiert.
Erschweren geht (z.B. indem jeder Programmteil direkt vor Ausführung entschlüsselt wird, womit man Dumper austrickst, da das Programm nie vollständig entschlüsselt im Speicher vorliegt) - unmöglich machen geht nicht (es sei denn es wäre ein Verschlüsselungschip der sich bei Analyseversuchen selbst zerstört o.ä.). Mit normalen Mitteln kannst du es vergessen Punkt.
Sorry, wenn ich dir da jetzt Illusionen zerstört oder dich aus Wunschträumen geweckt habe.

Zitat:

Zitat von meisterwms

will nicht angeberisch wirken aber ja, denn das programm wurde schon von 3 Firmen gekauft und ich muss es Ende dieser Woche ausliefern und da will ich ds gerne schützen

Bei 3 Firmen kann man auch einfach ein einzigartiges Merkmal in jede Ausgabe einkompilieren. Und voila kannst du die drankriegen wenn eine Raubkopie auftaucht, da du die identifizieren kannst.
Nochmal: absoluter Schutz geht nicht - weder mit Dongles noch anderem Quark. Die Frage ist nur, wieviel Interesse ein potentieller Cracker an deinem Programm hat.

Zitat:

Zitat von Luckie

Mit diesem Ausgangsmaterial Reverseengeneerimng zu betreiben dürfte teuerer sein, als es selber gleich neu zu schreiben.

So ist das! :thumb:

Zitat:

Zitat von Neotracer64

Benutz Morphine. Kennt keine Sau. Also kann sie fast keine Sau entpacken.

In welchen Kreisen verkehrst du denn, wenn du meinst, daß das keiner kennt? Kalter Kaffee ist das.

Zitat:

Zitat von jim_raynor

Autsch, das sagt doch fast schon alles über die Herkunft.

Bingo ;)
Das heißt allerdings nicht, daß Morphine nicht interessant wäre. Könnte aber sein, daß eine mit Morphine und ähnlichen Tools behandelte EXE mal eben als Trojaner oder Virus erkannt würde. Dumme Sache das, wenn man ein Produkt verkaufen will :lol:

[fluxury]

Hallo Leute,

Meiner Meinung nach gibt es keinen optimalen Schutz, um ein Programm vor dem dekompilieren zu bewahren.
Es gibt immer einen der besser ist und es entschlüsseln kann.


mfg

fluxury

[franktron]

Vielleicht eine Loader schreiben und damit die EXE starten das dürfte die Hacker(Decompiler) zum. etwas irretieren.

Fazit den jenigen der das Programm Decom. will so viele hindernisse wie möglich in den Weg legen

[freak4fun]

Ich denke mal ein 100% wäre niemanden die .exe-Datei geben. ;)

Ne, im ernst. Hast du angst die Firma, die dein Programm kauft crackt es? Warum sollte sie es tun, wenn sie eine legale Version hat? Das Risiko besteht zwar immer, aber jede andere Softwarefirma hat das gleiche Risiko.

Mach dir nicht zu viele Sorgen. :)

MfG
fR34k

[franktron]

Du könntest die software doch beim Start die Checksumme prüffen lassen das kann keiner so einfach umgehen,
Du muss natürlich einen oder mehrere schön plätz für die Checksumme finden.

[brechi]

frankton nen video gefällig wo man mal sieht das ne checksumme rein gar nichts bringt?
und auch dem cracker alles mögliche in den weg legen bringt auch nix, ausser das es wieder probleme für den enduser gibt.

[Olli]

Zitat:

Zitat von franktron

Vielleicht eine Loader schreiben und damit die EXE starten das dürfte die Hacker(Decompiler) zum. etwas irretieren.

Au ja. Mach mal. Das ist eine der einfachsten Übungen. Mir ist noch kein wirklich cooler Loader untergekommen. Wenn das alles solche 08/15-Dinger sind, machst du jedem Reverser oder Cracker eine Freude!

Zitat:

Zitat von franktron

Fazit den jenigen der das Programm Decom. will so viele hindernisse wie möglich in den Weg legen

Und das Programm bis aufs äußerste entschleunigen *g* :roll: ... der Endbenutzer soll "seine" Sicherheit schließlich auch irgendwie spüren.

Zitat:

Zitat von freak4fun

Ich denke mal ein 100% wäre niemanden die .exe-Datei geben. ;)

Das stimmt :thumb:

Zitat:

Zitat von freak4fun

Ne, im ernst. Hast du angst die Firma, die dein Programm kauft crackt es? Warum sollte sie es tun, wenn sie eine legale Version hat? Das Risiko besteht zwar immer, aber jede andere Softwarefirma hat das gleiche Risiko.

So sollte man das sehen. Spätestens wenn man sich oben anhand des Gedankenbeispiels das Dilemma klarmacht.

Zitat:

Zitat von franktron

Du könntest die software doch beim Start die Checksumme prüffen lassen das kann keiner so einfach umgehen,
Du muss natürlich einen oder mehrere schön plätz für die Checksumme finden.

Wo ist der Trick? Also irgendwie scheinen hier einige keine Vorstellung zu haben, wie Reverser oder Cracker arbeiten :gruebel: ... gelle brechi? ;)

Zitat:

Zitat von brechi

frankton nen video gefällig wo man mal sieht das ne checksumme rein gar nichts bringt?
und auch dem cracker alles mögliche in den weg legen bringt auch nix, ausser das es wieder probleme für den enduser gibt.

Seien wir ehrlich: dem Reverser oder Cracker bringt es auch manchmal eine Verzögerung ;) ... ich würde sagen 5min für Luckies Debuggercheck in der vorletzten Version des Usermanagers?! :mrgreen: Bei der neuen Version ist sogar noch mehr Mühe angesagt :zwinker:

[turboPASCAL]

Hallo Leute,

Ein Tipp ?!
Ich habe mich immer damit Beholfen, das ich meine EXE-File
mit UPX packe. Die gepackte EXE dann in eine Hexeditor laden,
die Stringvorkommen 'UPX' in sinnlose Zeichen zB. 'UPX' nach 'z3"',
das nächste dann in '8J_' usw. speichern.
(man könnt' ja auch n' Prog schreiben :mrgreen: )

Wer nun versucht mit UPX zu ent.- bzw. zu packen.... hahaha

Vorteil: Prg. ist "verschlüsselt" und Gepackt.

Die Exe kann man problemlos starten (noch keine Probleme gehabt).
Einen Ultimativen Schutz vor guten Hackern wird es aber wohl nie nicht geben. :wink:

MfG.

[Phoenix]

Zitat:

Zitat von turboPASCAL

Die gepackte EXE dann in eine Hexeditor laden, die Stringvorkommen 'UPX' in sinnlose Zeichen zB. 'UPX' nach 'z3"', das nächste dann in '8J_' usw. speichern. (man könnt' ja auch n' Prog schreiben :mrgreen: )

Jau. Und dann hast Du eine Codestelle, die zufällig genau in die Zeichenfolge 'UPX' komprimiert wurde und zerschiesst Dir damit das Programm. Man sollte sich hier zumindest mal mit den UPX-Headern ganz konkret auseinandersetzen um wirklich nur diese zu erwischen.

[gothic_mike]

Zitat:

Zitat von turboPASCAL

Hallo Leute,

Ein Tipp ?!
Ich habe mich immer damit Beholfen, das ich meine EXE-File
mit UPX packe. Die gepackte EXE dann in eine Hexeditor laden,
die Stringvorkommen 'UPX' in sinnlose Zeichen zB. 'UPX' nach 'z3"',
das nächste dann in '8J_' usw. speichern.
(man könnt' ja auch n' Prog schreiben :mrgreen: )

Wer nun versucht mit UPX zu ent.- bzw. zu packen.... hahaha

Vorteil: Prg. ist "verschlüsselt" und Gepackt.

Die Exe kann man problemlos starten (noch keine Probleme gehabt).
Einen Ultimativen Schutz vor guten Hackern wird es aber wohl nie nicht geben. :wink:

MfG.

haste schonmal deinen speicher durchsucht, wenn dein UPX'tes programm läuft?
die exe packen ist imho sinnlos, hällt vielleicht einige DAU's ab, paar Strings/Resourcen in der exe zu ändern, aber einem richtigen cracker is das scheissegal...
es gibt definitiv keinen 100%igen schutz, jedes noch so gut geschützte programm wird von irgendeinem cracker irgendwann gecrackt, ist halt nur eine zeitfrage... und sinnlos verschwendete zeit & energie des programmierers.

[Boombuler]

Hi,...

Eben kein Mittel ohne Gegenmittel zumindest nicht solange wir noch mit Boolscher Algebra arbeiten! Verschlüsseln ist immer nur eine Sache der Zeit! (bei unseren heutigen Verschlüsselungsverfahren viel zu viel Zeit...)
Aber die Lösung ist schon mal nicht schlecht... Ich denke mal 70% der "Ich-Werd-Mal-Cracker-Wenn-Ich-groß-Bin"-Kiddis wirst du damit abschrecken!

Greetz
Boombuler

[Dax]

Ich hab eine kleine Theorie, wie es funktionieren könnte, aber garantiert nicht wird: Einfach das JIT-Konzept ein wenig entfremden. Du hast deinen Code der EXE, den du schützen willst. Du hast ein Verschlüsselungsprogramm wie Morphine. Bau Morphine um. Und zwar so, das es dir den Code immer Bruchstückweise in den Speicher entpackt, den Code ausführt, das Programm anhält, den ausgeführten Code aus dem Speicher läd, den nächsten Block läd usw. Aber das bietet immer noch keinen ernsthaften Schutz vor Speicherzugriffen, und einen richtigen Schutz gibt es, wie ja schon bereits gesagt, nicht. Dieses Konzept hier kann einem Cracker die Arbeit aber ziemlich erschweren, zumindest denke ich das.

Diese Idee entstand in einem verwirrten Hirn, nicht zu viel Beachtung beimessen.

[Olli]

Zitat:

Zitat von turboPASCAL

(man könnt' ja auch n' Prog schreiben :mrgreen: )

Gibt's schon. Such mal nach UPX Scramblern *g*
Ebenfalls kalter Kaffee.

Zitat:

Zitat von gothic_mike

haste schonmal deinen speicher durchsucht, wenn dein UPX'tes programm läuft?
die exe packen ist imho sinnlos, hällt vielleicht einige DAU's ab, paar Strings/Resourcen in der exe zu ändern, aber einem richtigen cracker is das scheissegal...

Dem richtigen Reverser auch ;)

Zitat:

Zitat von gothic_mike

es gibt definitiv keinen 100%igen schutz, jedes noch so gut geschützte programm wird von irgendeinem cracker irgendwann gecrackt, ist halt nur eine zeitfrage... und sinnlos verschwendete zeit & energie des programmierers.

... und des Crackers/Reversers, wenn es das Ziel nicht wert ist. Manche Leute sollten ihre Programme, gerade wenn es Nischenprogramme sind, nicht allzusehr überschätzen.

Zitat:

Zitat von Boombuler

Eben kein Mittel ohne Gegenmittel zumindest nicht solange wir noch mit Boolscher Algebra arbeiten! Verschlüsseln ist immer nur eine Sache der Zeit! (bei unseren heutigen Verschlüsselungsverfahren viel zu viel Zeit...)

Du meinst sicher Entschlüsseln. Und dank des oben dargelegten Dilemmas muß der Programmautor den Schlüssel ja mitliefern, wodurch ein Knacken oder "Entschlüsseln" (via Brute-Force) nicht notwendig ist.

Zitat:

Zitat von Boombuler

Aber die Lösung ist schon mal nicht schlecht... Ich denke mal 70% der "Ich-Werd-Mal-Cracker-Wenn-Ich-groß-Bin"-Kiddis wirst du damit abschrecken!

Ich kenne Firmen, die Reverser bezahlt haben. Du glaubst doch nicht ernsthaft, daß wenn dieses Programm so ultimativ cool wäre, eine Firma ein Ich-Werd-Mal-Cracker-Wenn-Ich-groß-Bin"-Kiddy anheuert?
Alternativ wird das Programm und die zugehörige Firma aufgekauft ("Microsoft-Methodik").

Zitat:

Zitat von Dax

Ich hab eine kleine Theorie, wie es funktionieren könnte, aber garantiert nicht wird: Einfach das JIT-Konzept ein wenig entfremden. Du hast deinen Code der EXE, den du schützen willst. Du hast ein Verschlüsselungsprogramm wie Morphine. Bau Morphine um. Und zwar so, das es dir den Code immer Bruchstückweise in den Speicher entpackt, den Code ausführt, das Programm anhält, den ausgeführten Code aus dem Speicher läd, den nächsten Block läd usw. Aber das bietet immer noch keinen ernsthaften Schutz vor Speicherzugriffen, und einen richtigen Schutz gibt es, wie ja schon bereits gesagt, nicht. Dieses Konzept hier kann einem Cracker die Arbeit aber ziemlich erschweren, zumindest denke ich das.

Siehe:

Zitat:

Zitat von Olli

Erschweren geht (z.B. indem jeder Programmteil direkt vor Ausführung entschlüsselt wird, womit man Dumper austrickst, da das Programm nie vollständig entschlüsselt im Speicher vorliegt) - unmöglich machen geht nicht [...]

Hier. Ich hoffe du meinst nicht mich mit "verwirrtem Hirn" :zwinker:

Es gibt auch VM-Ansätze (sowohl in POCs -> http://www.honeynet.org/scans/scan33/ ) als auch in einem russischen Programm (Link habe ich aktuell nicht zur Hand). Das funktioniert ähnlich wie der P-Code in VB.

[turboPASCAL]

@Phoenix

Die Zeichenfolge 'UPX' vom Packer kommt 3x in der Exe vor:

Offset 504 -> UPX0
Offset 544 -> UPX1
Offset 992 -> UPX! (hinter der UPX-Versionsnummer, bei mir 1.25)

Das sollte bei allen Exe-Files so sein (jedenfalls bei meinen Delphi 6 Exe-Files).
Wenn man nur diese ändert kann nix passiren auch wenn du im Surcecode irgend wo UPX stehen hast.

@gothic_mike

Zitat:

haste schonmal deinen speicher durchsucht, wenn dein UPX'tes programm läuft?
die exe packen ist imho sinnlos, hällt vielleicht einige DAU's ab, paar Strings/Resourcen in der exe zu ändern, aber einem richtigen cracker is das scheissegal...
es gibt definitiv keinen 100%igen schutz, jedes noch so gut geschützte programm wird von irgendeinem cracker irgendwann gecrackt, ist halt nur eine zeitfrage... und sinnlos verschwendete zeit & energie des programmierers.

Da war ich wohl zu späth :-) hi, Olli
MfG.

[Boombuler]

Zitat:

Zitat von Olli

Zitat:

Zitat von Boombuler

Aber die Lösung ist schon mal nicht schlecht... Ich denke mal 70% der "Ich-Werd-Mal-Cracker-Wenn-Ich-groß-Bin"-Kiddis wirst du damit abschrecken!

Ich kenne Firmen, die Reverser bezahlt haben. Du glaubst doch nicht ernsthaft, daß wenn dieses Programm so ultimativ cool wäre, eine Firma ein Ich-Werd-Mal-Cracker-Wenn-Ich-groß-Bin"-Kiddy anheuert?
Alternativ wird das Programm und die zugehörige Firma aufgekauft ("Microsoft-Methodik").

Nein das glaube ich auch nicht aber wenn wir nun mal an andere Leute denken die sich aus diesem Topic n paar Infos ziehen wollen, dann kann es durchaus sein das sich an diesen Programmen auch meine Freunde die "Ich-Werd-Mal-Cracker-Wenn-Ich-groß-Bin"-Kiddis in die Finger bekommen!

Aber die Microsofttechnik find ich Klasse werd ich mir auch angewöhnen wenn ich mal zu Geld kommen sollte ^^

Greetz
Boombuler

[Neotracer64]

Kalter Kaffee hin oder her. Die Zeit, die der Programmierer darin investiert sein Programm zu schützen, vervielfacht sich, um welchen Faktor auch immer, beim dem Cracker der den Schutz letzendlich knackt.

Darum geht es. Nicht mehr und nicht weniger. Jeder sollte selbst abwägen wieviel Zeit der Programmier investiert sein Programm zu schützen.

Oder eventuell sogar in Betracht zu ziehen es OpenSource zu machen ;)

[freak4fun]

Tja, die alte bekannte Diskussion. Schreib mal wie du es gemacht hast und vor allen Dingen warum. ;)

MfG
freak

[Olli]

Zitat:

Zitat von Neotracer64

Kalter Kaffee hin oder her. Die Zeit, die der Programmierer darin investiert sein Programm zu schützen, vervielfacht sich, um welchen Faktor auch immer, beim dem Cracker der den Schutz letzendlich knackt.

Kommt auf das Wissen und die Werkzeuge des Crackers/Reversers an, würde ich mal sagen. Frag' mal Luckie ;)

Zitat:

Zitat von Neotracer64

Darum geht es. Nicht mehr und nicht weniger. Jeder sollte selbst abwägen wieviel Zeit der Programmier investiert sein Programm zu schützen.

Ich verstehe schon was du meinst. Aber aus der Tatsache, daß es sowieso keinen absoluten Schutz gibt sollte man eigentlich schließen, daß mehr Zeit ins Programm als in dessen Schutz fließen sollte, da der Schutz per-se nicht absolut sicher sein kann.

[brechi]

UPX strings zerstören -> UPX kanns nicht mehr entpacken aber ProcDump störts nicht wirklich.

[chkdsk]

Ein exotisches Tool zum komprimieren/verschlüsseln zu benutzen bringt gar nichts, weil man die Executables mit anderen Tools, die hunderte Packer/etc. unterscheiden können, ganz leicht untersuchen kann. Nur packen bringt sowieso nichts.

Natürlich deutlich besser als die Freeware-Lösungen sind kommerzielle Lösungen. Es gibt bspw. den X-Protector und deren Nachfolger, die in der Cracker-Szene noch mit als die sichersten Lösungen eingestuft werden. Aber: Solang der Cracker das Programm ausführen kann (also irgendwie in den Besitz einer lauffähigen Kopie kommt), kann er es immer kopieren, oft sogar schon ohne das.

[turboPASCAL]

Zitat:

www.coding-board.de

• du kannst einbauen was du willst, es gibt immer einen der es entfernt.
• entfernt es keiner ist dein programm so uninteressant, das es sich nicht gelohnt hat es zu
  programmieren.
• in jede gemeinheit die du einbaust und auch neu entwickelt hast wird auch der cracker treten.
  aber nur 1 mal. danach ist dein algorithmus nur noch makulatur.
• je mehr du einbaust umso eher wirst du selber bei deinem 5 update daran zerbrechen.
• mache eine kostenanalyse zwischen aufwand und nutzen und du wirst dich für den billigeren
  schutz entscheiden, denn je besser der schutz umso teurer wird er.

[chkdsk]

Was eventuell was bringt, ist den Code online auszulagern und dann nur die jeweils benötigten Teile runterzuladen und live zu interpretieren.

Es gibt z.B. auch Delphi Componenten, die Pascal Code interpretieren können!

[Neotracer64]

Debugger reversen den Code ZUR LAUFZEIT!

[Olli]

Zitat:

Zitat von Neotracer64

Debugger reversen den Code ZUR LAUFZEIT!

Tja ;) ... scheint egal zu sein wie oft das hier durchgekaut wird *g*