Beyin Fırtınası - [ionCube Decode Problemi & PHP Dosya Şifreleme]

ioncube her türlü kırılıyor malesef.

* kodlarınızı önce obfuscate edip sonra ioncube ile encode ederseniz en azından decode edilse bile kodların anlaşılmasını zorlaştırabilirsiniz.
* önemli .js dosyalarını kendi sunucunuzdan okutup bu dosyalarda çeşitli kontroller yapabilirsiniz. (php ile ref - lisans kontrolü vs.)
* bazı önemli işlemler için kendi sunucunuzdan api oluşturup bu işlemler için lisans kontrolü - dosya doğrulaması yaparak en azından bazı işlemlerin çalışmasını engelleyebilirsiniz.

obfuscate olayını ne ile yapıyorsun hocam ? program script vs ?

http://www.codeeclipse.com/step1.php

obfus zaten karıştırıcı bişey değişmiyor. Fonksiyon dosyalarınızı uzaktaki sunucudan include ettirebilirsiniz. allow_url_include açtığınızda problem kalmıyorç

obfuscate den sonra ioncube ile encode etmek kırılmasını biraz zorlaştırıyor ama yüksek hit alan sitelerde sunucu kodu yorumlamak için birden fazla işlem yaptığı için cpu ve ram kullanımı artıyor.

Daha önce başıma geldi, obfuscate yaptıktan sonra ioncube ile şifreledim,

32 gb ram
i7 işlemcili makina anlık 7 k da kilitlendi kaldı, mecburen sadece ioncube ile encode edip atmak zorunda kaldım.

kendi sunucunda barındırmanında büyük sıkıntıları var.

en ufak sorun bile olsa sen ilgilenmek zorundasın
saldırı gelse suncuudaki tüm siteler gider
sitenin bir tanesi shell yese diğerlerine de sızabilir bu büyük bir risk.

en güzeli değişik bir kodlama stili geliştirip önemli birçok dosyayı ilişkilendirip karmaşık bir yapı oluşturmak.sonrada ioncube ile şifrelemek.scriptteki şifrelenmiş dosya sayısı 30 40 olursa kıracak vatandaş onunla uğraşmayabilir.çünkü kırılan dosyalardaki fonksiyonların bir kızmı düzgün çalışmayabiliyor, onlarıda oturup yazacağına yeni script kodlar

Buda kullanan sitelerin geliştirilmesi için bence çok kıstılayıcı birşey. Düşünsenize sitenize birçok şey yapmak istiyorsunuz fakat sadece size izin verilen işlemleri yapabiliyorsunuz. PHP dili ile ASP kısıtlayıcılığı yapıyorsunuz. Ama bu gidişle dediğiniz gibi olacak, kimseye dosya vermeden Web üzerinden yönetim yoluna gidecek herkes.

İşte orada 2kez yorumlama tarzı birşey olsa arada yani örneğin; ioncube.dll çalıştığında ioncube2.dll açsa, 1. dll ioncube çözse ve 2.dll'de PHP yorumlama işlemini gerçekleştirse bu mantıksal bir çözüm değilmi sizce?

allow_url_include fonksiyonu ile sürekli uzaktan dosya include ettirmek ciddi trafik ve hız problemine yol açmazmı? Bunu önbellekli bir şekilde vs. mi almalıyız, konu ile ilgili bilginiz varsa biraz daha açabilirseniz sevinirim...

Kendi server extensionınızı yazıp kullanabilirsiniz. Örneğin önemli fonksiyonları extension ile yapabilirsiniz. Veya direk kendi şifreleme tekniğinizi oluşturabilirsiniz. Yani bir nevi kendi ioncube ünüzü oluşturursunuz.

Fakat bu kendi şifreleme sisteminiz diğer seçeneğe göre daha kolay kırılır sanırım. Çünkü ne kadar şifrelerseniz şifreleyin, yazılımı çalıştırmak için o kodun temiz halini php derleyicisine iletmeniz gerekmekte. İncelediğim ioncube kırıcıları da genelde bu şekilde çalışıyor zaten.

Bu yüzden ilk yöntem daha iyi gibi geliyor bana. Yazılımın kilit noktalarını extension aracılığıyla halledersiniz. Tabi burda da dikkat edilmesi gereken, kodun taklit edilmesinin zor olması. Direkt olarak veritabanına bağlanma kodunu fonksiyon yapıpta, onu php kodda kullanırsanız, başka bir coder o kodu normal php fonksiyonuna çevirerek planınızı bozabilir.

Tabi o da kırılabilir sanırım fakat diğer yöntemler kadar basit olacağını sanmıyorum.

Bir de kullanımı için de en az bir vps ye gerek olucaktır. Çünkü çoğu host sağlayıcısı bunu kabul etmez. Eğer büyük yazılımlar düşünüyorsanız, bu yazılımları birden fazla müşteriye pazarlamak niyetindeyseniz ve müşterileriniz ısrarla yazılımı kendi barındırmak istiyor ise tercih edilebilir.

Bunlar tamamen teorik yorumum, hiç böyle bir şey denemedim.

en iyisi kendi algoritmanı oluşturup onun üzerinden decode edeceksiniz oda kırılmaz diye bir şey olmayacak ioncube 5 sn kırılabilirken kendi yazdığınız algoritma 1 günde kırılabilir olacak sonucta açık kaynak sistem kırılmayacak diye bir şey kesinlikle olmayacaktır...

gelen veriyi text olarak yorumlatırsakda içeriği görebiliriz ama hocam?

   include "php://input";

PHP Server

HR+cP+9H/O4aUiQsDIXeebhRjwNxlDJbQKvfM9QyEIEpYnzKdp8/7KtkCapaiqw+ZnixEiy/gTfD
CJJvDDR4BFLNLuD+0J9osnxAG05IZhEzrSNZv5LZ+YicN3HE5clyuONqQRosUf31mMxgLeJeneke
69JnLsaXBFG2HK9nNTzmNfIEdvDyCETrVf2G9jNCgl+B9EA0ONQLC5Sl+Sa4NIeMIW6Z7FRbINQD

kodunu sadece text veri olarak görür.

Verisel olarak analiz edicek olursak Normal Çalışma Mantığı


PHP KOD -> PHP SERVER İŞLEMİ -> GÖRÜNÜM EKRANI

iOnCube ile çalışma mantığı

PHP KOD -> iOnCube Clean Code -> PHP SERVER İŞLEMİ -> GÖRÜNÜM EKRANI

iOnCube "XBFG2HK9" yazılmış kodunuzu her halükarda PHP'ye <?php $veri; ..... vsvs.. ?> diye iletmek zorundadır. -ki server'ın gördüğünü kırabilecek bir sürü coder var piyasada.. alternatifi zor gibi bişey