.NET 混淆工具/策略 [关闭]
[英].NET obfuscation tools/strategy [closed]
问题描述
我的产品有几个组件：ASP.NET、Windows 窗体应用程序和 Windows 服务。 95% 左右的代码是用 VB.NET 编写的。
出于知识产权的原因，我需要对代码进行混淆，直到现在我一直在使用 dotfuscator 的一个版本，这个版本现在已经超过 5 年了。 我认为是时候转向新一代工具了。 我正在寻找的是我在搜索新的混淆器时应该考虑的要求列表。
到目前为止，我知道我应该寻找什么：
- 序列化/反序列化。 在我当前的解决方案中，我只是告诉工具不要混淆任何类数据成员，因为无法加载以前序列化的数据的痛苦实在是太大了。
- 与构建过程集成
- 使用 ASP.NET 。 过去，由于更改了 .dll 名称（通常每页有一个），我发现了这个问题 - 并非所有工具都能很好地处理。
30 个解决方案
解决方案1
51
我们已经尝试了许多混淆器。 它们都不适用于使用远程处理的大型客户端/服务器应用程序。 问题是客户端和服务器共享一些 dll，我们还没有找到任何可以处理它的混淆器。
我们已经尝试过 DotFuscator Pro、SmartAssembly、XenoCode、Salamander 和几个名字不为我所知的小型应用程序。
坦率地说，我确信混淆是一个大黑客。
即使它解决的问题也不完全是一个真正的问题。 您真正需要保护的唯一东西是连接字符串、激活码、诸如此类的安全敏感的东西。 另一家公司将对您的整个代码库进行逆向工程并从中创建竞争产品的这种胡说八道是偏执经理的噩梦，而不是现实。
解决方案2
46
我现在是“膝盖深”，试图找到一个好的解决方案。 到目前为止，这是我的印象。
Xenocode - 我有一个旧的 Xenocode2005 许可证，我曾经用它来混淆我的 .net 2.0 程序集。 它在 XP 上运行良好，是一个不错的解决方案。 我目前的项目是 .net 3.5，我在 Vista 上，支持告诉我试一试，但 2005 版本甚至不能在 Vista 上运行（崩溃），所以我现在必须以惊人的价格购买“PostBuild2008” 1900 美元。 这可能是一个很好的工具，但我不会去发现。 太贵了。
Reactor.Net - 这是一个更具吸引力的价格点，它在我的独立可执行文件上运行良好。 Licensing 模块也很好，可以为我节省大量精力。 不幸的是，它缺少一个关键功能，那就是从混淆中排除东西的能力。 这使得无法实现我需要的结果（将多个程序集合并在一起，混淆一些，而不是混淆其他）。
SmartAssembly - 我为此下载了 Eval，它运行完美。 我能够实现我想要的一切，并且界面是一流的。 价格点还是有点高。
Dotfuscator Pro - 在网站上找不到价格。 目前正在讨论以获取报价。 听起来不祥。
Confuser - 一个运行良好的开源项目（正如名称所暗示的那样混淆 ppl）。
注意：据报道，根据 GitHub 存储库上的问题 #498 ，ConfuserEx 已“损坏”。
解决方案3
45 已采纳
回到 .Net 1.1 混淆是必不可少的：反编译代码很容易，你可以从汇编到 IL，再到 C# 代码，只需很少的努力就可以再次编译它。
现在使用 .Net 3.5 我完全不确定。 尝试反编译 3.5 程序集； 你得到的距离编译还有很长的路要走。
添加 3.5 中的优化（远好于 1.1）以及匿名类型、委托等由反射处理的方式（它们是重新编译的噩梦）。 添加 lambda 表达式、编译器“魔法”（如 Linq-syntax 和var ）以及 C#2 函数（如yield （这会导致新类的名称不可读）。 您的反编译代码最终离可编译还有很长的路要走。
一个有很多时间的专业团队仍然可以再次对其进行逆向工程，但任何混淆的代码也是如此。 他们从中得到的代码将是不可维护的，并且很可能有很多错误。
我建议对您的程序集进行密钥签名（这意味着如果黑客可以重新编译一个，他们必须重新编译所有程序集），但我认为混淆不值得。
解决方案4
23
如果您正在寻找免费的，您可以尝试使用 Visual Studio 或Eazfuscator.NET附带的 DotObfuscator Community Edition。
自 2012 年 6 月 29 日起，Eazfuscator.NET 现已商业化。 最后一个可用的免费版本是 3.3。
解决方案5
18
我一直在使用智能装配。 基本上，你选择一个 dll 并返回它混淆。 它似乎工作正常，到目前为止我没有遇到任何问题。 非常非常容易使用。
解决方案6
10
我已经尝试了市场上几乎所有的混淆器，我认为 SmartAssembly 是最好的。
解决方案7
9
我也一直在使用 SmartAssembly。 我发现 Ezrinz .Net Reactor 在 .net 应用程序上对我来说更好。 它混淆、支持 Mono、合并程序集，它还有一个非常好的许可模块来创建试用版或将许可证链接到特定机器（非常容易实现）。 价格也很有竞争力，当我需要支持时，他们会很快。 埃兹里兹
需要说明的是，我只是一个喜欢产品的客户，与公司没有任何关系。
解决方案8
7
简短的回答是你不能。
周围有各种工具会使某人更难阅读您的代码 - 其中一些已被其他答案指出。
然而，所有这些都让阅读变得更加困难——它们增加了所需的工作量，仅此而已。 通常这足以阻止不经意的读者，但决心深入研究您的代码的人总是能够这样做。
解决方案9
6
Crypto Obfuscator解决您的所有问题和场景。 它 ：
- 根据规则自动从混淆中排除类型/成员。 序列化类型/字段就是其中之一。
- 可以使用 MSBUild 将其集成到构建过程中。
- 支持 ASP.Net 项目。
解决方案10
6
我们有一个带有 asp.net 和 winform 界面的多层应用程序，它也支持远程处理。 我使用任何混淆器都没有问题，但加密类型除外，它会生成一个加载程序，该加载程序可能会以各种意想不到的方式出现问题，而且在我看来不值得。 实际上，我的建议更像是“避免像瘟疫一样加密加载程序类型的混淆器”。 :)
根据我的经验，任何混淆器都适用于 .net 的任何方面，包括 asp.net 和远程处理，您只需要熟悉设置并了解可以在代码的哪些区域推动它。 并花时间尝试对您所获得的内容进行逆向工程，看看它如何与各种设置一起工作。
多年来，我们在我们的商业应用程序中使用了一些，并选择了来自 9rays.net 的 Spices 混淆器，因为价格合适，它可以完成工作，并且他们有很好的支持，尽管我们多年来真的不再需要支持了，但说实话我认为你使用哪种混淆器并不重要，如果你想让它与远程处理和 asp.net 一起正常工作，问题和学习曲线都是一样的。
正如其他人所提到的，您实际上所做的一切都相当于挂锁，将其他诚实的人拒之门外，或者使简单地重新编译应用程序变得更加困难。
许可通常是大多数人的关键领域，无论如何您绝对应该使用某种数字签名的证书系统进行许可。 如果您没有适当的智能系统，您最大的损失将来自随意共享许可证，破坏许可证系统的人永远不会首先购买。
走得太远很容易对您的客户和您的业务产生负面影响，做一些简单合理的事情，然后不要担心。
解决方案11
5
在过去的两天里，我一直在试验 Dotfuscator Community Edition advanced（注册 Visual Studio 附带的基本 CE 后可以免费下载）。
我认为更多人不使用混淆作为默认选项的原因是，与风险相比，这是一个严重的麻烦。 在较小的测试项目中，我可以花费很多精力来运行混淆代码。 通过 ClickOnce 部署一个简单的项目很麻烦，但在使用 mage 手动签署清单后可以实现。 唯一的问题是，在错误时，堆栈跟踪被混淆了，并且 CE 没有打包反混淆器或澄清器。
我试图混淆一个基于 Excel 的 VSTO 真实项目，其中包含 Virtual Earth 集成、大量网络服务调用和 IOC 容器以及大量反射。 这是不可能的。
如果混淆确实是一个关键要求，那么您应该从一开始就考虑到这一点来设计您的应用程序，并随着您的进展测试混淆的构建。 否则，如果它是一个相当复杂的项目，你最终会遇到很大的痛苦。
解决方案12
4
我最近尝试将一个免费混淆器的输出传输到另一个免费混淆器 - 即 Dotfuscator CE 和 CodePlex 上的新 Babel 混淆器。 更多详情请见我的博客。
至于序列化，我已将该代码移动到不同的 DLL 中并将其包含在项目中。 我推断那里没有任何不在 XML 中的秘密，所以它不需要混淆。 如果这些类中有任何严重的代码，在主程序集中使用部分类应该覆盖它。
解决方案13
3
您可以使用“Dotfuscator Community Edition”——它在 Visual Studio 2008 Professional 中默认提供。 你可以在以下位置阅读它：
http://msdn.microsoft.com/en-us/library/ms227240%28VS.80%29.aspx
http://www.preemptive.com/dotfuscator.html
该产品的“专业”版本需要花钱，但效果更好。
你真的需要混淆你的代码吗？ 通常，您的应用程序被反编译不会有什么问题，除非它用于安全目的。 如果您担心人们“窃取”您的代码，请不要担心； 绝大多数人查看您的代码都是出于学习目的。 无论如何，.NET 没有完全有效的混淆策略 - 有足够技能的人总是能够反编译/更改您的应用程序。
解决方案14
3
我发现 Agile.Net 为您的 .Net 程序集提供了很好的保护，因为它不仅提供混淆，还提供加密。 下载免费路径。
http://secureteam.net/NET-Code-Protection.aspx http://secureteam.net/downloads.aspx
解决方案15
3
您应该使用最便宜和最知名的平台并收工。 高级语言的混淆是一个难题，因为 VM 操作码流不会遇到原生操作码流所面临的两个最大问题：函数/方法识别和寄存器别名。
关于字节码逆向，您应该知道的是，安全测试人员检查直接的 X86 代码并发现其中的漏洞已经是标准做法。 在原始 X86 中，您甚至不一定能找到有效的函数，更不用说在整个函数调用中跟踪局部变量了。 几乎在任何情况下，本机代码逆向者都无法访问函数和变量名称——除非他们正在审查 Microsoft 代码，为此 MSFT 向公众提供了有用的信息。
“Dotfuscation”主要通过加扰函数和变量名称来工作。 这样做可能比发布带有调试级别信息的代码更好，在这种情况下，反射器实际上是放弃您的源代码。 但是，除此之外，您所做的任何事情都可能会导致收益递减。
解决方案16
3
避免反应堆。 它完全没用（是的，我为许可证付费）。 Xenocode 是我遇到的最好的一个，也购买了许可证。 支持非常好，但我并不需要它，因为它只是有效。 我测试了我能找到的每一个混淆器，我的结论是 xenocode 是最健壮的并且做得最好（也有可能将你的 .NET exe 后处理到我在其他任何地方都没有看到的本机 exe。）。
reactor 和 xenocode 之间有两个主要区别。 第一个是 Xenocode 实际上有效。 第二个是你的程序集的执行速度没有什么不同。 使用反应堆，它大约慢了 600 万倍。 我还觉得反应堆是一个人的操作。
解决方案17
3
我对 Smartassembly 没有任何问题。
解决方案18
2
这是微软自己的一份文件。 希望有帮助...，它是从 2003 年开始的，但它可能仍然相关。
解决方案19
2
自 .Net 1 以来，我一直在同一个应用程序中混淆代码，从维护的角度来看，这一直是一个令人头疼的问题。 正如您所提到的，序列化问题是可以避免的，但是很容易犯错误并混淆您不想混淆的内容。 破坏构建或更改混淆模式并且无法打开旧文件很容易。 此外，可能很难找出哪里出了问题。
我们的选择是 Xenocode，如果我今天再次做出选择，我宁愿不混淆代码，或者使用 Dotfuscator。
解决方案20
1
这完全取决于您使用的编程语言。 阅读文章：混淆代码
解决方案21
1
免费的方法是在visual studio中使用dotfuscator，否则你必须出去购买像Postbuild这样的混淆器（ http://www.xenocode.com/Landing/Obfuscation.aspx ）
解决方案22
1
有一个很好的开源版本叫做 Obfuscar。 似乎工作正常。 可以排除类型、属性、字段、方法。 原文在这里： https://code.google.com/p/obfuscar/ ，但因为它似乎不再更新
解决方案23
1
我不得不在我最新的 rpoject 中使用混淆/资源保护，并发现Crypto Obfuscator是一个很好且易于使用的工具。 序列化问题只是此工具中的设置问题。
解决方案24
1
我们在 Windows 客户端上使用 SmartAssembly。 工作得很好。
也增加了一些额外的问题。 在日志文件/异常中打印出你的类名必须去混淆。 当然不能从它的名字创建一个类。 因此，最好查看一下您的客户端，看看通过混淆会遇到哪些问题。
解决方案25
0
您可能还想了解新的代码保护技术，例如Metaforic和ViLabs，以及新的软件复制保护技术，例如ByteShield 。 披露：我为 ByteShield 工作。
解决方案26
0
SmartAssembly 很棒，我在大多数项目中都使用过
解决方案27
0
我也使用智能装配。 但是，我不知道它如何用于 Web 应用程序。 但是，我想指出的是，如果您的应用程序使用共享软件类型保护，请确保它不会检查带有布尔值返回的许可证。 字节破解太容易了。 http://blogs.compdj.com/post/Binary-hack-a-NET-executable.aspx
解决方案28
-1
我试过 Eziriz 演示版......我喜欢它。 但是从来没有带过软件。
解决方案29
-1
混淆不是真正的保护。
如果您有 .NET Exe 文件，则有更好的解决方案。
我使用Themida并且可以说它运行良好。
Themida 的唯一缺点是它无法保护 .NET Dll。 （它还保护 Exe 和 DLL 中的 C++ 代码）
Themida 比这里提到的混淆器便宜得多，是市场上最好的反盗版保护。 它会在您的代码的关键部分运行时创建一个虚拟机，并运行多个线程来检测黑客设置的操作或断点。 它将 .NET Exe 转换为 Reflector 甚至不再识别为 .NET 程序集的内容。
请阅读他们网站上的详细说明： http : //www.oreans.com/themida_features.php
解决方案30
-2
我尝试过一种叫做 Rummage 的产品，它在给你一些控制方面做得很好......虽然它缺乏 Eziriz 提供的很多东西，但 Rummage 的价格太高了......
.NET 6 混淆
声明:本站的技术帖子网页，遵循CC BY-SA 4.0协议，如果您需要转载，请注明本站网址或者原文地址。任何问题请咨询:yoyou2525@163.com.