informazione script whitelist

[badaze]

Era un esempio spicciolo al posto del key ci andrebbe un Access Tokens (tipo login facebook) forse non avrai una sicurezza assoluta ma non credo che ci siano altre soluzioni

Pensavo volesse impedire a qualcuno di istallare un suo script senza il suo permesso.

[cavicchiandrea]

Pensavo volesse impedire a qualcuno di istallare un suo script senza il suo permesso.

Ed è possibile in php? Interessante attendo sviluppi

[Cooly]

esatto se in un mio script di whitelist non inserisco il dominio quello script non deve funzionare e fattibile la cosa?

[myweb77myweb77]

Io farei così, nello script php leggerei il dominio su cui "gira" e verificherei se è presente in un file remoto, anche un semplice php. Ovviamente basterebbe modificare lo script per fargli credere di girare su un dominio differente da quello reale, per impedire questa e qualsiasi altra modifica si può offuscare il codice php con un sito come questo http://www.phpencode.org
che permette ad esempio di trasformare

<?php echo "ciao"; ?>

in

<?php /*** PHP Encode v1.0 by zeura.com ***/ $XnNhAWEnhoiqwciqpoHH=file(__FILE__);eval(base64_decode("aWYoIWZ1bmN0aW9uX2V4aXN0cygiWWl1bklVWTc2YkJodWhOWUlPOCIpKXtmdW5jdGlvbiBZaXVuSVVZNzZiQmh1aE5ZSU84KCRnLCRiPTApeyRhPWltcGxvZGUoIlxuIiwkZyk7JGQ9YXJyYXkoNjU1LDIzNiw0MCk7aWYoJGI9PTApICRmPXN1YnN0cigkYSwkZFswXSwkZFsxXSk7ZWxzZWlmKCRiPT0xKSAkZj1zdWJzdHIoJGEsJGRbMF0rJGRbMV0sJGRbMl0pO2Vsc2UgJGY9dHJpbShzdWJzdHIoJGEsJGRbMF0rJGRbMV0rJGRbMl0pKTtyZXR1cm4oJGYpO319"));eval(base64_decode(YiunIUY76bBhuhNYIO8($XnNhAWEnhoiqwciqpoHH)));eval(ZsldkfhGYU87iyihdfsow(YiunIUY76bBhuhNYIO8($XnNhAWEnhoiqwciqpoHH,2),YiunIUY76bBhuhNYIO8($XnNhAWEnhoiqwciqpoHH,1)));__halt_compiler();aWYoIWZ1bmN0aW9uX2V4aXN0cygiWnNsZGtmaEdZVTg3aXlpaGRmc293Iikpe2Z1bmN0aW9uIFpzbGRrZmhHWVU4N2l5aWhkZnNvdygkYSwkaCl7aWYoJGg9PXNoYTEoJGEpKXtyZXR1cm4oZ3ppbmZsYXRlKGJhc2U2NF9kZWNvZGUoJGEpKSk7fWVsc2V7ZWNobygiRXJyb3I6IEZpbGUgTW9kaWZpZWQiKTt9fX0=1622644c4e6ab386db72fa7240529dfb9265ccfdS03OyFdQSs5MzFeyBgA=

Quindi (quasi) impossibile da leggere e modificare per il programmatore di turno (magari non per la CIA) ma comunque eseguibile e quindi funzionante senza problemi

[badaze]

Non penso sia il massimo. Ho fatto un semplice

<?php
$R=base64_decode("aWYoIWZ1bmN0aW9uX2V4aXN0cygiWWl1bklVWTc2YkJodWhOWUlPOCIpKXtmdW5jdGlvbiBZaXVuSVVZNzZiQmh1aE5ZSU84KCRnLCRiPTApeyRhPWltcGxvZGUoIlxuIiwkZyk7JGQ9YXJyYXkoNjU1LDIzNiw0MCk7aWYoJGI9PTApICRmPXN1YnN0cigkYSwkZFswXSwkZFsxXSk7ZWxzZWlmKCRiPT0xKSAkZj1zdWJzdHIoJGEsJGRbMF0rJGRbMV0sJGRbMl0pO2Vsc2UgJGY9dHJpbShzdWJzdHIoJGEsJGRbMF0rJGRbMV0rJGRbMl0pKTtyZXR1cm4oJGYpO319");print $R;

ed è uscito

if(!function_exists("YiunIUY76bBhuhNYIO8")){function YiunIUY76bBhuhNYIO8($g,$b=0){$a=implode("\n",$g);$d=array(655,236,40);if($b==0) $f=substr($a,$d[0],$d[1]);elseif($b==1) $f=substr($a,$d[0]+$d[1],$d[2]);else $f=trim(substr($a,$d[0]+$d[1]+$d[2]));return($f);}} 

Quindi il tempo di fare un caffè e tutto viene decodificato.

[myweb77myweb77]

In effetti è vero, con un altro software che una volta avevo però la cosa era molto ma molto più sicura

[Cooly]

Diciamo che chi ha lo script senza permesso n9n puo avviarlo..in php quindi n9n e possibile?

[myweb77myweb77]

Diciamo che chi ha lo script senza permesso n9n puo avviarlo..in php quindi n9n e possibile?

Diciamo che la parte difficile è far si che chi si impossessa dello script non possa modificarlo per farlo funzionare, perché verificare il dominio è fattibile come ho scritto 2 post indietro, il difficile è non farglielo modificare per aggirare il controllo

[Cooly]

Quibdi magari criptare la parte dove fa il controllo?

[myweb77myweb77]

Quibdi magari criptare la parte dove fa il controllo?

esatto, meglio ancora criptare tutto lo script, altrimenti uno potrebbe togliere la parte criptata di controllo e farla ad hoc in modo che lo script funzioni