ILSpy და რა არის დეკომპილი ასამბლერის რეჟიმში: რატომ არის ასე ადვილი მისი დანახვა თქვენს .NET კოდში?
თუ ოდესმე გაგიხსნიათ . DLL ILSpy-ში თქვენ პირადად ნახეთ, თუ რას წარმოადგენს დეკომპილი ასამბლეაში: თქვენი საწყისი კოდის თითქმის სრულყოფილი რეკონსტრუქცია. ისეთი ინსტრუმენტები, როგორიცაა ILSpy და ნებისმიერი dotnet დეკომპილატორი, ავლენს შიდა ლოგიკას, ავტორიზაციის მონაცემებსა და ალგორითმებს, ყველაფერი კომპილირებული ბინარული ფაილებიდან.
⚠️არასაიმედო მაგალითი, მხოლოდ საგანმანათლებლო მიზნებისთვის. არ გამოიყენოთ წარმოებაში.
ILSpy-ით ან ნებისმიერი dotnet დეკომპილატორით გახსნისას, კოდი APIKey-ს ზუსტად ისე აჩვენებს, როგორც ის კომპილირებულია.
უსაფრთხო ვერსია:
საგანმანათლებლო შენიშვნა: არასოდეს გამოიყენოთ საიდუმლოებები ასამბლეებში. გამოიყენეთ გარემოს ცვლადები ან უსაფრთხო გასაღებების საცავები.
ILSpy-ისა და Dotnet-ის სხვა დეკომპილატორის ინსტრუმენტების მეშვეობით გამოვლენილი დამალული ინფორმაცია
ilspy-ის სიმძლავრე ასამბლერის დროს დეკომპილირების პროცესს ნამდვილ უსაფრთხოების პრობლემად აქცევს. „პირადი“ მონაცემებიც კი იკითხება, რადგან dotnet-ის დეკომპილატორის ინსტრუმენტები ახდენენ მეთოდების სახელების, მუდმივების და კომენტარების რეკონსტრუქციას.
⚠️არასაიმედო მაგალითი, მხოლოდ საგანმანათლებლო მიზნებისთვის. არ გამოიყენოთ წარმოებაში.
ilspy-ის გამოყენება მყისიერად ავლენს ამ კავშირის სტრიქონს და ლიცენზიას.
უსაფრთხო ვერსია:
საგანმანათლებლო შენიშვნა: სტატიკური ველები შეცვალეთ გაშვების დროს ინექტირებული კონფიგურაციით. მოერიდეთ მყარი კოდირებული მონაცემების დატოვებას dotnet დეკომპილატორის ხელსაწყოებისთვის გამოსავლენად.
რატომ არ აფასებენ დეველოპერები დეკომპილირების რისკებს ასამბლეაში
ბევრი დეველოპერი ჯერ კიდევ არასაკმარისად აფასებს ILSpy-სა და dotnet დეკომპილატორის რისკებს, რადგან .NET „კომპილირებულად“ აღიქმება.
მაგრამ DevSecOps pipelines, გამართვის სიმბოლოები და ნარჩენი მეტამონაცემები აუარესებს ექსპოზიციას. გავრცელებული შეცდომები მოიცავს:
- გამოცემა იქმნება .pdb გამართვის სიმბოლოები.
- „გამოშვების“ რეჟიმში დაწვრილებითი დასტის ტრასების დატოვება.
- შიდა კოდის შემცველი მესამე მხარის პაკეტების გაგზავნა.
- დაჭერამდე შეკრებების დაბნელების დავიწყება NuGet.
⚠️არასაიმედო მაგალითი, მხოლოდ საგანმანათლებლო მიზნებისთვის. არ გამოიყენოთ წარმოებაში.
ეს ქმნის ასამბლეებს, რომლებიც სავსეა გამართვის მეტამონაცემებით, რომლებიც ხილულია ILSpy-ში ან ნებისმიერ dotnet დეკომპილატორში.
უსაფრთხო ვერსია:
საგანმანათლებლო შენიშვნა: ბინარული ფაილების გავრცელებამდე ყოველთვის გამორთეთ გამართვის ინფორმაცია. ფუნქციური ფრაგმენტი, უზრუნველყავით თქვენი აშენება pipeline ავტომატურად ააქტიურებს ამ დროშებს.
ასამბლეების დაცვა ILSpy-ისა და Dotnet Decompiler-ის ზემოქმედებისგან
როდესაც დეველოპერები ასამბლეაში იგებენ, თუ რა არის დეკომპილი, შემდეგი ნაბიჯი დაცვაა. ყველა გამოშვება pipeline უნდა დადასტურდეს, რომ კომპილირებულ ასამბლეებს არ შეუძლიათ შიდა მონაცემების გამოვლენა ILSpy-ის ან dotnet დეკომპილატორის მეშვეობით.
საუკეთესო პრაქტიკა
- კოდის დაბნევა: გამოიყენეთ ისეთი ინსტრუმენტები, როგორიცაა Dotfuscator ან ConfuserEx.
- საიდუმლოებების ექსტერნალიზაცია: გადაიტანეთ ავტორიზაციის მონაცემები გარემოს ცვლადებში ან საცავებში.
- გამართვის მეტამონაცემების წაშლა: ყოველთვის გამოაქვეყნეთ გაშიშვლებული, გამოშვების რეჟიმის ვერსიები.
- ორობითი სკანირების ავტომატიზაცია: გამოვლენილი სტრიქონები და დაუცველი კონფიგურაციები.
- დადასტურება CI/CD: დაამატეთ განლაგებამდელი ავტომატური აღსრულება.
მაგალითი CI/CD ნაბიჯი
საგანმანათლებლო შენიშვნა: ორობითი ვალიდაციის ავტომატიზაცია უზრუნველყოფს, რომ ასამბლეები უსაფრთხოა გამოშვებამდე. დამატება pre-commit DevSecOps-ის სრული დაფარვის აღსრულება.
მინი პრევენციული საკონტროლო სია
- Strip debug და PDB სიმბოლოები.
- დაბნელების დასადასტურებლად, შეამოწმეთ თითოეული ბილდი ILSpy-ში.
- მგრძნობიარე მნიშვნელობების გარემოს კონფიგურაციებში გადატანა.
- კოდის დაბნევის ჩართვა გავრცელებამდე.
- ავტომატიზირება გაუკეთეთ სტრიქონების სკანირებას pipelines.
საგანმანათლებლო შენიშვნა: თუ ILSpy-ს შეუძლია მისი დანახვა, თავდამსხმელებსაც შეუძლიათ. ხილვადობა სატესტო ეტაპად აქციეთ და არა სიურპრიზად.
როგორ Xygeni Code Security ხელს უშლის ILSpy-სა და Decompiler-ის გაჟონვას
ქსიგენი Code Security ავტომატურად აანალიზებს ასამბლეებს დეკომპილაციის ექსპოზიციისთვის. ის ამოიცნობს სახიფათო კონფიგურაციებს და აღნიშნავს ilspy-ის მიერ წასაკითხ საიდუმლოებებს, სანამ კოდი თქვენს კომპიუტერს დატოვებს. pipeline.
ასამბლეის დროს დეკომპილირების რისკებისგან დაცვის ძირითადი ზომები:
- აღმოაჩენს დაკარგულ დაბნელებას.
- სკანირებას უკეთებს ჩაშენებულ ავტორიზაციის მონაცემებს.
- დროშების გამართვის აწყობა სრული მეტამონაცემებით.
- ბინარული გამკაცრების პოლიტიკის აღსრულება CI/CD.
უსაფრთხო აღსრულების მაგალითი
საგანმანათლებლო შენიშვნა: ადრეულ ეტაპზევე ინტეგრირეთ აღსრულება. ავტომატური კარიბჭეები აჩერებს დაუცველ ასამბლეებს შერწყმამდე ან განლაგებამდე.
დეკომპილაცია გარდაუვალია, ექსპოზიცია აუცილებელი არ არის
დეკომპილაცია ჰიპოთეტური არ არის; ILSpy და ყველა dotnet დეკომპილატორი თქვენს კომპილირებულ .NET კოდს გამჭვირვალეს ხდის.
თუ გაინტერესებთ, რა არის დეკომპილი ასამბლეაში, პასუხი ასეთია: „ყველაფერი, რისი გაზიარებაც არ გინდოდათ“.
თქვენი IP მისამართისა და მონაცემების დასაცავად:
- არასდროს გამოიყენოთ მყარი კოდით ავტორიზაციის მონაცემები ან შიდა URL-ები.
- გამოშვების აწყობების დაბინდვა.
- მეტამონაცემების და გამართვის ინფორმაციის წაშლა.
- სკანირების ავტომატიზაცია ისეთი ინსტრუმენტებით, როგორიცაა ქსიგენი Code Security.
- საბოლოო ვალიდაციის ეტაპზე, ბინარული ფაილების ხელით გადახედვა ilspy-ის გამოყენებით შეგიძლიათ.
გაგზავნის შემდეგ, თქვენი ასამბლეები დეკომპილირებული იქნება, მაგრამ ის, თუ რას გამოავლენენ ისინი, მთლიანად დამოკიდებულია იმაზე, თუ რამდენად უსაფრთხოდ ააწყვეთ ისინი.
