C#, C♯, C＃相談室 Part97

2022/12/21(水) 10:18:38.02

!extend:checked:vvvvv:1000:512
!extend:checked:vvvvv:1000:512

■Visual Studio 2017 Community(無償の統合開発環境)等はこちら
http://www.visualstudio.com/downloads/

■コードを貼る場合はこちら
http://ideone.com/

■前スレ
C#, C♯, C＃相談室 Part94
https://mevius.5ch.net/test/read.cgi/tech/1553075856/

■次スレは>>970が建てる事。
建てられない場合は他を指定する事。

C#, C♯, C＃相談室 Part96
https://mevius.5ch.net/test/read.cgi/tech/1639965805/

VIPQ2_EXTDAT: checked:vvvvv:1000:512:: EXT was configured

2022/12/22(木) 09:26:53.83

この時代になっても相変わらず機械語は逆コンパイルできないと思いこんでるやついるのな

2022/12/22(木) 09:27:54.54

こういう機械語にすればセキュリティ上がると思ってるやつが平気でパスワード埋め込むんだよなあ

2022/12/22(木) 10:33:57.58

>>2
C#やJavaといった中間言語に比べたら、圧倒的に可読性が低いでしょ？
できる、できないの、ゼロか100かの議論ではないんだよ
可読性が低いほど、解析されにくくなる。

2022/12/22(木) 10:38:00.37

中途半端な知識を持つものがC#を避ける原因の一つだからな
C++と同レベルの難読性を持つのはC#が生き残るには大事な話だ

2022/12/22(木) 11:35:07.63

解析されて困るのはパスワード埋め込んでる時だけだろ
機械語にしてもセキュリティ上がらないからそういうことするのやめとけ

2022/12/22(木) 11:40:40.23

わざわざ逆アセンブルしなくてもexeから文字列抽出すれば平文パスワードを探せるしねぇ

2022/12/22(木) 12:30:52.54

難読化した処理追えるならマシン語の逆アセ読むくらいは出来るだろ
余分な処理入ってない分、後者のが楽まである

◆xETmWn3d3U (ﾜｯﾁｮｲ f3b1-N2O4) · 2022/12/22(木) 12:59:42.23

昔、機械語で書かれたとあるアプリをHEXエディタで開いたら、ASCIIコードで平文のままパスワードが埋め込まれてた事が有ったな

2022/12/22(木) 14:41:12.05

>>6-7
パスワードを暗号化とかして格納するとして、
その場合に暗号化のロジックコードをかんたんに読まれなければ
安全性はかなり高くなる。

2022/12/22(木) 14:45:55.03

パスワードの照合ってハッシュ値を比較するもんだと思ってた
なんかすごい実装してるやついそうだな

2022/12/22(木) 14:52:55.31

>>10
ならねーよ

2022/12/22(木) 15:06:15.12

逆コンパイルするじゃん？
コンパイルしてデバッガ使うじゃん？
パスワード送信するところで止めるじゃん？
復号したパスワードを表示するかファイルに書き込むじゃん？
生パスワード手に入るじゃん？

2022/12/22(木) 15:27:07.06

>>13
その手順の詳細はやったことないのでデタラメかわからんが、
そもそもパスワード保存したストレージに他人がアクセスできないという
前提があるんだから問題はないだろう。共用するデバイスであれば、
パスワードを保存しない運用をすればいいだけだから。

あと証券とかセキュリティが重要なアプリはログインパスワードとは別に
取引パスワードとかもあるのが普通。
あとは出金とかのときはSMS認証とかもある会社が増えている。
要するにパスワードなどの認証はひとつである必要もないし、セキュリティ要件などに
あわせて併用すればいいだけ。

2022/12/22(木) 15:30:16.26

>>11
それそれ、たぶんいいたいかったのはそれ。
暗号化したら膨大な時間かけないと複合化できない。
だからハッシュ。
DBの中にもパスワードのハッシュ値を格納するのがふつうなんでしょ、たしか。

>>13
暗号化したものは容易に複合化できないわけだが？
量子コンピューターとかないと無理でしょ
思いつきでいいかげんなこと書いてるでしょ？

2022/12/22(木) 15:49:37.33

>>15
>>10を読んでやれよw
そもそも実行ファイルにパスワード埋め込むなって話をしてるんだぞw

2022/12/22(木) 16:02:26.76

>native codeじゃないとかんたんに
>サーバーの認証のコードが漏れちゃうでしょ
>セキュリティ大事

発端はコレでしょ？
ハッシュでも暗号化文字列でもクライアントに共有シークレット埋め込んでる限り脆弱
少しスキルのある人間に悪用されるのは致し方ないと諦められるものじゃなければ仕組みを変える必要がある

2022/12/22(木) 16:03:27.41

ありゃ
全部同じ人だった

2022/12/22(木) 16:13:14.56

>>18
ああ認証コードがわからないのか
ログインパスワードのことだぞ

2022/12/22(木) 16:39:53.08

パスワードっぽいのを仕込んでおいて遊んでみたい

2022/12/22(木) 16:50:44.38

ログインパスワードをハードコードとか斬新だな
APIキーみたいな認証コードの話かと思った

2022/12/22(木) 16:58:48.83

そんな次元なの？

パスワードの判明ならそれこそパスワードが合ってたかどうか、のif文に相当する命令を反転させたりnopにするという古典的な方法で別にパスワードがどうでも良くなるでしょ。そんなネイティブコンパイルされるか否か程度が問題なら。

アタッチして、パスワードが違うぞってダイアログ出てる状態からジャンプを逆に辿るだけなのでテクニックも何も無い。

何の意味も無くない？

2022/12/22(木) 18:43:36.71

>>21
斬新でもなんでもなくて、今ほどセキュリティにうるさくなかった昔には結構あったぞ

結局は要求される強度とかける手間との兼ね合い

2022/12/22(木) 18:48:29.53

iniファイルにパスワードがそのまま記述もたまに

2022/12/22(木) 18:58:21.99

悪用って犯罪じゃないの？
警察どこいった？