Protéger du code javascript via un script php

Marsh Posté le 04-09-2005 à 11:38:27

Voici le code de la page request :

Code :

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"
"http://www.w3.org/TR/html4/loose.dtd">
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1">
<title>Document sans nom</title>
<script>
/* Ne vous réjouissez pas trop vite, ceci 'nest pas la source javascript :) */
/* Ce code va juste la chercher */
function data()
{
var xhr_object = null;
if(window.XMLHttpRequest) // Firefox
xhr_object = new XMLHttpRequest();
else if(window.ActiveXObject) // Internet Explorer
xhr_object = new ActiveXObject("Microsoft.XMLHTTP" );
else { // XMLHttpRequest non supporté par le navigateur
alert("Votre navigateur ne supporte pas les objets XMLHTTPRequest..." );
return;
}
xhr_object.open("POST", "code_javascript.php", true);
xhr_object.onreadystatechange = function() {
if(xhr_object.readyState == 4)
eval(xhr_object.responseText);
}
xhr_object.setRequestHeader("Content-type", "application/x-www-form-urlencoded" );
var data = "test=1";
xhr_object.send(data);
}
data()
</script>
</head>
<body>
</body>
</html>

Et le code du script php :

Code :

<?
if($HTTP_REFERER=="http://www.realm-fantasy.net/request.html" )
{
echo "/* VOUS VOICI SUR LA SOURCE BRAVO !!!*/\n";
echo "/* Le nombre secret est 12 147 889*/\n";
echo "alert('Trouvez le nombre secret dans la source !');";
}
else
{
echo '<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<HTML><HEAD>
<TITLE>403 Forbidden</TITLE>
</HEAD><BODY>
<H1>Forbidden</H1>
You don\'t have permission to access code_javascript.php
on this server.<P>
<P>Additionally, a 500 Internal Server Error
error was encountered while trying to use an ErrorDocument to handle the request.
<HR>
<ADDRESS>Apache/1.3.33 Server at www.realm-fantasy.net Port 80</ADDRESS>
</BODY></HTML>';
}
?>

Message cité 1 fois
Message édité par zakinster le 19-01-2023 à 18:06:09

Reply

Marsh Posté le 04-09-2005 à 11:38:27

Reply

Marsh Posté le 04-09-2005 à 11:49:30

Inutile

---------------
http://www.alsacreations.com , http://www.openweb.eu.org. Mon CV : http://cv.roane-irkana.net/. Exemple à ne surtout pas suivre : www.worldinternet.be

Reply

Marsh Posté le 04-09-2005 à 11:53:14

Je ne dis pas que cela peut protéger protéger ta source ou pas, mais si le visiteur n'a pas de javascript, il ne peut pas consulter le site.

C'est stupide. En plus les "codes sensibles" ca se met dans le php, pas dans le javascript.

---------------
http://www.alsacreations.com , http://www.openweb.eu.org. Mon CV : http://cv.roane-irkana.net/. Exemple à ne surtout pas suivre : www.worldinternet.be

Reply

Marsh Posté le 04-09-2005 à 11:53:18

ca ne fonctionne que sous ie -> poubelle

vouloir caché quelque chose que l'on mets a la disposition de tous est stupide -> poubelle

---------------
Nos estans firs di nosse pitite patreye...

Reply

Marsh Posté le 04-09-2005 à 11:59:01

le javascript (et le web) n'est pas prévu pour faire des jeux...

---------------
Nos estans firs di nosse pitite patreye...

Reply

Marsh Posté le 04-09-2005 à 12:01:48

et puis ya mieux...
http://dean.edwards.name/packer/

---------------
Nos estans firs di nosse pitite patreye...

Reply

Marsh Posté le 04-09-2005 à 12:33:25

zakinster a écrit :

tu connait beaiucoup de navigateur qui n'interprete pas le javascript O_o
ET si el visiteur 'la désactivé 'est son problème, surtout que ce script n'est déstiné qu'a un contenu 100% javascript (jeu pour moi pare xemple)
Tu ne eput aps faire en php ceq ue tu fait en javascript, ce sont deux langage complémentaire...

Lynx, Firefox si tu le souhaites, et beaucoup d'autres. 11% des internautes n'ont pas javascript activé (totalement ou partiellement).

Alors faire des jeux 100% js ... Autant les faire en flash

---------------
http://www.alsacreations.com , http://www.openweb.eu.org. Mon CV : http://cv.roane-irkana.net/. Exemple à ne surtout pas suivre : www.worldinternet.be

Reply

Marsh Posté le 04-09-2005 à 12:42:30

http://evpc.biz/personal/soapbox/m [...] ing_source

mais c'est la meme chose pour le js...

---------------
Nos estans firs di nosse pitite patreye...

Reply

Marsh Posté le 04-09-2005 à 12:44:33

Firefox a javascript, mais tu sais certains utilisateurs le désactive pour par exemple ne pas avoir leurs onglets resizés à cause d'un script à la con.

D'autres, comme les navigateurs textes, n'ont pas tous js. Et certains vieux navigateurs auront une version différente de la tienne, ce qui causera de nombreux problèmes.

Bref un site doit être consultable sans javascript, sans en intranet ou la on connait les configurations qui vont venir voir le script.

Le flash c'est pire encore que le js. C't'un truc de graphiste [:jofusion]

---------------
http://www.alsacreations.com , http://www.openweb.eu.org. Mon CV : http://cv.roane-irkana.net/. Exemple à ne surtout pas suivre : www.worldinternet.be

Reply

Marsh Posté le 04-09-2005 à 12:48:17

De toute façon, dans ce cas précis, si l'utilisateur est suffisament avancé pour avoir une bonne connaissance du javascript il saura où trouver des outils de trace réseau et pourra donc sans problème récupérer le script envoyé à la vollée par xmlHttpRequest.

"Protection" totalement inutile donc, puisque tout ce qu'elle fait c'est augmenter le temps de chargement de la page.

---------------
Stick a parrot in a Call of Duty lobby, and you're gonna get a racist parrot. — Cody

Reply

Marsh Posté le 04-09-2005 à 12:48:17

Reply

Marsh Posté le 04-09-2005 à 13:09:16

Je suis sous linux, j'ai pas IE. Je fais comment ? Je paye je sais pas combien d'euros pour acheter un windows qui de toute facon me servira moins que le linux ?

---------------
http://www.alsacreations.com , http://www.openweb.eu.org. Mon CV : http://cv.roane-irkana.net/. Exemple à ne surtout pas suivre : www.worldinternet.be

Reply

Marsh Posté le 05-09-2005 à 10:14:24

zakinster : Il y a un probleme avec ton code.
Bien que XMLHttpRequest fonctionne sous Firefox, Firefox n'envoit pas de Referer lorsqu'il send quelque chose.
Donc ton code ne fonctionne pas sous Fx.

Ensuite voila ton code source :

Code :

/* VOUS VOICI SUR LA SOURCE BRAVO !!!*/
/* Le nombre secret est 0*/
alert('Trouvez le nombre secret dans la source !');

KangOl a écrit :

et puis ya mieux...
http://dean.edwards.name/packer/

Je doute serieusement de ce genre de mecanismes.
En effet pour que le script "fonctionne" il doit se decoder. Des le moment qu'il est decode, alors il peut etre recupere.
Plusieurs methodes : Fx : CTRL-A -> click droit -> view selection source. Cela affiche le code source "interne" a Fx, donc en theorie le scritp y apparaitera en clair.
Autre methode, utiliser le DOM-Inspector.
Bon j'ai pas teste ces methodes, mais elles devraient foncitonner.
Sous IE il existe un plugin qui permet egalemetn de voir la source interne.

Il existe encore une autre methode qui fonctionne si le script obfusque est "externe" (comme dans la page).
Il suffit d'utiliser Fx, un "shell js" et de copier le code obfusque.
Le shell va "executer" le code d'obfuscation qui doit metre le code en clair, puis l'afficher en clair. Apres cette etape voila le code du "Javascript Obfuscator" ):

Code :

function () {
if (!document.getElementById || "".replace(/^/, String)) {
return;
}
input = document.getElementById("input" );
output = document.getElementById("output" );
var message = document.getElementById("message" );
var encoding = document.getElementById("ascii-encoding" );
var fastDecode = document.getElementById("fast-decode" );
var specialChars = document.getElementById("special-chars" );
function packScript() {
try {
if (input.value) {
output.value = pack(input.value, encoding.value, fastDecode.checked, specialChars.checked);
calculateRatio();
disableDecode(!output.value || encoding.value == 0);
}
} catch (e) {
reportError("error packing script", e.message);
}
}
function decodeScript() {
try {
if (output.value) {
eval("output.value=String" + output.value.slice(4));
calculateRatio();
}
} catch (e) {
reportError("error decoding script", e.message);
} finally {
decodeScript.button.blur();
disableDecode(true);
}
}
function loadScript() {
var uploadScript = document.getElementById("uploadScript" );
uploadScript.style.display = "inline";
uploadScript.disabled = false;
this.style.display = "none";
}
function uploadScript() {
packer.encoding = "multipart/form-data";
packer.command.value = "load";
packer.submit();
}
function saveScript() {
packer.command.value = "save";
}
function clearAll(loading) {
if (loading != true) {
packer.filetype.value = "";
packer.filename.value = "";
input.value = "";
} output.value = "";
message.firstChild.nodeValue = "ready";
message.className = "";
input.focus();
disableDecode(true);
enableFastDecode();
}
function disableDecode(disabled) {
decodeScript.button.disabled = disabled;
saveScript.button.disabled = !output.value;
}
function enableFastDecode() {
fastDecode.disabled = Boolean(encoding.value == 0);
fastDecode.parentNode.className = (encoding.value == 0) ? "disabled" : "";
}
function calculateRatio() {
var calc = output.value.length + "/" + input.value.length;
var result = Number(eval(calc));
var ratio = result.toFixed ? result.toFixed(3) : result;
message.firstChild.nodeValue = "compression ratio: " + calc + "=" + ratio;
message.className = "";
}
function reportError(m, e) {
message.innerHTML = m + (e ? ": " + e : "" );
message.className = "error"; } encoding.onclick = enableFastDecode;
var buttons = document.getElementsByTagName("button" );
var button, i;
for (i = 0; (button = buttons[i]); i++) {
var handler = eval(button.id); button.onclick = handler;
handler.button = button;
}
document.getElementById("uploadScript" ).onchange = uploadScript;
fastDecode.checked = true;
var packer = document.forms[0]; packer.className = "";
clearAll(true);
}

Je l'ai deja dit a plusieurs reprises, si le navigateur peut l'utiliser/l'afficher, alors l'utilisateur pourra le recuperer.

Message édité par cerel le 05-09-2005 à 10:31:57

Reply

Marsh Posté le 05-09-2005 à 10:53:48

cerel a écrit :

Je doute serieusement de ce genre de mecanismes.
En effet pour que le script "fonctionne" il doit se decoder. Des le moment qu'il est decode, alors il peut etre recupere.

Ouais enfin là le principe n'est pas tant(contrairement à ce que certain semblent penser) de crypter le fichier que de le compresser afin de diminuer la taille du fichier .js (de 40 à 60% habituellement) [:spamafote]

Google utilise le même type de techniques, cf le code source de Google Suggest, complètement incompréhensible de base (enfin il sont moins violents, il font simplement du ws-removal et du renommage de variables, je ne crois pas qu'ils passent par un name-mapping des fonctions native + un eval [:ciler] )

Message édité par masklinn le 05-09-2005 à 10:54:40

---------------
Stick a parrot in a Call of Duty lobby, and you're gonna get a racist parrot. — Cody

Reply

Marsh Posté le 28-04-2010 à 12:01:30

zakinster a écrit :

Bonjour,

Voila j'ai trouvé un moyen de protéger du code javascript via une page en php, je poste ici car je pense que ça intéresserais surtout des programmeurs javascript...

bon ce truc marche sous ie, ok! mais de nos jours firefox & co. commencent à remplacer ie.
et ton script ne cache rien si on utilise firefox px. :non:

mais il existent des moyens 'd'obscurcir' des js.

-il y a px. le fameux YUI Compressor : http://yuilibrary.com/downloads/#yuicompressor
ça enlève tous les espaces et tabulations d'un js et en plus ça renome toutes les variables (noms de variables, les plus courts possible)
my_nice_variable se transforme en quelquechose comme a1 px.
...du coup personne ne comprend plus le fonctionnement d'un code js banale :??:
(bon, il existent des moyens de décomprsser....mais le temps que ça prends....)
pour le navigateur, l'effet est contraire : code plus léger et plus rapide.

-un autre compresseur : http://javascript.crockford.com/jsmin.html