SWC让AS3代码更不安全

2015-08-18 15:20:13来源:作者:人点击

第七城市

相信写AS3代码的同学都用过Action Script Viewer、SWF Decompiler这些工具吧?它们确实很强大,但普遍有一个缺点:对参数和局部变量反编译得不好,它们会用_arg1、_local1、param1和_loc_1来替换真正的参数和局部变量。虽然这不影响反编译,但对于只是借鉴部分代码的同学,相信很难理解这些无俚头的东东吧?

最近我用ASV浏览代码,幸运地发现它居然能准确地反编译参数和局部变量。当然这是有前提的,那就是必须是反编译调试版的SWF,对于发行版的SWF是没有办法的。大家知道,用Flash Builde等IDE默认就是生成调试版的SWF,添加SWC再生成就不是什么问题。另外,也可以解压SWC文件,直接反编译library.swf。所以说,SWC一不小心就让AS3代码暴露得一丝不挂。

下图是使用ASV浏览发行版的SWF看到的AS3代码片段:

代码如下:public function setAlpha(_arg1:Number,_arg2:String="Normal"):void{ var _local3:int=addExtGState({ ca:_arg1, SA:true, CA:_arg1, BM:("/"+_arg2) }); setExtGState(_local3); }
很无俚头吧,如果代码再复杂一些,就更难懂了。下图是使用ASV浏览调试版的SWF看到的AS3代码片段:
代码如下:public function setAlpha(alpha:Number,blendMode:String="Normal"):void{ var graphicState:int=addExtGState({ ca:alpha, SA:true, CA:alpha, BM:("/"+blendMode) }); setExtGState(graphicState); }

几乎和原代码一样,当然,这部分代码片段必须是在SWC就有的。

这样看来,发布调试版的SWF不仅浪费,也是不安全的。发布SWC特别要注意这一点,最好发布时加密。

 
第七城市

最新文章

123

最新摄影

微信扫一扫

第七城市微信公众平台