产品安全 - 小漏洞导致大问题

说明

• 近日，公司为了加强代码安全，引入了代码加解密工具，即：对程序员编写的代码进行加解密，只能使用被授权的编辑工具，在指定的地理范围（公司）内显示和编辑，对PC进行监控，不允许代码文件的拷贝和发送等操作，对PC上U盘等外置设备的插拔进行监控等。

工具说明

• 工具拥有window和linux版本
• window版本拥有主要的功能，包括：对个人pc的监控，代码编辑工具的授权等，未授权的工具打开代码会显示乱码，功能看起来比较完备。
• linux版本，好像实现不了授权工具对代码编辑时自动解密，使用授权工具对加密代码进行编辑时，需要手动加上一个authbash，如下：

* makefile中的编译命令
authbash "gcc xxx -o xxx" 

• 安装好监控程序后，会自动间隔的扫描pc上的代码文件。
• 未加密的文件可以使用未授权的工具发送或编辑。

工具破解

• 该监控产品看起来比较完备，要破解的难点比较大；但是却忽视了一些小细节 - 管道。
• 使用管道即可将代码进行解密，如下：

authbash "cat xxx.c" | cat > xxx.c
* 不确定是否有办法禁止类似管道的使用。

• 其它敏感操作

authbash "cat xxx.c" > xxx.c #重定向有做限制，无法实现