Como posso ofuscar (proteger) o JavaScript? [fechado]

A JQuery mudou recentemente da YUI compressor para o compilador de fecho e viu uma melhoria sólida"

Veja a minha resposta completa sobre ofuscadores aqui.

Você pode ofuscar a fonte de javascript o quanto quiser, mas será sempre reversível apenas em virtude de exigir todo o código fonte para realmente executar na máquina cliente... a melhor opção que eu posso pensar é ter todo o seu processamento feito com o código do lado do servidor, e todo o código cliente javascript faz é enviar pedidos de processamento para o próprio servidor. Caso contrário, qualquer um será sempre capaz de manter o controle de todas as operações que o código está fazendo.

Há uma série de ferramentas de ofuscação JavaScript que estão disponíveis livremente; no entanto, eu acho que é importante notar que é difícil ofuscar JavaScript ao ponto em que não pode ser de engenharia reversa.

• Compressor YUI. Yahoo!o compressor JavaScript faz um bom trabalho de condensação do código que irá melhorar o seu tempo de carga. Há um pequeno nível de ofuscação que funciona relativamente bem. Essencialmente, o Compressor irá mudar os nomes das funções, remover o espaço em branco e modificar as variáveis locais. Isto é o que uso mais vezes. Esta é uma ferramenta de código aberto baseada em Java.

• JSMin é uma ferramenta escrita por Douglas Crockford que procura minifificar a sua fonte JavaScript. Nas próprias palavras de Crockford, " JSMin não ofusca, mas faz uglify."O seu principal objectivo é minificar o tamanho da sua fonte para um carregamento mais rápido em navegador.

• Free JavaScript Obfuscator . Esta é uma ferramenta baseada na web que tenta ofuscar o seu código, codificando-o. Eu penso que os trade-offs de sua forma de codificação (ou ofuscação) poderiam vir ao custo de filesize; entretanto, essa é uma questão de preferência pessoal.

O que eu faria:

Troll, o hacker!

1. carrega o código real
2. define um cabeçalho personalizado
3. coloca uma variável personalizada

var ajax=function(a,b,d,c,e,f){
 e=new FormData();
 for(f in d){e.append(f,d[f]);};
 c=new XMLHttpRequest();
 c.open('POST',a);
 c.setRequestHeader("Troll1","lol");
 c.onload=b;
 c.send(e);
};
window.onload=function(){
 ajax('Troll.php',function(){
  (new Function(atob(this.response)))()
 },{'Troll2':'lol'});
}

B. ofusca o código um pouco

É o mesmo código. como em cima de base64
1. Este não é o código secreto de javascript

(new Function(atob('dmFyIGFqYXg9ZnVuY3Rpb24oYSxiLGQsYyxlLGYpe2U9bmV3IEZvcm1EYXRhKCk7Zm9yKGYgaW4gZCl7ZS5hcHBlbmQoZixkW2ZdKTt9O2M9bmV3IFhNTEh0dHBSZXF1ZXN0KCk7Yy5vcGVuKCdQT1NUJyxhKTtjLnNldFJlcXVlc3RIZWFkZXIoIlRyb2xsMSIsImxvbCIpO2Mub25sb2FkPWI7Yy5zZW5kKGUpO307d2luZG93Lm9ubG9hZD1mdW5jdGlvbigpe2FqYXgoJ1Ryb2xsLnBocCcsZnVuY3Rpb24oKXsgKG5ldyBGdW5jdGlvbihhdG9iKHRoaXMucmVzcG9uc2UpKSkoKX0seydUcm9sbDInOidsb2wnfSk7fQ==')))()

C crie um ficheiro de php difícil de mostrar com o código real dentro

1. verifica o referrer direito (domínio/pasta/código do seu lançador)
2. verificações do cabeçalho personalizado
3. controlos da variável post personalizada

Se tudo estiver bem, irá mostrar-lhe o código certo. caso contrário, um código falso ou ban ip, feche. pagina.. como queiras.

<?php
$t1=apache_request_headers();
if(base64_encode($_SERVER['HTTP_REFERER'])=='aHR0cDovL2hlcmUuaXMvbXkvbGF1bmNoZXIuaHRtbA=='&&$_POST['Troll2']=='lol'&&$t1['Troll1']='lol'){
 echo 'ZG9jdW1lbnQuYm9keS5hcHBlbmRDaGlsZChkb2N1bWVudC5jcmVhdGVFbGVtZW50KCdkaXYnKSkuaW5uZXJUZXh0PSdBd2Vzb21lJzsNCg==';//here is the SECRET javascript code
}else{
 echo 'd2luZG93Lm9wZW4oJycsICdfc2VsZicsICcnKTt3aW5kb3cuY2xvc2UoKTs=';
};
?>

Base64 referrer = http://here.is/my/launcher.html

Javascript secreto = document.body.appendChild(document.createElement('div')).innerText='Awesome';

Falso = window.open('', '_self', '');window.close();

Não sei se isto funciona, mas estou a usar o cromo e verifiquei. Elementos, recursos, rede, fontes, linha do tempo, perfis, auditorias, mas não encontrei a linha acima.

Nota1: se abrires o Troll.url do php de inspeccionar o elemento - >rede no chrome, obtém o código falso.

Note2: todo o código é escrito para navegadores modernos. o polifill precisa de muito mais código.

Editar

<!doctype html><html><head><meta charset="utf-8"><title></title><script src="data:application/javascript;base64,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"></script></head><body></body></html>

<?php $t1=apache_request_headers();if(/*base64_encode($_SERVER['HTTP_REFERER'])=='PUT THE LAUNCHER REFERER HERE'&&*/$_POST['Troll2']=='lol'&&$t1['Troll1']='lol'){echo 'ZG9jdW1lbnQuYm9keS5hcHBlbmRDaGlsZChkb2N1bWVudC5jcmVhdGVFbGVtZW50KCdkaXYnKSkuaW5uZXJUZXh0PSdBd2Vzb21lJzsNCg==';}else{echo 'd2luZG93Lm9wZW4oJycsICdfc2VsZicsICcnKTt3aW5kb3cuY2xvc2UoKTs=';}; ?>

Tenta JScrambler . Dei-lhe uma volta recentemente e fiquei impressionado. Ele fornece um conjunto de modelos para ofuscação com configurações predefinidas para aqueles que não se importam muito com os detalhes e só querem fazê-lo rapidamente. Você também pode criar ofuscação personalizada, escolhendo quaisquer transformações / técnicas que você deseja.

O problema com linguagens interpretadas, é que você envia a fonte para fazê-las funcionar (a menos que você tenha um compilador para bytecode, mas então novamente, é bastante trivial descompilar).

Então, se você não quer sacrificar o desempenho, você só pode agir em nomes de variáveis e funções, por exemplo. substituindo-os por a, B... aa, ab... ou A101, a102, etc. E, claro, remova o máximo de espaço / linhas novas que puder (isso é o que os chamados compressores JS fazem).
Cordas ofuscantes terão um desempenho atingido, se você tiver que encriptar e descriptografá-los em tempo real. Além disso, um depurador JS pode mostrar os valores finais...

Ao contrário da maioria das outras respostas que sugiro contra o Compressor YUI; você deve usar o encerramento do Google.

Não muito porque comprime mais, mas principalmente porque vai apanhar erros de javascript como {[[0]} que fazem IE ir à loucura.

Uma aplicação sem código aberto baseada em Javascript é bastante tola. Javascript é uma linguagem interpretada do lado do cliente.. Ofuscação não é muita protecção..

Ofuscação JS é geralmente feito para reduzir o tamanho do script, em vez de" protegê-lo". Se você está em uma situação em que você não quer que seu código seja público, Javascript não é a linguagem certa..

Há muitas ferramentas ao redor, mas a maioria tem a palavra "compressor" (ou "minifier") em seu nome para um razao..

Você não pode proteger o código do lado do cliente: basta carregar em F12 no Google Chrome, colocar em pausa a execução do javascript {[[3]} e obterá todos os textos, mesmo aqueles encriptados. embelezar aquilo e mudar o nome das variáveis e obterá quase o código original.

Se está a escrever o javascript do lado do servidor (isto é, NodeJS) tem medo de alguém a invadir o seu servidor e quer tornar o hacker mais difícil, dando-lhe mais tempo para obter o seu acesso de volta, então use javacript Compiladores:

Você precisa usar o compilador de fechamento na compilação avançada, pois é a única ferramenta que muda o nome de todas as suas variáveis, mesmo que essas sejam usadas em vários arquivos/módulos. Mas ele só tem um problema: ele só funciona se você escrever nele é estilo de codificação.

Posso recomendar utilitário JavaScript por Patrick J. O'Neil. Pode ofuscar / compactar e comprimir e parece ser muito bom nisso. Dito isto, nunca tentei integrá-lo num guião de construção.

Ver: Ferramenta De Compressão de Javascript 'Online' e seleccionar o Packer (Dean Edwards) da lista

Há anos que uso Jasob e é o melhor ofuscador lá fora.
Tem uma IU avançada, mas ainda é intuitiva e fácil de usar.
Ele também irá lidar com arquivos HTML e CSS.

A melhor maneira de O usar é prefixar todas as suas variáveis privadas com algo como um sublinhado, então use a funcionalidade sort para agrupá-las todas e verifique como alvos para ofuscação.

Os utilizadores ainda podem ver o seu fonte, mas é muito mais difícil de decifrar quando suas variáveis privadas são convertidas de algo como _sUserPreferredNickName Para a.

O motor irá automaticamente somar o número de variáveis-alvo e priorizá-las para obter a compressão máxima.

Estou a usar o Utilitário Closure-Compiler para a ofuscação de java-script. Ele minifica o código e tem mais opções para ofuscar. Este utilitário está disponível no código Google abaixo do URL:
Ferramentas de Fecho

Tenho a impressão de que algumas empresas (por exemplo, JackBe) colocaram o código JavaScript encriptado no interior *.arquivos gif, ao invés de arquivos JS, como uma medida adicional de ofuscação.

Como um obfuscator/compressor JavaScript/HTML/CSS Você também pode tentar Patu Digua .

Tente esta ferramenta Javascript Ofuscator

Usei - o no meu jogo HTML5, não só reduziu o seu tamanho de 950KB para 150, como também fez com que os compiladores de fechamento ilegíveis do código fonte e os minificadores fossem reversíveis, pessoalmente não sei como reverter esta ofuscação.

Você definitivamente deve considerar dar uma olhada em Ofuscriptor.

Eu vai além dos truques típicos de minifying Javascript que vimos de outras ferramentas como Yui Compressor ou Google Closure.

Este minifica mas não ofusca. Se você não quiser usar a linha de comandos Java, você pode colar seu javascript em um webform.

Se você usar uma biblioteca de JavaScript, considere o Toolkit Dojo que é compatível (após pequenas modificações) com a compilação de modo avançado do compilador de fechamento.

Dojo - A Única Biblioteca De JavaScript Compatível com o compilador de encerramento

O código compilado com o modo avançado de encerramento é quase impossível de ser revertido, mesmo passando por um lindo, já que a base de códigosinteira (incluindo a Biblioteca) é ofuscada. É também 25% pequeno em Media.

Código JavaScript que é meramente minificado (Compressor YUI, Uglify etc.) é fácil fazer engenharia reversa depois de passar por uma linda.