如何阻止加密字符串的反转？

Question

我不知道这个问题是否适合 SO，但我还是发布了它，因为我很好奇是否有任何具体的解决方案。

我在我的游戏中使用 MySQL 连接器，以便提供可靠且持久的连接来存储和检索游戏中游戏服务器的服务器列表。 我必须使用 MySQL DLL，因此很明显我使用 MySQL 进行连接。

这样就好了，不过上周我的一个黑客朋友提出要测试我的加密（MySQL密码以加密形式存储，并在运行时解密），他成功获得了所有密码，只用了一个缺少一个字符。

他告诉我，他在其中一个 MySQL DLL 中搜索了 mysql_connect() 函数，并在运行时截获了代码。

我查看了this，但没有答案涵盖我的情况（正在提取密码字符串的位置），我开始担心在我的使用情况下使用 MySQL 是否是一个错误，但是我相信在任何程序中都可能发生同样的事情。

我可以防止这种类型的漏洞利用吗？ 我的decrypt 函数应该返回字符串以外的内容，还是可以截取函数中的任何内容？

链接问题的答案之一是这样说的：

最简单的方法是使用 xor 或 rot-13 等微不足道的方法对其进行加密，然后在使用时即时解密。这将消除对它们的随意观看，但不会阻止任何有丰富经验的人倒车。

我假设黑客设法反转加密，以泄露密码。

大概代码：

string server = "crysiswars2.communication.zyboxinternational.com";
mysql_connect(server, decrypt("randomuser1"), decrypt("randompassword2"), decrypt("myport"));`

Answer 1

加密可保护源与目的地之间传输中的数据。它不能防止端点受损。

您需要的是端点安全性。你的黑客朋友是如何获得运行代码的？那应该在服务器上。您不会不小心把 MySQL 代码放在本地执行的客户端代码中吧？

Answer 2

嗯，基本上，DLL 注入 + mysql_connect 钩子 = 这就是攻击者如何从你自己的函数中获取已经解密的密码。 检查 mysql_connect 函数的第一个字节，如果它被钩住或没有呢？ 如果第一个字节 == JMP 或其他任何不应该的字节，那么就不要调用该函数。