31

Eu tive uma aula na faculdade que me deixou "meio" intrigado, meu professor estava falando das diferenças das linguagens interpretadas e das linguagens compiladas e destacou que as linguagens interpretadas poderiam ter seu código roubado, quando nas compiladas isso não acontece. Aí abriu uma série de dúvidas, onde a principal é:

Se meu código é compilado e não dá pra saber como foi escrito, como os antivírus sabem que ele pode ser perigoso?

4
  • 10
    Essa explicação sobre o "roubo" dos compilados e interpretados, por mais que eu entenda a "motivação" pra ele falar isso, é bem tosca. Caberia bem numa conversa de bar, explicando pra avó (se é que ela vai ao bar), mas numa faculdade isso me preocupa um pouco. Sobre o antivirus, o código é irrelevante. A detecção usualmente é feita por outras caracteristicas, como fingerprinting, ou seja trechos conhecidos do executável em uma tabela de definições, e comportamentos durante execução.
    – Largato
    Commented 19/10/2017 às 18:41
  • Não tenho certeza, mas no meu palpite o anti-virus não olha o código do programa pra saber se é mal itencionado ou não, ele deve usar outro parâmetro, mas não sei dizer qual é esse parâmetro. Commented 19/10/2017 às 18:42
  • 5
    @LeandroLima veja o comentário do Bacco. Commented 19/10/2017 às 18:53
  • 5
    A sua pergunta já foi muito bem respondida pelo Renan, estou compartilhando um link sobre a diferença entre linguagens interpretadas e compiladas para complementar seu estudo: pt.stackoverflow.com/questions/77070/… Commented 19/10/2017 às 18:56

2 Respostas 2

34

(...)meu professor estava falando das diferenças das linguagens interpretadas e das linguagens compiladas e destacou que as linguagens interpretadas poderiam ter seu código roubado, quando nas compiladas isso não acontece(...)

Vou dar o benefício da dúvida ao seu professor, e supor que essa afirmação chegou aqui dessa forma devido a telefone-sem-fio.

Se você tem um programa em seu computador, você tem o código fonte. Sem exceções.

O processo de compilação gera executáveis ou bibliotecas (por exemplo, arquivos .dll no Windows), que são arquivos ditos "em linguagem de máquina" ao invés de texto legível por seres humanos. De fato, se você tentar abrir esses arquivos, você verá que são ilegíveis e não correspondem aos arquivos de código fonte. Porém, leve essa informação para a vida: não existe código fonte compilado que não possa ser descompilado.

Quer um exemplo? Utilize C# para gerar um executável ou arquivo .dll. Em seguida abra o arquivo com o ILSpy.

Existem algumas pessoas que acreditam que você pode tornar o código mais "protegido" se você utilizar uma técnica chamada ofuscação, que "embaralha" o código descompilado gerado por ferramentas como a que eu citei acima. Mas mesmo a ofuscação não protege ninguém contra "roubo", uma vez que um programador realmente motivado e dedicado pode remontar o código original mesmo assim.

A única forma de garantir que um código fonte jamais será lido é não entregá-lo a ninguém. Deixe o código em um servidor e garanta acesso ao seu sistema pela internet. Somente quem tiver acesso ao disco rígido do servidor terá acesso ao seu código fonte. Não é 100% seguro, mas é o mais próximo disso que é possível conseguir.

Edição relevante: alguém comentou isso nesta resposta:

Mas se qualquer programa pode ser "recompilado" porque não temos o código fonte do windows por exemplo?

Olha criança, nós temos sim. Inclusive é bastante hilário. O meu preferido é o do Windows 2000, que tem várias pérolas escritas nos comentários no código. Boa leitura :) (riscado porque esse código foi vazado, não obtido via engenharia reversa, e comentários não são inclusos em código compilado).

Por exemplo, e novamente falando do ILSpy: muitas coisas no Windows usam .NET, que atualmente é embarcado com o sistema. Você pode abrir o ILSpy e utilizar a opção File -> Open from Gac para ver o fonte das principais bibliotecas da plataforma.

Para outras bibliotecas do sistema, você pode tentar um descompilador de C/C++ como o Snowman. Mas tente abrir somente DLL's pequenas, senão o sistema trava (para abrir DLL's grandes, você precisa de um plugin). Sugestão: no Windows 8, você pode tentar descompilar esta:

c:\windows\system32\AltTab.dll


Sobre antivírus, eles não estão nem aí para o seu código fonte - eles vêem as ações que o seu programa executa, independente de como foi escrito. Todo programa interage com o sistema operacional através de solicitações, requisições... I.e.: Windows, me diz aí que horas são; Linux, manda aí o byte 00101000 para a porta serial 2; Solaris, escreve isso nesse endereço de memória etc.

Os antivírus procuram especificamente por programas que fazem maracutaias do tipo:

  • tentar ler estado de programa de navegador;
  • se passar por usuário para fazer operações que requerem ação de um ser humano (como apertar os botões de OK nos pedidos de permissão do Windows);
  • forçar ações para as quais não há permissão;
  • enviar dados para endereços da Web conhecidamente maliciosos;

Etc, etc...

Isso envolve identificação de padrões e atualmente envolve um tanto de inteligência artificial.


Uma constatação triste é que de vez em quando vejo alguém perguntar aqui no SOpt como se faz algo que claramente será encarado pelos antivírus como uma ação de um malware. Por exemplo: Simular um “ok” via linha de comando. Muitas vezes as pessoas não pensam nas consequências que certas ações trariam para a segurança e privacidade das pessoas caso fossem possíveis.

Veja também isso sobre como o Windows reconhece uma aplicação como segura: Instalador reconhecido como vírus.

32
  • 17
    Na próxima aula: "Hardware: aquilo que você chuta - Software: aquilo que você xinga". :P
    – Largato
    Commented 19/10/2017 às 18:48
  • 6
    Resposta sensacional. @Bacco Deve ser a mesma faculdade que passou este slide
    – Jéf Bueno
    Commented 19/10/2017 às 18:50
  • 8
    @WictorChaves simplesmente pelo fato de que não compensa o trabalho, e dependendo de onde você se encontra, a engenharia reversa é crime. Além disso, quase sempre compensa você refazer um código do que tentar entender o que se passou na cabeça dos programadores originais de qualquer coisa que seja. Isso me lembra de muitas perguntas do site do tipo "como protejo meu código", eu gostaria de dizer "Não precisa, ninguém vai querer seu código", mas soaria mal educado (isso vale pros meus também, claro).
    – Largato
    Commented 19/10/2017 às 19:00
  • 7
    É muito legal aprender com certos trechos, e tem umas coisas geniais pra se ver no código alheio, mas em geral, aproveitar algo inteiro pronto provavelmente não é o melhor caminho, a não ser pra roubo de propriedade intelectual. O código em si usualmente não é a "alma" do software. Essa "alma" está na cabeça dos programadores originais, que sabem o que motivou a escolha real da maneira de que solucionaram cada parte do problema/missão original.
    – Largato
    Commented 19/10/2017 às 19:03
  • 8
    @Raizant quando alguém fala bem ou mal de alguma coisa e não justifica e fundamenta, corre. As linguagens interpretadas tem suas desvantagens, mas não são de todo ruins.
    – Maniero
    Commented 19/10/2017 às 19:13
23
+50

Eu resolvi responder porque parece ainda ter ficado dúvidas em relação a resposta do Renan.

Que fique claro que os antivírus não precisam e não se preocupam com o código fonte da aplicação.

Existem principalmente duas estratégias para detectar um vírus.

  • uma delas é procurar por uma assinatura no código executável mesmo. Ele verifica se tem uma certa sequência de bytes que é sabido anteriormente que aquilo é um vírus.
  • outra é analisar se há chamadas à certas APIs ou padrões de código de uma certa forma que podem ser usadas para causar problemas. Por isto há falsos positivos em certas aplicações.

Certamente existem outras estratégias, é possível até mesmo verificar algo durante a execução ou pode interceptar certas chamadas de APIs.

O que o Renan falou é que tudo o que uma aplicação faz está disponível para consulta. Todas instruções que um processador executará e tudo o que a aplicação invocará na aplicação está codificado em um binário. Todos aqueles bytes tem um significado que pode ser entendido por quem sabe (o processador por exemplo), não é algo aleatório ou criptografado. Só é um pouco mais complicado de um humano entender.

Se meu código é compilado e não dá pra saber como foi escrito, como os antivírus sabem que ele pode ser perigoso?

Dá para saber como ele está escrito (em forma binária), não dá para saber o exato código fonte que originou este binário.

Descompilar

Se tem um programa no seu computador você não tem o código fonte, mas é possível obter algo próximo ao código fonte que gerou aquele binário. Não obterá algo igual, faltará comentários, nomes de símbolos locais, e talvez até símbolos públicos modificados, e o fluxo exato não será o mesmo, apenas criará o mesmo resultado.

Descompilar é especialmente possível em linguagens que usam bytecodes e metadados. Mas quando o código é ofuscado se torna bem mais difícil conseguir resultados usáveis.

Mas não é exatamente um processo fácil e está longe de gerar bons resultados na maioria dos casos.

O objetivo do antivírus não é obter o código fonte, é apenas entender o que o binário faz.

Proteção de fonte

Essa ideia de linguagem interpretada e compilada já é errada.

É possível roubar código de qualquer aplicação.

Essa ideia de roubar código fonte é dito por ingênuos e leigos. Código bom é complexo demais para ingênuos entender e para especialistas se interessarem em roubar aquilo. Códigos toscos só seriam de interesse de pessoas muito fracas. Dica, a imensa maioria dos códigos escritos são bem toscos e não servem como referência para ninguém. Em geral autores de códigos toscos é que querem se proteger.

Como curiosidade o código do Windows foi vazado e não obtido por engenharia reversa, por isto tem até os comentários.

Coloquei no GitHub para referência futura.

2
  • Realmente, essa parte do código do Windows ter os comentários ficou estranho, porque eu jurava que eles eram removidos depois que o programa era compilado (li isso em algum lugar).
    – Raizant
    Commented 24/10/2017 às 17:00
  • 1
    +1 :) Usei algumas informações aqui para melhorar a minha resposta também. Commented 26/10/2017 às 13:08

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .