使用Pyarmor保護(hù)Python腳本不被反向工程

作者：布加迪 2023-08-31 09:00:00

您可能不希望關(guān)鍵的Python腳本被惡意攻擊者進(jìn)行反向工程。本文介紹了如何保護(hù)它的方法。

譯者 | 布加迪

審校 | 重樓

Python可讀性強(qiáng)，使用廣泛。雖然這種可讀性有利于協(xié)作，但也增加了未授權(quán)訪問和濫用的風(fēng)險(xiǎn)。如果未采取適當(dāng)?shù)谋Ｗo(hù)，競(jìng)爭(zhēng)對(duì)手或惡意攻擊者可以復(fù)制您的算法和專有邏輯，這將對(duì)您軟件的完整性和用戶的信任產(chǎn)生負(fù)面影響。

實(shí)施可靠的安全措施（比如混淆和許可證驗(yàn)證）可以增強(qiáng)軟件防范潛在威脅的能力。保護(hù)Python腳本不僅僅是一種實(shí)踐，還是確保創(chuàng)新的保密性和在數(shù)字環(huán)境中保持用戶信任的關(guān)鍵策略。

了解Pyarmor

Pyarmor是一個(gè)命令行庫(kù)。它有助于保護(hù)和混淆Python腳本和軟件包。它將原始Python代碼轉(zhuǎn)換成一種更難以理解的形式，同時(shí)保持其功能。混淆過(guò)程將變量、函數(shù)和類重命名為非描述性名稱，還刪除注釋并重構(gòu)代碼。這使得代碼難以被反向工程、篡改或復(fù)制。

Pyarmor可以保護(hù)單個(gè)的Python腳本和整個(gè)軟件包，甚至可以為代碼添加許可證驗(yàn)證。

安裝Pyarmor庫(kù)

Pyarmor在Python軟件包索引（PyPI）中可用。使用pip安裝它，只需運(yùn)行以下命令：

pip install pyarmor

不必非得將Pyarmor安裝在托管項(xiàng)目的同一個(gè)目錄中。您可以將其安裝在計(jì)算機(jī)上的任何位置，能夠保護(hù)來(lái)自任何目錄的任何Python腳本。

然而，如果您希望運(yùn)行受保護(hù)的腳本，不必在目標(biāo)機(jī)器上安裝Pyarmor，則需要將其安裝在托管項(xiàng)目的同一個(gè)目錄中。這是由于受保護(hù)的腳本將包含對(duì)Pyarmor運(yùn)行時(shí)環(huán)境的引用，為了運(yùn)行腳本，需要有Pyarmor運(yùn)行時(shí)環(huán)境。

保護(hù)單個(gè)Python腳本

使用Pyarmor保護(hù)單個(gè)腳本很簡(jiǎn)單。添加兩個(gè)數(shù)字的下列腳本將充當(dāng)示例。

def add_numbers(num1, num2):
    result = num1 + num2
 print("The sum of {} and {} is: {}".format(num1, num2, result))


# Example usage
num1 = float(input("Enter the first number: "))
num2 = float(input("Enter the second number: "))
add_numbers(num1, num2)

使用命令行導(dǎo)航到已安裝Pyarmor的目錄。然后運(yùn)行以下命令，對(duì)腳本進(jìn)行加密和模糊處理。將main.py換成腳本的名稱。

pyarmor gen --output dist main.py

運(yùn)行該命令后，Pyarmor將創(chuàng)建一個(gè)名為dist的新文件夾，其中含有您的受保護(hù)腳本。

打開受保護(hù)的腳本以查看其內(nèi)容。

上面的屏幕截圖顯示了Pyarmor對(duì)簡(jiǎn)單的加法腳本進(jìn)行模糊和加密處理后的輸出。現(xiàn)在，您無(wú)法僅通過(guò)查看腳本來(lái)判斷其功能。

要運(yùn)行受保護(hù)的腳本，打開終端或命令提示，并導(dǎo)航到含有dist目錄的位置。然后使用以下命令運(yùn)行腳本：

python dist/main.py

將main.py換成您腳本的名稱。不用混淆處理，腳本應(yīng)該可以按原狀運(yùn)行。全面測(cè)試它，以確保所有函數(shù)都按預(yù)期工作。

保護(hù)整個(gè)Python軟件包

軟件包可能含有幾個(gè)模塊或數(shù)百個(gè)模塊，這取決于其用途。單獨(dú)維護(hù)每個(gè)模塊可能會(huì)很煩人。幸好，Pyarmor能夠保護(hù)整個(gè)軟件包，而不必單獨(dú)指定每個(gè)模塊。

假設(shè)您有一個(gè)名為sample_package的簡(jiǎn)單Python軟件包，其結(jié)構(gòu)如下：

sample_package/
|-- __init__.py
|-- module1.py
|-- module2.py

您可以創(chuàng)建任意數(shù)量的模塊。

要加密和混淆軟件包，打開終端或命令提示，并導(dǎo)航到軟件包所在的目錄。然后執(zhí)行以下命令：

pyarmor gen -O dist -r -i sample_package

將sample_package換成您軟件包的名稱。該命令將加密和模糊軟件包目錄，并將受保護(hù)的輸出保存到dist目錄。像使用其他任何Python軟件包一樣使用受保護(hù)的軟件包。

比如說(shuō)，要使用上面的示例軟件包，在dist目錄下創(chuàng)建一個(gè)新腳本：

from my_package import module1, module2

module1.say_hello()
module2.do_something()

您運(yùn)行代碼時(shí)，軟件包應(yīng)該像保護(hù)它之前一樣運(yùn)行。

控制對(duì)腳本的訪問

您可能希望限制用戶運(yùn)行腳本的時(shí)間，比如在試用期間。

要限制腳本運(yùn)行的時(shí)間，請(qǐng)?jiān)趯?duì)腳本進(jìn)行混淆處理時(shí)使用以下命令。

pyarmor gen -O dist -e 30 main.py

將30換成您希望腳本處于活動(dòng)狀態(tài)的天數(shù)。您也可以用一個(gè)確切的日期來(lái)代替。幾天過(guò)后，腳本將過(guò)期。

您可以通過(guò)設(shè)置過(guò)去的日期來(lái)測(cè)試此功能。這將使運(yùn)行腳本拋出一個(gè)錯(cuò)誤。使用以下命令用過(guò)期日期對(duì)腳本進(jìn)行混淆處理：

pyarmor gen -O dist -e 2022-01-01 main.py

然后運(yùn)行受保護(hù)的腳本。

錯(cuò)誤顯示許可證密鑰已過(guò)期，因此腳本無(wú)法運(yùn)行。

兼顧安全與效率

雖然Pyarmor提供了強(qiáng)大的混淆機(jī)制來(lái)增強(qiáng)代碼的安全性，但兼顧安全措施與維護(hù)軟件的效率和性能非常重要。您可以這么做：

評(píng)估是否需要混淆：如果您的軟件涉及專有算法、敏感數(shù)據(jù)或獨(dú)特的業(yè)務(wù)邏輯，混淆處理大有益處。然而，針對(duì)基本上沒有知識(shí)產(chǎn)權(quán)問題的開源腳本，安全與性能之間的權(quán)衡更傾向于效率。
評(píng)估性能影響：由于針對(duì)代碼采取的額外操作和轉(zhuǎn)換，混淆帶來(lái)了額外的運(yùn)行開銷。這種影響對(duì)于小腳本來(lái)說(shuō)可以忽略不計(jì)，但是對(duì)于大型項(xiàng)目來(lái)說(shuō)比較明顯。您應(yīng)該仔細(xì)評(píng)估混淆對(duì)性能的影響，并進(jìn)行測(cè)試，以確保軟件保持響應(yīng)能力和效率。
進(jìn)行定期更新和維護(hù)：定期更新混淆的代碼、許可證和安全機(jī)制，以防止?jié)撛诘穆┒础?/span>還要考慮盡量減少對(duì)用戶造成的干擾。