pyhon防反编译之用pyinstaller加pyarmor实现双重安全
最近有个项目由于是做的桌面客户端需要分发，所有有了代码安全需求， 关于安全没有绝对的，只是提高下代码的安全，增加些反编译的难度
经过调研最终决定使用方案： pyinstaller打包+pyarmore代码加密方案
PyArmor
Pyarmor 是一个用于加密和保护 Python 脚本的工具。它能够在运行时刻保护 Python
脚本代码不被泄露，设置加密后脚本的使用期限，绑定加密脚本到硬盘、网卡等硬件设备。
以下是PyArmor的一些主要特点和功能：
- 无缝替换: 加密后的脚本依然是一个有效的 .py 文件，在大多数情况下可以直接替换原来的 .py 脚本，而不影响脚本的使用。
- 均衡加密: 提供了丰富的加密选项来平衡安全性和性能，能够满足大多数应用对安全性和性能的要求。
- 不可逆加密: 能够直接重命名源代码中的函数，类，方法，变量和参数。
- 转换成为 C 代码: 能够把模块中部分函数转换成为 C 代码，然后使用高优化选项直接编译 C 代码为机器指令来保护 Python 函数
- 限制加密脚本的使用范围: 可以绑定加密脚本到指定的设备或者设置加密脚本的有效期
- Themida 保护: 使用 Themida 保护加密脚本（仅 Windows 平台可用）
[PyArmor文档](https://pyarmor.readthedocs.io/zh/stable/tutorial/getting-
started.html)
PyInstaller
PyInstaller是一个用于将Python应用程序打包成可执行文件的工具。它可以将Python代码和其依赖项打包成一个独立的可执行文件，使得你可以在没有安装Python解释器的环境中运行你的应用程序
运行环境
- python3.12
- pyinstaller 6.2.0
- pyarmor 8.4.4
代码加密
因为项目是有很多文件与包组成的，当时我按教程中命令去加密文件
pyarmor gen -O build/srv -r 代码目录
加密后去运行一直报这个错误，
from .pyarmor_runtime_000000 import __pyarmor__
ImportError: attempted relative import with no known parent package
因为这个路径from .pyarmor_runtime_000000中的引用包问题，这个.去掉就好了，但我试了很多方式，命令都没有去掉这个.
当时总想用一条命令搞定，呵呵
我的解决方案是改成多条命令，最终加密脚本如下：
pyarmor gen -O build/srv -r ./srv/main.py
pyarmor gen -O build/srv -r ./srv/config.py
pyarmor gen -O build/srv -r ./srv/utils
pyarmor gen -O build/srv -r ./srv/模块1
pyarmor gen -O build/srv -r ./srv/模块2
...
执行完这个加密码脚本后，项目终于可以正常启动了
PyInstaller打包
这块PyArmor文档中有些教程，需要先看下
它介绍了两种方法
- pack方式
- 手动打包
pack方式流程略有复杂，还要做平台兼容性处理，果断放弃了，我选择了使用手动打包
若是看到下面的错误，恭喜你现在路都走对了
ModuleNotFoundError: No module named 'xxx'
只是手动打包加密后脚本有个坑，就是系统包和自己包都不能自动导入了， 需要通过pyinstaller --hidden-import,来手动填加隐藏导入
另外你是用pyinstall **.spec文件打包的话,直接更新这里
a = Analysis(
...
hiddenimports=['xxx'],
...
)
若是你引入的包较少， 可以手动写; 若是你引入包或模块较多，用下面的脚本可以生成要导入的包
import os
import re
def search_files(directory, pattern):
matched_files = []
for root, dirs, files in os.walk(directory):
for file in files:
if file.endswith(".py"):
file_path = os.path.join(root, file)
with open(file_path, "r") as f:
lines = f.readlines()
for line_num, line in enumerate(lines, start=1):
match = re.search(pattern, line)
if match:
matched_files.append((file_path, line_num, match.group(1)))
return matched_files
# 指定目录和正则表达式模式
directory = "."
pattern = r"from\s+([\w\.]+)\s+import"
# 调用函数搜索匹配的文件和行
matched_files = search_files(directory, pattern)
imports = []
# 打印匹配的文件路径、行号和匹配的数据
for file_path, line_num, data in matched_files:
print(f"File: {file_path}, Line: {line_num}")
print(data)
if data not in imports:
imports.append(data)
print("--hidden-import", " --hidden-import ".join(imports))
提示： 如果通过以上脚本获取导入包列表后，还有未导入的包，就手动加下就行了
我最终的打包命令如下：
pyinstaller --paths=./build/srv/ --hidden-import datetime --hidden-import wsgiref.simple_server --hidden-import loguru --hidden-import xxx --hidden-import xxx --hidden-import xxx --hidden-import xxx --hidden-import xxx --onefile ./build/srv/main.py --clean --name=app_srv --distpath ./resources
接下来我将给各位同学划分一张学习计划表！
学习计划
那么问题又来了，作为萌新小白，我应该先学什么，再学什么？
既然你都问的这么直白了，我就告诉你，零基础应该从什么开始学起：
阶段一：初级网络安全工程师
接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。
综合薪资区间6k~15k
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）
2、渗透测试基础（1周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等
3、操作系统基础（1周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）
4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现
5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固
6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）
那么，到此为止，已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗？
阶段二：中级or高级网络安全工程师（看自己能力）
综合薪资区间15k~30k
7、脚本编程学习（4周）
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力。
零基础入门的同学，我建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习
搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime；
Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，没必要看完
用Python编写漏洞的exp,然后写一个简单的网络爬虫
PHP基本语法学习并书写一个简单的博客系统
熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)
了解Bootstrap的布局或者CSS。
阶段三：顶级网络安全工程师
如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！
学习资料分享
当然，只给予计划不给予学习资料的行为无异于耍流氓，这里给大家整理了一份【282G】的网络安全工程师从入门到精通的学习资料包，可点击下方二维码链接领取哦。
扫一扫
1989
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
