写了个 Python 源码加密的工具，把源码混淆得它妈都不认识

[love]

Python目前没有一个好用的混淆工具，所以我写了一个。
另外要说的是编译成pyc是一点用处也没有的，用打包工具打成exe也是容易从exe里提取出来的。

http://pyob.oxyry.com/

新鲜出炉，欢迎提交BUG :)

原理就是重命名程序中的变量名，除了
模块公开名字 （__all__里面列出的名字，没有定义__all__的话就是所有下划线开头的名字）
类公开名字 （除双下划线之外的名字）
关键字参数
之外的所有变量都可以被重命名。

[jsq2627]

@geew 先把这堆0O0O0O0OO0O这样的东西用同样的原理替换成 a1, a2, a3 这样能分辨、不眼花的变量名。然后开始读代码，尝试还原。用 IDE 的 refactor，认出一个变量就还原一个变量名，改一轮下来就八九不离十了。
除非是复杂的算法模块，一般的变量都是很容易分辨功能的。

[josephok]

[DiffView]

替换所有变量名为肉眼容易分辨的，然后边猜边替换，读2轮下来也就八九不离十了=。=

[love]

@robinxiaobin @jsq2627 函数名和类名也被混淆了，在不知道函数是干什么的情况下很难知道变量是干什么的。

另外同一个变量名，在不同的作用域里是被转成不同的名字的，比如在这个函数里的相同名字在另一个函数里会被转成不同的名字，你在这个函数里猜中的话也不能来个全文替换的。

总之要还原比重写麻烦多了。

[zkd8907]

@geew 这个混淆只是把变量名称变成了会眼花的值，直接替换成简单的变量再去阅读就可以，不一定要变成原始的变量名。而且本身程序流程没有混淆，在这种情况下，想要读懂程序还是有可能的。

[wdlth]

这和那些所谓的PHP加密不是差不多么……

[shunia]

@josephok
42楼说的对

[shadowpsp]

42楼真相了

[procen424]

只改名字是不行哒。
找个合适的ide，以 "阅读-重命名" 的循环方式过一遍代码，然后纠正所有起得不合适的名字，这就还原出原貌了。

[sanddudu]

https://github.com/sanddudu/nextday-desktop/blob/bfdd2b7a5775bf810f47ff5994f690501be72e35/js/index.js
这个是朋友给我混淆的，代码大了近一倍多...

[juicy]

42楼。。。。把程序写烂就是最好的加密方式。。。

[sohoer]

支持楼主！
混淆最终的目的是尽量避免二次开发，这是它为什么不叫加密。
鸟巢采集器也是混淆，用的proguard比楼主的更酷

[yangff]

且不说真要复原也就那么回事（mcp人肉复原教你做人）
本来做逆向就不需要变量名。。

[noanti]

同楼上，逆向根本不需要变量名。
如果一段python很有价值，你这混淆挡得住为利益而逆向它的人？
如果没有价值，混淆给谁看？

[dingyaguang117]

有用的，我试图理解过混淆后的代码，几乎不可读

[love]

@noanti
你根本弄错了这个混淆器的目的是要让别人不能拿了你的代码再次开发售卖，你看到个软件觉得功能很好有前景，也想写一个来卖卖，你是试徒复原这个天书书一样的代码呢还是干脆重写一个？
原有的代码写得乱了也可能需要推倒重来，这个还要乱上十倍的代码根本没有在上面开发的必要。
另外代码的价值一大部分是在命名上，去掉了命名的代码价值就没有了。

[love]

@wdlth PHP加密几乎都是伪加密，把代码变换个形式而已，相当于用一个标准算法套了个壳，可惜它是完全可逆的，你只要分析下加密后的代码所用的算法（因为算法含在加密后的文件里），就能完全复原一个字节都不会少，而且对所有用这个算法的文件都通用。

[noanti]

@love
“另外代码的价值一大部分是在命名上，去掉了命名的代码价值就没有了。”
哦，代码价值原来如此。

[wdlth]

@love 你这个无非就是Python版的PHP微盾嘛……

[tangzx]

源码他妈……