Archivo zip
Un nivel de protección muy elemental, que quizás te baste, sería hacer uso de una característica poco conocida de python, y es que puede "ejecutar" archivos zip.
Si creas una carpeta, dentro de ella pones tu script pero llamándolo __main__.py
(y puedes meter también en esta carpeta otros ficheros que puedas import
ar desde el principal), y luego lo comprimes todo a un archivo .zip
, y renombras el resultado como miscript.pyz
, resulta que eso se puede ejecutar con python, simplemente usando python miscript.pyz
.
Si alguien intenta mirar el contenido de miscript.pyz
verá aparentemente basura, pues una vez comprimido todo es binario. Ahora bien, si sabe que el fichero es en realidad un zip, puede simplemente descomprimirlo y recuperar todos los ficheros originales.
Compilación
Como siguiente nivel de protección, puedes compilar tus fuentes y generar bytecode. Este bytecode es binario, por lo que al abrirlo con editor sólo se verá "basura", si bien las cadenas que contuviera tu programa podrían seguir siendo visibles.
Por ejemplo, imagina que tienes el siguiente programa:
# Esto es hola.py
import sys
def funcion_saludar(nombre):
"""Esta función construye un saludo para la persona cuyo
nombre recibe como parámetro"""
return "Hola {}!".format(nombre)
def main():
"""Función principal del programa"""
if len(sys.argv) == 1:
nombre = "Anónimo"
else:
nombre = sys.argv[1]
print(funcion_saludar(nombre))
if __name__ == "__main__":
main()
Para compilarlo harías:
python -OO py_compile hola.py
Eso creará una carpeta llamada __pycache__
y dentro de ella un archivo llamado por ejemplo hola.cpython-35.opt-2.pyc
(aunque el nombre depende de qué intérprete python estés usando). Si intentas ver el contenido de ese fichero, parece "basura":
^V
�r�]�^A^@^@�^@^@^@^@^@^@^@^@^@^@^@^@^B^@^@^@@^@^@^@s;^@^@^@d^@^@d^A^@l^@^@Z^@^@$
^@^@^@d^A^@j^@^@|^@^@�^A^@S)^BNz^HHola {}!)^A�^Fformat)^A�^Fnombre�^@r^D^@^@^@�$
^@t^A^@j^B^@d^A^@^Y}^@^@t^C^@t^D^@|^@^@�^A^@�^A^@^Ad^@^@S)^CN�^A^@^@^@u^H^@^@^@$
^Ar^L^@^@^@�^H__main__)^Dr ^@^@^@r^F^@^@^@r^L^@^@^@�^H__name__r^D^@^@^@r^D$
Y sin embargo se puede ejecutar normalmente con python:
$ python __pycache__/hola.cpython-35.opt-2.pyc
Hola Anónimo!
Esto no es un método de protección 100% seguro, pues puede "descompilarse", con herramientas como uncompyle6, que hace un excelente trabajo puesto que a partir del .pyc
anterior es capaz de reconstruir el siguiente código fuente:
import sys
def funcion_saludar(nombre):
return 'Hola {}!'.format(nombre)
def main():
if len(sys.argv) == 1:
nombre = 'Anónimo'
else:
nombre = sys.argv[1]
print(funcion_saludar(nombre))
if __name__ == '__main__':
main()
# okay decompiling __pycache__/hola.cpython-35.opt-2.pyc
Que es básicamente igual al original, salvo que han desaparecido los comentarios y los docstrings.
Ofuscación
Otra posibilidad es ofuscar el código, que significa que el resultado seguirá siendo python "normal" (no binario), pero los nombres de variables se han cambiado por otros, así como los nombres de funciones, y las cadenas se han recodificado, y en general resulta un programa prácticamente imposible de comprender, aunque sigue funcionando normal.
Una herramienta de ofuscación es por ejemplo Intensio-Obfuscator, que admite diferentes niveles de ofuscación. Está en estado beta, es difícil de instalar, requiere que el fuente respete ciertas normas de formato... pero para que veas lo que es capaz de hacer, así deja a nuestro hola.py
:
def pxOxsvPEeFeJmdOsCyzZPRQxtouCxyNJ(xmDnGxptkYJljmsgqULjPeTHrCcyzDiJ):
return "Hola {}!".format(xmDnGxptkYJljmsgqULjPeTHrCcyzDiJ)
def jkRUJhwEliYDSHJgvLgInSOeWklLzofD():
if len(sys.argv) == 1:
xmDnGxptkYJljmsgqULjPeTHrCcyzDiJ = "Anónimo"
else:
xmDnGxptkYJljmsgqULjPeTHrCcyzDiJ = sys.argv[1]
print(pxOxsvPEeFeJmdOsCyzZPRQxtouCxyNJ(xmDnGxptkYJljmsgqULjPeTHrCcyzDiJ))
if __name__ == "__main__":
jkRUJhwEliYDSHJgvLgInSOeWklLzofD()
Y este es el nivel mínimo. A otros niveles puede quedar así:
YaCbtbrrXIYPORxpboCUwccEFhvMRJjf="""\x69\x6d\x70\x6f\x72\x74\x20\x73\x79\x73\x0a\x64\x65\x66\x20\x66\x75\x6e\x63\x69\x6f\x6e\x5f\x73\x61\x6c\x75\x64\x61\x72\x28\x6e\x6f\x6d\x62\x72\x65\x29\x3a\x0a\x20\x20\x20\x20\x72\x65\x74\x75\x72\x6e\x20\x22\x48\x6f\x6c\x61\x20\x7b\x7d\x21\x22\x2e\x66\x6f\x72\x6d\x61\x74\x28\x6e\x6f\x6d\x62\x72\x65\x29\x0a\x64\x65\x66\x20\x6d\x61\x69\x6e\x28\x29\x3a\x0a\x20\x20\x20\x20\x69\x66\x20\x6c\x65\x6e\x28\x73\x79\x73\x2e\x61\x72\x67\x76\x29\x20\x3d\x3d\x20\x31\x3a\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x6e\x6f\x6d\x62\x72\x65\x20\x3d\x20\x22\x41\x6e\xc3b3\x6e\x69\x6d\x6f\x22\x0a\x20\x20\x20\x20\x65\x6c\x73\x65\x3a\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x6e\x6f\x6d\x62\x72\x65\x20\x3d\x20\x73\x79\x73\x2e\x61\x72\x67\x76\x5b\x31\x5d\x0a\x20\x20\x20\x20\x70\x72\x69\x6e\x74\x28\x66\x75\x6e\x63\x69\x6f\x6e\x5f\x73\x61\x6c\x75\x64\x61\x72\x28\x6e\x6f\x6d\x62\x72\x65\x29\x29\x0a\x69\x66\x20\x5f\x5f\x6e\x61\x6d\x65\x5f\x5f\x20\x3d\x3d\x20\x22\x5f\x5f\x6d\x61\x69\x6e\x5f\x5f\x22\x3a\x0a\x20\x20\x20\x20\x6d\x61\x69\x6e\x28\x29\x0a"""
exec(YaCbtbrrXIYPORxpboCUwccEFhvMRJjf)
Aunque no lo parezca, lo anterior es python válido. Prueba a copiarlo y pegarlo en un archivo y después ejecutarlo (no parece manejar muy bien los acentos en la cadena "Anónimo", por algo está en beta, pero fuera de eso funciona).
Otro ofuscador más estable (y menos extremo) es pyminifier
que puedes instalar via pip
y hace un trabajo bastante decente:
$ pyminifier -O hola.py
import sys
v=len
e=print
i=sys.argv
def s(J):
return "Hola {}!".format(J)
def b():
if v(i)==1:
J="Anónimo"
else:
J=i[1]
e(s(J))
if __name__=="__main__":
b()
Cuanto más largo sea el código mas difícil de entender será el resultado. Si además le pides que comprima el resultado y lo recodifique en base64:
$ pyminifier -O --lzma hola.py
import lzma, base64
exec(lzma.decompress(base64.b64decode('/Td6WFoAAATm1rRGAgAhARYAAAB0L+Wj4ACmAJRdADSbSme4Ujxz98E0Cf7oGLdNshZA3TNsLZEFkLph/n9mjAldr2X6JtgdSBivRj9C8HFZojJjaspCVRbYvVGa4vpGxGRDTIcSEQcNDLxCGmJflIYgwvL4VyuFUAK6MEVfo6apgoK1Xne8tpEP6BUEbx0nDgWRayEJwIA/O1kmzhHLognFx2yNG+0r+jzi8sg1yKAas6AAkD4xiUEbI9gAAbABpwEAAJOlgTWxxGf7AgAAAAAEWVo=')))