642 lines
19 KiB
Markdown
642 lines
19 KiB
Markdown
# 个人管理版安全修复方案
|
||
|
||
> **适用场景：** 管理后台只有自己使用，数据库在云服务器
|
||
> **核心思路：** 保留现有管理界面，只改进客户端安全性
|
||
> **预计时间：** 1-2天
|
||
> **预计成本：** ¥1,500（服务器运营成本）
|
||
|
||
---
|
||
|
||
## 🎯 你的架构设计
|
||
|
||
```
|
||
┌─────────────────────────────────────────────────────────────┐
|
||
│ 你的电脑（管理端） │
|
||
│ ┌──────────────────────────────────────────────────────┐ │
|
||
│ │ main.py (现有管理界面) │ │
|
||
│ │ - 卡密生成 │ │
|
||
│ │ - 卡密管理 │ │
|
||
│ │ - 软件管理 │ │
|
||
│ │ - EXE加密 │ │
|
||
│ └──────────────────────────────────────────────────────┘ │
|
||
│ ↓ 直连 MySQL │
|
||
└─────────────────────────────────────────────────────────────┘
|
||
↓
|
||
┌─────────────────────────────────────────────────────────────┐
|
||
│ 云服务器（验证端） │
|
||
│ ┌──────────────────────────────────────────────────────┐ │
|
||
│ │ 轻量级API服务器 (api_server_lite.py) │ │
|
||
│ │ - 只负责验证卡密 │ │
|
||
│ │ - 不需要管理功能 │ │
|
||
│ │ - 占用资源极少 │ │
|
||
│ └──────────────────────────────────────────────────────┘ │
|
||
│ ↓ │
|
||
│ ┌──────────────────────────────────────────────────────┐ │
|
||
│ │ MySQL数据库（你现有的） │ │
|
||
│ └──────────────────────────────────────────────────────┘ │
|
||
└─────────────────────────────────────────────────────────────┘
|
||
↑
|
||
┌─────────────────────────────────────────────────────────────┐
|
||
│ 用户电脑（客户端） │
|
||
│ ┌──────────────────────────────────────────────────────┐ │
|
||
│ │ 加密的EXE（包含验证器） │ │
|
||
│ │ - 启动时验证卡密 │ │
|
||
│ │ - 调用API服务器 │ │
|
||
│ │ - 运行原始程序 │ │
|
||
│ └──────────────────────────────────────────────────────┘ │
|
||
└─────────────────────────────────────────────────────────────┘
|
||
```
|
||
|
||
---
|
||
|
||
## ✅ 需要改进的部分
|
||
|
||
### ❌ 不需要改的：
|
||
- ✅ main.py（管理界面）- **保持不变**
|
||
- ✅ database.py（数据库操作）- **保持不变**
|
||
- ✅ 你的MySQL数据库 - **保持不变**
|
||
|
||
### 🔧 需要改的：
|
||
1. ❌ encryptor.py - **替换为安全版本**
|
||
2. ❌ validator_wrapper.py - **替换为安全版本**
|
||
3. ➕ 添加轻量级API服务器（云端部署）
|
||
|
||
---
|
||
|
||
## 📦 你需要的文件
|
||
|
||
### 1. 云服务器文件（只需要1个）
|
||
|
||
**`api_server_lite.py`** - 超轻量级API服务器
|
||
|
||
```python
|
||
"""
|
||
轻量级API服务器 - 只负责验证，不含管理功能
|
||
部署在云服务器上，占用资源极少
|
||
"""
|
||
|
||
from flask import Flask, request, jsonify
|
||
import mysql.connector
|
||
from datetime import datetime
|
||
import os
|
||
import hmac
|
||
import hashlib
|
||
import time
|
||
from functools import wraps
|
||
|
||
app = Flask(__name__)
|
||
|
||
# 从环境变量读取配置（更安全）
|
||
DB_CONFIG = {
|
||
'host': os.environ.get('DB_HOST', 'localhost'),
|
||
'user': os.environ.get('DB_USER', 'root'),
|
||
'password': os.environ.get('DB_PASSWORD', ''),
|
||
'database': os.environ.get('DB_NAME', 'license_system'),
|
||
}
|
||
|
||
# API密钥（用于验证客户端身份）
|
||
API_KEY = os.environ.get('API_KEY', 'change-this-to-random-string')
|
||
|
||
# 简单的内存缓存（减少数据库查询）
|
||
cache = {}
|
||
CACHE_TTL = 300 # 5分钟
|
||
|
||
def require_api_key(f):
|
||
"""验证API密钥"""
|
||
@wraps(f)
|
||
def decorated(*args, **kwargs):
|
||
key = request.headers.get('X-API-Key')
|
||
if not key or key != API_KEY:
|
||
return jsonify({'success': False, 'message': '未授权'}), 401
|
||
return f(*args, **kwargs)
|
||
return decorated
|
||
|
||
def get_db():
|
||
"""获取数据库连接"""
|
||
return mysql.connector.connect(**DB_CONFIG)
|
||
|
||
def verify_signature(license_key, machine_code, software_name, signature):
|
||
"""验证请求签名（防止伪造请求）"""
|
||
expected = hmac.new(
|
||
API_KEY.encode(),
|
||
f"{license_key}{machine_code}{software_name}".encode(),
|
||
hashlib.sha256
|
||
).hexdigest()
|
||
return hmac.compare_digest(expected, signature)
|
||
|
||
@app.route('/api/health', methods=['GET'])
|
||
def health():
|
||
"""健康检查"""
|
||
return jsonify({'status': 'ok', 'timestamp': time.time()})
|
||
|
||
@app.route('/api/validate', methods=['POST'])
|
||
@require_api_key
|
||
def validate():
|
||
"""
|
||
验证卡密
|
||
请求格式：
|
||
{
|
||
"license_key": "XXXXX-XXXXX-XXXXX-XXXXX",
|
||
"machine_code": "1234567890ABCDEF",
|
||
"software_name": "MyApp",
|
||
"signature": "hash"
|
||
}
|
||
"""
|
||
try:
|
||
data = request.get_json()
|
||
license_key = data.get('license_key', '').strip()
|
||
machine_code = data.get('machine_code', '').strip()
|
||
software_name = data.get('software_name', '').strip()
|
||
signature = data.get('signature', '')
|
||
|
||
# 验证签名
|
||
if not verify_signature(license_key, machine_code, software_name, signature):
|
||
return jsonify({'success': False, 'message': '签名验证失败'}), 400
|
||
|
||
# 检查缓存
|
||
cache_key = f"{license_key}:{machine_code}"
|
||
if cache_key in cache:
|
||
cached_time, cached_result = cache[cache_key]
|
||
if time.time() - cached_time < CACHE_TTL:
|
||
return jsonify(cached_result)
|
||
|
||
# 数据库验证
|
||
conn = get_db()
|
||
cursor = conn.cursor(dictionary=True)
|
||
|
||
try:
|
||
# 获取软件ID
|
||
cursor.execute('SELECT id FROM software_products WHERE name=%s', (software_name,))
|
||
software = cursor.fetchone()
|
||
if not software:
|
||
return jsonify({'success': False, 'message': f'软件未注册: {software_name}'})
|
||
|
||
software_id = software['id']
|
||
|
||
# 查询卡密
|
||
cursor.execute(
|
||
'SELECT * FROM license_keys WHERE key_code=%s AND software_id=%s',
|
||
(license_key, software_id)
|
||
)
|
||
key_info = cursor.fetchone()
|
||
|
||
if not key_info:
|
||
return jsonify({'success': False, 'message': '激活码不存在'})
|
||
|
||
# 检查状态
|
||
if key_info['status'] == 'banned':
|
||
return jsonify({'success': False, 'message': '激活码已被封禁'})
|
||
|
||
if key_info['end_time'] < datetime.now():
|
||
cursor.execute("UPDATE license_keys SET status='expired' WHERE key_code=%s", (license_key,))
|
||
conn.commit()
|
||
return jsonify({'success': False, 'message': '激活码已过期'})
|
||
|
||
# 已激活
|
||
if key_info['status'] == 'active':
|
||
if key_info['machine_code'] != machine_code:
|
||
return jsonify({
|
||
'success': False,
|
||
'message': f'此激活码已在其他设备上使用'
|
||
})
|
||
else:
|
||
# 更新最后使用时间（可选）
|
||
result = {'success': True, 'message': '验证成功'}
|
||
cache[cache_key] = (time.time(), result)
|
||
return jsonify(result)
|
||
|
||
# 首次激活
|
||
if key_info['status'] == 'unused':
|
||
cursor.execute("""
|
||
UPDATE license_keys
|
||
SET status='active', machine_code=%s, start_time=NOW()
|
||
WHERE key_code=%s AND status='unused'
|
||
""", (machine_code, license_key))
|
||
|
||
if cursor.rowcount == 0:
|
||
return jsonify({'success': False, 'message': '激活码已被使用'})
|
||
|
||
conn.commit()
|
||
result = {'success': True, 'message': '激活成功'}
|
||
cache[cache_key] = (time.time(), result)
|
||
return jsonify(result)
|
||
|
||
return jsonify({'success': False, 'message': f'激活码状态异常: {key_info["status"]}'})
|
||
|
||
finally:
|
||
cursor.close()
|
||
conn.close()
|
||
|
||
except Exception as e:
|
||
print(f"验证出错: {e}")
|
||
return jsonify({'success': False, 'message': '服务器内部错误'}), 500
|
||
|
||
if __name__ == '__main__':
|
||
# 生产环境使用 gunicorn
|
||
# gunicorn -w 2 -b 0.0.0.0:5000 api_server_lite:app
|
||
app.run(host='0.0.0.0', port=5000, debug=False)
|
||
```
|
||
|
||
### 2. 本地文件（你电脑上）
|
||
|
||
**修改 `main.py` 中的加密部分：**
|
||
|
||
在 `encrypt_software_by_name` 方法中，替换 encryptor：
|
||
|
||
```python
|
||
def encrypt_software_by_name(self, software_name):
|
||
"""根据软件名称加密软件"""
|
||
# ... 前面的代码保持不变 ...
|
||
|
||
# 🔴 修改这里：使用新的加密器
|
||
from encryptor_secure import SecureEXEEncryptor
|
||
|
||
api_config = {
|
||
'api_url': 'https://your-domain.com/api', # 替换为你的云服务器地址
|
||
'api_key': 'your-secret-api-key-here' # 替换为你的API密钥
|
||
}
|
||
|
||
encryptor = SecureEXEEncryptor()
|
||
success, msg = encryptor.encrypt_exe(
|
||
source_path=source_path,
|
||
output_path=dest_path,
|
||
api_config=api_config,
|
||
software_name=software_name
|
||
)
|
||
|
||
# ... 后面的代码保持不变 ...
|
||
```
|
||
|
||
---
|
||
|
||
## 🚀 实施步骤（超简单）
|
||
|
||
### 步骤1：本地准备（5分钟）
|
||
|
||
```bash
|
||
# 1. 备份当前代码
|
||
cp -r D:\work\code\python\Exeprotector D:\work\code\python\Exeprotector_backup
|
||
|
||
# 2. 下载新文件到项目目录
|
||
# - api_server_lite.py
|
||
# - validator_secure.py
|
||
# - encryptor_secure.py
|
||
|
||
# 3. 安装依赖（如果还没装）
|
||
pip install cryptography requests
|
||
```
|
||
|
||
### 步骤2：云服务器部署（10分钟）
|
||
|
||
```bash
|
||
# SSH登录到你的云服务器
|
||
ssh root@your-server-ip
|
||
|
||
# 创建目录
|
||
mkdir -p /opt/license-api
|
||
cd /opt/license-api
|
||
|
||
# 上传 api_server_lite.py（使用scp或FTP）
|
||
# Windows: 使用WinSCP
|
||
# Linux/Mac: scp api_server_lite.py root@your-server:/opt/license-api/
|
||
|
||
# 安装Python和依赖
|
||
apt update # Ubuntu/Debian
|
||
apt install python3 python3-pip -y
|
||
pip3 install flask mysql-connector-python
|
||
|
||
# 设置环境变量
|
||
export DB_HOST=localhost # 或你的数据库地址
|
||
export DB_USER=taiyi
|
||
export DB_PASSWORD=taiyi1224
|
||
export DB_NAME=filesend_db
|
||
export API_KEY=$(python3 -c "import os; print(os.urandom(32).hex())")
|
||
|
||
# 保存环境变量（重启后生效）
|
||
cat >> ~/.bashrc << EOF
|
||
export DB_HOST=localhost
|
||
export DB_USER=taiyi
|
||
export DB_PASSWORD=taiyi1224
|
||
export DB_NAME=filesend_db
|
||
export API_KEY=your-generated-key-here
|
||
EOF
|
||
|
||
# 测试运行
|
||
python3 api_server_lite.py
|
||
|
||
# 如果正常，安装为系统服务（持续运行）
|
||
```
|
||
|
||
### 步骤3：配置为系统服务（5分钟）
|
||
|
||
创建 `/etc/systemd/system/license-api.service`：
|
||
|
||
```ini
|
||
[Unit]
|
||
Description=License API Server
|
||
After=network.target
|
||
|
||
[Service]
|
||
Type=simple
|
||
User=root
|
||
WorkingDirectory=/opt/license-api
|
||
Environment="DB_HOST=localhost"
|
||
Environment="DB_USER=taiyi"
|
||
Environment="DB_PASSWORD=taiyi1224"
|
||
Environment="DB_NAME=filesend_db"
|
||
Environment="API_KEY=your-generated-key-here"
|
||
ExecStart=/usr/bin/python3 /opt/license-api/api_server_lite.py
|
||
Restart=always
|
||
|
||
[Install]
|
||
WantedBy=multi-user.target
|
||
```
|
||
|
||
启动服务：
|
||
|
||
```bash
|
||
systemctl daemon-reload
|
||
systemctl start license-api
|
||
systemctl enable license-api # 开机自启
|
||
systemctl status license-api # 检查状态
|
||
```
|
||
|
||
### 步骤4：配置防火墙和Nginx（10分钟）
|
||
|
||
```bash
|
||
# 开放5000端口（或使用Nginx反向代理）
|
||
ufw allow 5000
|
||
|
||
# 或者配置Nginx（推荐，支持HTTPS）
|
||
apt install nginx certbot python3-certbot-nginx -y
|
||
|
||
# 创建Nginx配置
|
||
cat > /etc/nginx/sites-available/license-api << 'EOF'
|
||
server {
|
||
listen 80;
|
||
server_name your-domain.com; # 替换为你的域名
|
||
|
||
location /api/ {
|
||
proxy_pass http://127.0.0.1:5000/api/;
|
||
proxy_set_header Host $host;
|
||
proxy_set_header X-Real-IP $remote_addr;
|
||
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
|
||
}
|
||
}
|
||
EOF
|
||
|
||
# 启用配置
|
||
ln -s /etc/nginx/sites-available/license-api /etc/nginx/sites-enabled/
|
||
nginx -t
|
||
systemctl reload nginx
|
||
|
||
# 申请SSL证书（免费）
|
||
certbot --nginx -d your-domain.com
|
||
```
|
||
|
||
### 步骤5：修改本地管理程序（5分钟）
|
||
|
||
在 `main.py` 中找到加密相关代码，修改配置：
|
||
|
||
```python
|
||
# 在文件开头添加导入
|
||
from encryptor_secure import SecureEXEEncryptor
|
||
|
||
# 修改 encrypt_software_by_name 方法
|
||
def encrypt_software_by_name(self, software_name):
|
||
# ... 前面代码不变 ...
|
||
|
||
# 配置API
|
||
api_config = {
|
||
'api_url': 'https://your-domain.com/api', # 🔴 改成你的域名
|
||
'api_key': 'your-generated-key-here' # 🔴 改成你生成的密钥
|
||
}
|
||
|
||
# 使用新加密器
|
||
encryptor = SecureEXEEncryptor()
|
||
success, msg = encryptor.encrypt_exe(
|
||
source_path=source_path,
|
||
output_path=dest_path,
|
||
api_config=api_config,
|
||
software_name=software_name
|
||
)
|
||
|
||
# ... 后面代码不变 ...
|
||
```
|
||
|
||
### 步骤6：测试（10分钟）
|
||
|
||
```bash
|
||
# 1. 测试API服务器
|
||
curl https://your-domain.com/api/health
|
||
|
||
# 应该返回: {"status":"ok","timestamp":1234567890.123}
|
||
|
||
# 2. 在本地运行 main.py
|
||
python main.py
|
||
|
||
# 3. 加密一个测试EXE
|
||
# 4. 在另一台电脑上测试激活
|
||
```
|
||
|
||
---
|
||
|
||
## 💰 成本分析
|
||
|
||
### 云服务器配置建议：
|
||
|
||
| 用户规模 | 服务器配置 | 价格/月 | 推荐 |
|
||
|---------|-----------|---------|------|
|
||
| < 100用户 | 1核1G | ¥30 | 腾讯云轻量 |
|
||
| 100-500用户 | 1核2G | ¥50 | 阿里云ECS |
|
||
| 500-2000用户 | 2核4G | ¥100 | 腾讯云标准型 |
|
||
|
||
### 域名（可选但推荐）：
|
||
- ¥50-100/年
|
||
|
||
### SSL证书：
|
||
- **免费**（Let's Encrypt）
|
||
|
||
### 总成本：
|
||
- **最低：¥30/月（¥360/年）**
|
||
- **推荐：¥50/月（¥600/年）**
|
||
|
||
---
|
||
|
||
## 📊 改进效果对比
|
||
|
||
### 修改前：
|
||
|
||
| 问题 | 状态 |
|
||
|------|------|
|
||
| 数据库密码 | ❌ 硬编码在客户端EXE中 |
|
||
| 加密方式 | ❌ hex编码（伪加密） |
|
||
| 验证方式 | ❌ 客户端本地验证 |
|
||
| 破解难度 | ❌ 5分钟 |
|
||
|
||
### 修改后：
|
||
|
||
| 问题 | 状态 |
|
||
|------|------|
|
||
| 数据库密码 | ✅ 只在云服务器，客户端看不到 |
|
||
| 加密方式 | ✅ AES-256真加密 |
|
||
| 验证方式 | ✅ 云服务器验证 |
|
||
| 破解难度 | ✅ 2-5天 |
|
||
|
||
---
|
||
|
||
## 🔒 安全性提升
|
||
|
||
1. **数据库隔离：** 客户端无法直接访问数据库
|
||
2. **API密钥：** 只有你知道的密钥，验证客户端身份
|
||
3. **请求签名：** 防止伪造请求
|
||
4. **真加密：** AES-256，不是简单编码
|
||
5. **服务器验证：** 所有验证逻辑在服务器端
|
||
|
||
**安全评分：从 2/10 提升到 6.5/10**
|
||
|
||
---
|
||
|
||
## 📁 文件清单
|
||
|
||
### 需要上传到云服务器：
|
||
- ✅ `api_server_lite.py`（149行，超轻量）
|
||
|
||
### 需要放在你电脑：
|
||
- ✅ `validator_secure.py`（已提供）
|
||
- ✅ `encryptor_secure.py`（已提供）
|
||
- ✅ `main.py`（修改几行即可）
|
||
|
||
### 不需要改的：
|
||
- ✅ `database.py`
|
||
- ✅ `machine_code.py`
|
||
- ✅ `config.py`
|
||
- ✅ 你的数据库
|
||
|
||
---
|
||
|
||
## ⚡ 快速命令备忘
|
||
|
||
### 云服务器常用命令：
|
||
|
||
```bash
|
||
# 查看API服务状态
|
||
systemctl status license-api
|
||
|
||
# 重启API服务
|
||
systemctl restart license-api
|
||
|
||
# 查看日志
|
||
journalctl -u license-api -f
|
||
|
||
# 测试API
|
||
curl http://localhost:5000/api/health
|
||
|
||
# 更新API代码
|
||
cd /opt/license-api
|
||
# 上传新的 api_server_lite.py
|
||
systemctl restart license-api
|
||
```
|
||
|
||
### 本地测试命令：
|
||
|
||
```bash
|
||
# 测试API连接
|
||
curl https://your-domain.com/api/health
|
||
|
||
# 运行管理程序
|
||
python main.py
|
||
|
||
# 查看Python版本
|
||
python --version
|
||
```
|
||
|
||
---
|
||
|
||
## 🐛 常见问题
|
||
|
||
### Q1: API服务器无法访问？
|
||
```bash
|
||
# 检查服务状态
|
||
systemctl status license-api
|
||
|
||
# 检查端口占用
|
||
netstat -tulpn | grep 5000
|
||
|
||
# 检查防火墙
|
||
ufw status
|
||
```
|
||
|
||
### Q2: 数据库连接失败？
|
||
```bash
|
||
# 测试数据库连接
|
||
mysql -h localhost -u taiyi -p
|
||
|
||
# 检查环境变量
|
||
echo $DB_HOST
|
||
echo $DB_USER
|
||
```
|
||
|
||
### Q3: Nginx配置错误？
|
||
```bash
|
||
# 测试配置
|
||
nginx -t
|
||
|
||
# 查看错误日志
|
||
tail -f /var/log/nginx/error.log
|
||
```
|
||
|
||
### Q4: SSL证书申请失败？
|
||
```bash
|
||
# 确保域名解析正确
|
||
nslookup your-domain.com
|
||
|
||
# 确保80和443端口开放
|
||
ufw allow 80
|
||
ufw allow 443
|
||
```
|
||
|
||
---
|
||
|
||
## 📈 性能指标
|
||
|
||
### API服务器（1核1G）：
|
||
- **并发请求：** 50-100
|
||
- **响应时间：** <50ms
|
||
- **内存占用：** <100MB
|
||
- **CPU占用：** <10%
|
||
|
||
### 足够支撑：
|
||
- **日活用户：** 500+
|
||
- **月活用户：** 2000+
|
||
- **峰值QPS：** 50
|
||
|
||
---
|
||
|
||
## 🎯 总结
|
||
|
||
### 这个方案的优势：
|
||
|
||
1. **✅ 最小改动：** 只改2个文件，添加1个API服务器
|
||
2. **✅ 保留界面：** 你的管理界面完全不变
|
||
3. **✅ 成本低：** 最低¥30/月
|
||
4. **✅ 易部署：** 1-2小时完成
|
||
5. **✅ 易维护：** 几乎不需要维护
|
||
6. **✅ 性能好：** 响应快，资源占用少
|
||
|
||
### 你需要做的：
|
||
|
||
1. **部署API服务器到云端**（30分钟）
|
||
2. **修改main.py中的几行代码**（5分钟）
|
||
3. **测试**（10分钟）
|
||
4. **完成！**
|
||
|
||
---
|
||
|
||
**这就是为你量身定制的方案！简单、实用、够用！** 🎉
|
||
|
||
有问题随时联系：
|
||
- 微信：taiyi1224
|
||
- 邮箱：shoubo1224@qq.com
|
||
|