ПафНутиЙ-Блог » Статьи » Как защитить свой php-скрипт и привязать его к домену на примере модуля для DLE

Как защитить свой php-скрипт и привязать его к домену на примере модуля для DLE

13.02
77
26273
Как защитить свой php-скрипт и привязать его к домену на примере модуля для DLE


Ни для кого не секрет, что вопрос защиты своего php-скрипта рано или поздно встаёт перед любым разработчиком и сегодня я покажу как просто и эффективно защитить свой скрипт на практическом примере - на простеньком модуле для DLE.

Как то давно я навскидку написал простой модуль вывода информации об аттачменте в любом месте сайта - ShowAttach, но до ума модуль не довёл и публиковать его не стал. Вот этот модуль и возьмём за основу для защиты.
Так же нам понадобятся прямые руки и система PCP-CS от Олега Mofsy.

Что такое pcp-cs


PCP-CS — PHP Code Protect Client-Server. Другими словами клиент-серверное приложение для привязки скриптов к определенным ограничениям (домен, ip сервера и т.д.).

Как работает?


Очень упрощенная схема выглядит так:
Как защитить свой php-скрипт и привязать его к домену на примере модуля для DLE


Ключевые преимущества


  • Лёгкая интеграция в нужный скрипт. Достаточно вставить код клиента в скрипт и прописать необходимые параметры
  • Встроенная админка для управления серверной частью. Система имеет встроенную административную часть для управления лицензиями, просмотра логов и т.п.
  • Продуманная реализация проверок. Проверки лицензии осуществляются сначала из локального ключа, и если период проверки истёк - данные запрашиваются с сервера проверки, и если сервер проверки недоступен - защищаемый скрипт не перестанет функционировать в течении заданного периода времени.


Установка и настройка серверной части PCP-CS


Т.к. на момент написания статьи встроенная админка системы не достаточно функциональна, я буду использовать стороннюю админку, написанную специально для этой системы.
Настройку можно производить как на хостинге, так и на локальной машине. Для локалки рекомендую OpenServer.

  1. Скачиваем с гитхаба админку по кнопке "Download ZIP". Она уже содержит последнюю версию серверной части pcp-cs, так что на данном этапе больше ничего не потребуется.
  2. Распаковываем папку upload в корень.
  3. Выполняем запрос из sql.sql. Если необходимо сразу завести пользователя, то выполняем запрос:
    INSERT INTO `pcp_users` (`user_id`, `email`, `password`, `name`, `user_group`) VALUES (1, 'admin@admin.ru', 'c3284d0f94606de1fd2af172aba15bf3', 'admin', 1);
    логин и пароль в этом случаи будут admin, admin
  4. Настраиваем конфиг в трёх файлах:
    admin/config/db_config.php - Конфиг БД
    admin/config/config.php - Конфиг админки
    api/config.php - Конфиг pcp-cs
    Такое разделение обусловлено независимостью админки от серверной части pcp-cs.
  5. Всё! Адинка готова к работе. Можно приступать к защите подопытного модуля.
    Как защитить свой php-скрипт и привязать его к домену на примере модуля для DLE



Внедрение клиентской части


Прежде всего необходимо настроить серверную часть.
Для этого создаём новый метод проверки данных.
Как защитить свой php-скрипт и привязать его к домену на примере модуля для DLE

Как защитить свой php-скрипт и привязать его к домену на примере модуля для DLE


после успешного создания метода идём в раздел "Лицензии" и добавляе новый лицензионный ключ.
Как защитить свой php-скрипт и привязать его к домену на примере модуля для DLE

Как защитить свой php-скрипт и привязать его к домену на примере модуля для DLE


В результате получаем лицезионный ключ, который в дальнейшем можно отдавать покупателю модуля.

Вот теперь можно внедрять непосредственно код клиента!

Сейчас наш подопытный образец модуля (кстати не рекомендую его использовать на живых проетах т.к. он не доработан как следует и будет вызывать повышение нагрузки на бд) выглядит так:


Вот такой внешний вид вывода данных этим модулем:
Как защитить свой php-скрипт и привязать его к домену на примере модуля для DLE


Нам необходимо заблокировать работу скрипта, если он используется без лицензии.

Для начала добавим в конфиг модуля параметр key, в который будем передавать полученный лицензионный ключ.
'key' => !empty($key) ? $key : false,

и завернём рабочий код в условие с проверкой этого параметра, а так же добавим отдельное условие для вывода сообщения об отсутствии ключа.
// Если есть ключ и задан ID новости — работаем
if ($cfg['newsId'] && $key) {
......
} elseif (!$key) {
    $showAttach = '<span style="color: red;">Не указан лицензионный ключ.</span>';
}
echo $showAttach;

результат:
Как защитить свой php-скрипт и привязать его к домену на примере модуля для DLE


Добавляем в строку подключения ключ и проверяем:
Как защитить свой php-скрипт и привязать его к домену на примере модуля для DLE


Теперь нужно добавить проверку введённого ключа с помощью pcp-cs.
  1. Внедряем код клиента в наш модуль. Для экономии ресурсов рекомендую сжать код клиентского класса через любой удобный инструмент. Я использовал сервис PHP-Minifier. Вставляем полученный код перед основным кодом модуля. Если при проверке выдаёт ошибку:
    Fatal error: Namespace declaration statement has to be the very first statement in the script in

    просто удалите этот код:
    namespace MofsyLicenseClient;

  2. Сразу после кода клиентского класса можно его задействовать и произвести проверку.
    В комментарияк к коду ниже я расписал что и как происходит.
    // Теперь можно запустить проверку лицензии
    $protect = new Protect();
    
    // Секретный ключ из созданного метода проверки
    $protect->secret_key = 'mqgAqWnSwZZM8YX7BEd9'; 
    
    // Куда будем класть локальный (зашифрованный) ключ?
    $protect->local_key_path = ENGINE_DIR . '/data/';
    
    // Имя и расширение локального ключа 
    $protect->local_key_name = 'showattach.lic';
    
    // Адрес сервера проверки
    $protect->server = 'http://pcp-cs.loc/api.php';
    
    // Дата релиза модуля (пригодится если лицензия даётся на определённую версию модуля)
    $protect->release_date = '2015-02-10';
    
    // Ключ активации (лицензионный ключ), тот, который передаётся в параметрах строки подключения модуля
    $protect->activation_key = $key;
    
    // Сообщения о различных ошибках
    $protect->status_messages = array(
        'status_1'                       => '<span style="color:green;">Активна</span>',
        'status_2'                       => '<span style="color:darkblue;">Внимание</span>: срок действия лицензии закончился.',
        'status_3'                       => '<span style="color:orange;">Внимание</span>: лицензия переиздана. Ожидает повторной активации.',
        'status_4'                       => '<span style="color:red;">Ошибка</span>: лицензия была приостановлена.',
        'localhost'                      => '<span style="color:orange;">Активна на localhost</span>: используется локальный компьютер, на реальном сервере произойдет активация, если вы правильно ввели лицензионный ключ активации в настройках.',
        'pending'                        => '<span style="color:red;">Ошибка</span>: лицензия ожидает рассмотрения.',
        'download_access_expired'        => '<span style="color:red;">Ошибка</span>: ключ активации не подходит для установленной версии. Пожалуйста поставьте более старую версию продукта.',
        'missing_activation_key'         => '<span style="color:red;">Ошибка</span>: ключ активации не указан.',
        'could_not_obtain_local_key'     => '<span style="color:red;">Ошибка</span>: невозможно получить новый локальный ключ.',
        'maximum_delay_period_expired'   => '<span style="color:red;">Ошибка</span>: льготный период локального ключа истек.',
        'local_key_tampering'            => '<span style="color:red;">Ошибка</span>: локальный лицензионный ключ поврежден или не действителен.',
        'local_key_invalid_for_location' => '<span style="color:red;">Ошибка</span>: локальный ключ не подходит к данному окружению.',
        'missing_license_file'           => '<span style="color:red;">Ошибка</span>: создайте следующий пустой файл и папки если их нету:<br />',
        'license_file_not_writable'      => '<span style="color:red;">Ошибка</span>: сделайте для записи следующие пути:<br />',
        'invalid_local_key_storage'      => '<span style="color:red;">Ошибка</span>: не возможно удалить старый локальный ключ.',
        'could_not_save_local_key'       => '<span style="color:red;">Ошибка</span>: не возможно записать новый локальный ключ.',
        'activation_key_string_mismatch' => '<span style="color:red;">Ошибка</span>: локальный ключ не действителен для указанного ключа активации.'
    
    );
    
    // Запускаем валидацию лицензии
    $protect->validate();
    
    $license = false;
    
    // Если истина, то лицензия в боевом состоянии и можно работать дальше.
    if($protect->status) {
        $license = true;
    }


    Немного доработок в условиях:
    // Если есть ключ и задан ID новости и проверка лицензии прошла успешно — работаем
    if ($cfg['newsId'] && $key && $license) {
    ....
    } 
    if (!$key) {
    	// Если ключ не передан — надо бы сообщить об этом
    	$showAttach = '<span style="color: red;">Не указан лицензионный ключ.</span>';
    } 
    if (!$license) {
    	// Если лицензия не проверилась - скжем об этом
    	$showAttach =  (!$protect->errors) ? 'Ошибка лицензии.' : $protect->errors;
    }
    
    echo $showAttach;


    Если всё сделано правильно — файл с лицензией будет успешно создан в нужной папке, скрипт будет работать., а в админке PCP-CS появится запись о том, где активирован ключ.
    Как защитить свой php-скрипт и привязать его к домену на примере модуля для DLE

    Как защитить свой php-скрипт и привязать его к домену на примере модуля для DLE


    Для проверки попробуйте изменить данные лицензионного ключа в строке подключения.


Вот, собственно, и вся процедура реализации защиты модуля. Остаётся только закодировать код модуля в IonCube и можно продавать или раздавать бесплатно.
Так же не забывайте, что лучше всего реализовать в модуле возможность кеширования и проверять лицензию при отсутствии кеша модуля, так экономятся ресурсы хостинга и ускоряется работа.
После всех действий код модуля должен выглядеть как то так:


В качестве дополнения


Код pcp-cs очень хорошо прокомментирован и для реализации различных вариантов проверки достаточно почитать что там написано. К примеру для использования модуля на локалке без активации достаточно прописать параметр:
$protect->use_localhost = true;

Ну и конечно же если у вас есть идеи и пожелания - мы с Олегом будем всегда рады видеть эти пожелания на гитхабе

Похожие материалы

  • Пишем свой модуль для DLE - подробная инструкция
  • Увеличение скорости загрузки сайта на DLE (часть 2)
  • {AJAX FULL-STORY} — модуль AJAX-загрузки полной новости для DLE
  • UniForm — модуль универсальных ajax-форм для DataLife Engine
Закрыть

Комментировать могут только зарегистрированные пользователи

+

Комментарии

savvato
savvato 15 сентября 2015 13:26
Ответов: 0 #5111
Работает без локальной лицензии(ключа)? И что когда сервер лицензий лежит делать?
ПафНутиЙ
ПафНутиЙ 14 сентября 2015 19:03
Ответов: 0 #5107
Цитата: chapser
Этот скрипт бесполезен.

Да, вы совершенно правы, он не совместим с кривыми руками.
ПафНутиЙ
ПафНутиЙ 15 сентября 2015 13:35
Ответов: 3 #5113
Цитата: savvato
Работает без локальной лицензии(ключа)?

А должен?
Цитата: savvato
И что когда сервер лицензий лежит делать?

Описано в самом начале статьи.
savvato
savvato 15 сентября 2015 13:44
Ответов: 0 #5114
Та предыдущий комент касаемо phpmylicense.com касается. Не касаемо Вашего продукта. У Вас норм продумано в этом плане)))
Lena
Lena 17 сентября 2015 19:13
Ответов: 1 #5122
Здравствуйте! Уважаемый Пафнутий, звините меня что я тут вообще не к месту со своим вопросом.
Но мне сказали что Вы все знаете про скрипты и т.п.
Вы не могли бы подсказать какой плагин исрлдбзуется на этом сайте https://weboster.ru/rules.html и где его можно скачать.
Только пожалуйста не ругайтесь...я только начала пытаться сделать свой сайт и тольком ни чего не знаю:)
ПафНутиЙ
ПафНутиЙ 17 сентября 2015 19:42
Ответов: 0 #5123
Вас обманули.
Я очень мало знаю про скрипты и т.п.
Но вы правы — ваш вопрос не к месту, задайте его на dle-faq.ru если он относится к DLE, или на stackowerflow или на toster.ru
maksodintsov
maksodintsov 22 октября 2015 13:04
Ответов: 0 #5204
"я только начала пытаться сделать свой сайт и тольком ни чего не знаю"
ха! Видимо только начала не только сайт свой создавать..а скорей всего только начала В ШКОЛУ ХОДИТЬ...("плагин исрлдбзуется на этом сайте https:/...")
ComBO
ComBO 26 октября 2015 17:39
Ответов: 3 #5219
ПафНутиЙ,
я все сделал как нужно но у меня выдает такую ошибку)) Ошибка: локальный лицензионный ключ поврежден или не действителен. )) помоги ))
ПафНутиЙ
ПафНутиЙ 26 октября 2015 21:45
Ответов: 2 #5220
Клиентская часть переехала сюда, напишите тиккет, очень желательно с примером или подробным описанием ошибки.
Archangel
Archangel 22 декабря 2015 12:54
Ответов: 1 #5300
Хотел попробовать установить арматуру, но на гите нету sql для системы, как в pcp. _ttps://github.com/Armature/Server

Нету ли пустой базы от арматурки ?
ПафНутиЙ
ПафНутиЙ 27 декабря 2015 17:22
Ответов: 0 #5302
Задайте вопрос в репозитории, я пока не готов на него ответить.
wolf
wolf 10 февраля 2016 21:47
Ответов: 1 #5402
здравствуйте подскажите в какой файл клиент должен ввезти лицензионный ключ?
ПафНутиЙ
ПафНутиЙ 10 февраля 2016 21:48
Ответов: 0 #5403
Это полностью зависит от разработчика.
wolf
wolf 10 февраля 2016 21:53
Ответов: 1 #5404
ПафНутиЙ,
спасибо за оперативный ответ, smile а в вашей админке можно продливать лицензионный ключ? или там только постоянно нужно её создавать заного? если можно продливать то подскажите как, заранее спасибо
ПафНутиЙ
ПафНутиЙ 10 февраля 2016 22:04
Ответов: 0 #5405
Если необходимо продление - логичнее создать новый ключ. или не ограничивать срок его действия.
wolf
wolf 10 февраля 2016 22:15
Ответов: 0 #5406
ПафНутиЙ,
smile спасибо) тогда легче сделать кнопку удаления (ну это я сделаю), чтоб старый ключ удалять, а новый создавать)
wolf
wolf 12 февраля 2016 14:58
Ответов: 1 #5409
ПафНутиЙ,
у вас хороший пример приведен, ну тут все в одном файле, а если лицензию нужно сделать в двух файлах? получается я делаю все как у вас описано только вставляю клиентский класс в install.php, затем вывожу из класса
$key = $_POST["key"];
$protect->activation_key = $_POST["key"];

и из формы html отправляю Post запросом (в этом же файле введенный пользователем ключ), чтобы он записался в $protect->activation_key =''; ну это все в одном файле, а проверку ключа мне нужно сделать в файле index.php, как мне дать понять коду что ключ вписан и отправить его в файл index.php? в index.php будет так
if ($key && $license) {
работаем
} else {
выключаем
}
ну в файле index.php будет не определены переменные $key && $license как мне их определить в index.php?
ПафНутиЙ
ПафНутиЙ 12 февраля 2016 15:36
Ответов: 0 #5411
Записывайте ключ в конфиг, читайте из конфига.
wolf
wolf 12 февраля 2016 14:59
Ответов: 0 #5410
помогите пожалуйста
wolf
wolf 12 февраля 2016 15:42
Ответов: 0 #5412
Цитата: ПафНутиЙ
Записывайте ключ в конфиг, читайте из конфига.

а можете пример привести как в коде это сделать?
wolf
wolf 12 февраля 2016 15:53
Ответов: 0 #5413
я вот читал вы пишите
Для начала добавим в конфиг модуля параметр key, в который будем передавать полученный лицензионный ключ.

'key' => !empty($key) ? $key : false,
только не совсем понятно как ключ в этот код передать
wolf
wolf 12 февраля 2016 16:53
Ответов: 0 #5414
ПафНутиЙ,
все спасибо я разобрался)))
wolf
wolf 12 февраля 2016 18:38
Ответов: 0 #5415
можно ли как то вывести? Ваша лицензия действительна до:
wolf
wolf 13 февраля 2016 12:56
Ответов: 0 #5417
а если будет несколько модулей, то нужно для каждого модуля разный секретный ключ?
quiman
quiman 3 июня 2016 13:57
Ответов: 1 #5522
Здравствуйте.
Нарыл статью в интернете.
Хочу поставить себе, но у меня высвечивает ошибку -
Fatal error: SafeMySQL: 2002 Can't connect to local MySQL server through socket '/var/lib/mysql/mysql.sock' (2). 

Можете помочь, что тут может быть не так?
ПафНутиЙ
ПафНутиЙ 4 июня 2016 00:04
Ответов: 0 #5523
скрипт не может подсоединиться к серверу. погуглите, проблема известная.
stg
stg 16 августа 2016 09:30
Ответов: 1 #5569
Большинство сайтов это shared-хостинг и на одном IP размещено несколько сотен или тысяч сайтов, и много IP занесено в бан на хостингах, не будет ли банить хостинг где установлена серверная часть запросы при попытке получить лицензионный ключ?
ПафНутиЙ
ПафНутиЙ 16 августа 2016 09:39
Ответов: 0 #5570
Я бы в здравом уме не сталбы размещать серверную часть на shared хостинге.
Купите за 150р VPS, поставьте туда https://vestacp.com/ и это буде намного эффективнее shared-хостинга
Ойбек
Ойбек 29 сентября 2016 07:23
Ответов: 6 #5647
Добрый день! Нужна помощь мне..
Скачал исходник клиента там были example.php и clien.class.php всё настроил, вот теперь как в example.php скрыть свой код, если ключь не активен, а после того как активен, пусть выводится нужный мне код:

Это код для вскрытия и открытия после активации
print file_get_contents('http://..../что_то_тут.php');
ПафНутиЙ
ПафНутиЙ 29 сентября 2016 13:07
Ответов: 5 #5648
if($license){лицензия активна} else {лицензия не активна}

Информация

Посетители, находящиеся в группе Гости, не могут оставлять комментарии к данной публикации.