Có, hoàn toàn đúng và đầy đủ. Đây là điểm cốt lõi của ShadowPy: output là một file .py Python hợp lệ, chạy trực tiếp bằng Python 3.x mà không cần cài thêm bất kỳ thư viện ngoài nào.

Quá trình thực thi diễn ra như sau khi bạn chạy file đã obfuscate:

• Python parse và thực thi bootstrap class (có tên Katakana ngẫu nhiên)
• Bootstrap class khởi tạo Anti-Debug daemon thread chạy mỗi 0.05 giây
• Giải mã payload từ Base64, decrypt bằng LFSR+Feistel, giải nén double-zlib
• Kiểm tra CRC32 tính toàn vẹn — nếu fail, thoát ngay lập tức
• Load bytecode object qua C-API PyMarshal_ReadObjectFromString
• Thực thi bytecode qua C-API PyEval_EvalCode
• Xóa sạch bộ nhớ chứa payload sau khi exec (ctypes.memset)

Kết quả thực thi hoàn toàn giống với chạy code gốc — không có sự khác biệt về output, side effects hay performance đáng kể.

File .py đầu ra bao gồm các thành phần theo thứ tự sau:

• Skull Header: Một đoạn dữ liệu binary ngẫu nhiên có hình đầu lâu (~5004 bytes), tạo "noise" làm khó phân tích ban đầu
• Bootstrap Class: Class có tên Katakana ngẫu nhiên 8 ký tự, chứa toàn bộ logic decrypt và exec
• Dynamic Matrix: Bảng mã hóa string 2D được shuffle ngẫu nhiên mỗi lần obfuscate — mọi string literal trong code đều được encode qua matrix này
• Lambda Math Key: Key 16 bytes được nhúng dưới dạng biểu thức toán học lambda 4 lớp lồng nhau thay vì hex literal — không thể tìm bằng string search
• Anti-Debug Stack: 4 hàm kiểm tra debugger (gettrace, TracerPid, IsDebuggerPresent, hook check) chạy trong daemon thread mỗi 0.05s
• Encrypted Payload: Bytecode Python được LFSR+Feistel mã hóa, double-zlib nén, CRC32 protected, Base64 encoded
• Exec Engine: Giải mã payload và exec qua C-API PyEval_EvalCode thay vì built-in exec() (khó hook hơn)

Mục tiêu của obfuscation là làm khó deobfuscate, không phải bảo mật cryptographic. Đây là sự khác biệt quan trọng:

• AES/RSA: Mạnh về mặt cryptographic nhưng khi chạy, key phải được giải mã trong memory — attacker có thể hook AES.decrypt() hoặc dump key từ memory
• LFSR+Feistel của ShadowPy: Key được implement bằng biểu thức lambda toán học 4 lớp lồng nhau — không có hex literal nào trong source để tìm bằng string search hay pattern matching

Ví dụ key 16 bytes được encode thành: (lambda ア:(lambda イ:(lambda ウ:(lambda エ:(((エ>>3)^2814)‐127)^12345)(ウ))(イ))(ア))(45678) — không thể regex tìm ra

Ngoài ra, LFSR+Feistel được implement thuần Python với struct và bitwise ops — không có fingerprint nào để nhận dạng bằng signature scanner. Với AES, bạn có thể tìm from Crypto.Cipher import AES hoặc AES S-box constants trong binary.

Câu trả lời thực tế về khả năng deobfuscate của từng tier:

Core V1 — Rất khó, tốn nhiều thời gian:

• Cần bypass Anti-Debug (hook hoặc patch code) để chạy được debugger
• Cần dump bytecode từ memory sau khi giải mã (memory forensics)
• Cần decompile bytecode ra source code (uncompyle6/decompile3)
• Kết quả sau decompile vẫn là code CFF với Katakana variables — cần thêm bước analysis
• Thực tế: 2-8 giờ cho người có kinh nghiệm reverse engineering Python

Titanium Max V2 — Cực kỳ khó, gần như không thể trong thực tế:

• Titanium Guard kiểm tra IsDebuggerPresent (Windows), TracerPid (Linux), hook scanner 64-byte, Frida/GDB/PyDevD detection
• Watchdog 0.05s: mọi cố gắng attach debugger đều bị phát hiện trong 50ms
• Hook scan trên C-API functions: bypass hook trở nên gần như không thể
• Khi phát hiện debug → Titanium Guard kích hoạt cơ chế phòng thủ ngay lập tức
• Thực tế: Cần environment cực kỳ chuyên biệt (custom kernel, hardware debugger) — ngoài tầm với của hầu hết attacker

Python 2: Không hỗ trợ và sẽ không bao giờ hỗ trợ. Python 2 đã chính thức End-of-Life từ ngày 1/1/2020. Dùng Python 2 là rủi ro bảo mật nghiêm trọng vì không còn nhận bản vá lỗi bảo mật. ShadowPy sử dụng syntax và AST nodes của Python 3 (f-strings, walrus operator, match-case...) không tương thích với Python 2.

Python 3 hỗ trợ: Python 3.7 trở lên. Tuy nhiên có một số lưu ý:

• Python 3.7-3.8: Hoạt động tốt, bytecode marshal format ổn định
• Python 3.9-3.11: Tối ưu nhất, được test kỹ nhất
• Python 3.12+: Có thể hoạt động nhưng một số thay đổi AST mới có thể gây vấn đề với CFF

Lưu ý quan trọng về bytecode compatibility: File đầu ra phải chạy trên cùng major version Python với máy tạo ra nó, vì Python bytecode format thay đổi giữa các major version. Ví dụ: obfuscate trên Python 3.10 thì file output cần chạy trên Python 3.10.

ShadowPy cần thực hiện AST (Abstract Syntax Tree) analysis và transformation trên source code, đây là bước quan trọng nhất trong quá trình CFF Flattening. Điều này chỉ có thể thực hiện với source code .py, không phải bytecode đã compile.

Tại sao không nhận .pyc?

• .pyc là bytecode đã được compile — không có AST để transform, không thể áp dụng CFF hay variable mangling
• Nếu bạn chỉ có .pyc, dùng uncompyle6 hoặc decompyle3 để decompile ra source trước
• Lưu ý: decompiled source không hoàn toàn giống source gốc, đặc biệt với code phức tạp

Tại sao không nhận .pyw?

• .pyw thực chất là .py nhưng chạy không có console window trên Windows
• Đổi đuôi từ .pyw sang .py, obfuscate, rồi đổi lại thành .pyw
• ShadowPy chỉ nhận .py để đảm bảo an toàn và nhất quán trong xử lý

File size limit 10MB: Đây là giới hạn thực tế của WebAssembly runtime trong trình duyệt. File Python lớn hơn 10MB rất hiếm và thường là sign of bad architecture (code không nên monolithic).

ShadowPy tích hợp một hệ thống quét heuristic với 15 regex pattern phát hiện các đặc trưng mã độc phổ biến nhất trong Python. Quá trình quét diễn ra hoàn toàn trong trình duyệt, trước khi obfuscation bắt đầu.

Danh sách các pattern được phát hiện:

• Reverse Shell: socket.connect() kết hợp với subprocess
• Shell Invocation: Gọi cmd.exe, /bin/sh, powershell, bash -i
• Netcat/Shell: nc, ncat, bash -i qua os.system()
• Ransomware: Kết hợp Fernet/cryptography với os.walk() và .encrypt()
• Registry Persistence: Ghi HKEY_LOCAL_MACHINE\...Run
• Process Injection: CreateRemoteThread, VirtualAllocEx, WriteProcessMemory
• Keylogger: pynput, pyxhook với on_press/on_release
• DDoS/Flood: Pattern tấn công đa luồng liên tục
• Botnet C2: Keywords botnet, c2_server, command_and_control
• Raw Packet Injection: Scapy với IP()/TCP() và send()
• Cryptominer: hashrate, stratum+tcp, mining pool URLs
• Worm Self-Replication: shutil.copy(__file__, ...) vào system paths
• Credential Theft: lsass, credential_steal, password_dump
• RCE Listener: Socket AF_INET loop với recv() và eval()
• Backdoor/RAT: Keywords backdoor, reverse_access_trojan

Quy trình xử lý vi phạm: Vi phạm lần 1 → cảnh báo chi tiết với danh sách pattern bị phát hiện, tài khoản vẫn hoạt động. Vi phạm lần 2 → tài khoản bị khóa vĩnh viễn trong localStorage, không thể tạo account mới với cùng username.

Tuyệt đối không. Đây là cam kết kỹ thuật cốt lõi của ShadowPy, không phải chỉ là lời hứa marketing.

Cách xác minh kỹ thuật (bất kỳ ai cũng có thể làm):

• Mở trình duyệt, vào ShadowPy
• Mở DevTools (F12) → Tab Network
• Nhập code Python và nhấn Obfuscate
• Quan sát tab Network: không có bất kỳ request nào chứa code Python của bạn
• Các request duy nhất là tải Pyodide từ jsDelivr (chỉ xảy ra lần đầu) và Google Fonts

Tại sao chắc chắn là không có server-side processing?

• Pyodide WebAssembly là Python runtime chạy trong browser — không cần server
• Toàn bộ engine obfuscation (Python AST, marshal, zlib...) chạy trong WASM sandbox
• File HTML của ShadowPy là static file — không có backend API endpoint nào
• Bạn có thể tải file HTML về máy và chạy offline (sau khi Pyodide đã cache) — vẫn hoạt động bình thường

Nên dùng Core V1 khi: Bạn muốn bảo vệ code khỏi người dùng thông thường, reverse engineering cơ bản, hay chỉ cần giữ IP đơn giản. V1 là đủ cho 90% use case.

Nên dùng Titanium Max V2 khi: Code có giá trị kinh tế cao, bạn lo ngại về targeted attack từ người có kỹ năng reverse engineering Python, hay cần bảo vệ tối đa trên môi trường production. V2 là lựa chọn duy nhất khi security là ưu tiên hàng đầu.

Hoàn toàn miễn phí — không có hidden cost, không credit card, không trial period.

• Core V1: Miễn phí 100%, không cần tạo tài khoản, không giới hạn số lần dùng
• Titanium Max V2: Miễn phí cho mọi tài khoản đã đăng ký — và đăng ký cũng hoàn toàn miễn phí, không cần email xác minh

Tại sao ShadowPy miễn phí? ShadowPy được phát triển như một công cụ cộng đồng dành cho các Python developer cần bảo vệ mã nguồn của họ. Chúng tôi tin rằng bảo mật không nên là đặc quyền của người có tiền. Chi phí vận hành gần như bằng 0 vì xử lý hoàn toàn client-side, không cần server infrastructure đắt tiền.

Không có kế hoạch tính phí trong tương lai gần. Nếu có thay đổi, sẽ được thông báo ít nhất 30 ngày trước.

Có, nhưng thường không đáng kể trong thực tế. Đây là phân tích chi tiết về performance impact:

Overhead khi khởi động (một lần, không lặp lại):

• Base64 decode payload: < 1ms cho file < 1MB
• LFSR+Feistel decrypt: 5-50ms tùy kích thước code
• Double-zlib decompress: 10-100ms tùy kích thước bytecode
• CRC32 verify: < 1ms
• Marshal load bytecode: < 5ms
• Tổng startup overhead: 20-150ms — không đáng kể với hầu hết ứng dụng

Overhead khi runtime (liên tục):

• Anti-Debug daemon thread: Check mỗi 0.05s, overhead cực kỳ nhỏ (< 0.1% CPU)
• Sau khi exec, code chạy với bytecode gốc — không có overhead runtime nào
• CFF flattening làm tăng số lượng bytecode instruction, nhưng Python interpreter handle rất nhanh

Kết quả benchmark thực tế: Với code tính toán nặng (pure Python), overhead thường < 5%. Với code I/O bound (file, network), overhead gần như bằng 0 (I/O dominate). Với script nhỏ, startup overhead là chủ yếu.