Quantum Enclave Engine v4.2

Neural FinTech & License Synthesizer

Menguji CSS3 variabel dinamis, animasi Canvas 60FPS, WeakMap closure, serta ketahanan terhadap inspeksi DevTools.

ENTROPY: 99.94% STREAM: ACTIVE
SIGNATURE: Menunggu kalkulasi...
ESTIMASI YIELD: -
Live Self-Hack Scanner

Audit Celah Developer Tools

Klik tombol di bawah untuk mensimulasikan serangan yang dilakukan reverse engineer dari Console / Elements DevTools:

4. Evaluasi Celah & Saran Penguatan Packer Mengapa packer di atas bisa dibongkar dengan cepat lewat analisis statis, dan bagaimana cara menutup celahnya? Titik Chokepoint pada JSON.parse dan new Function: Sekuat apa pun obfuskasi pada dekriptor _0x50e7ee, seluruh hasil dekripsi bermuara pada satu baris:var _0x4f5aaa = JSON.parse(_0x3956ca); Di browser, seseorang cukup menjalankan script override sederhana melalui ekstensi atau DevTools Snippets sebelum halaman dimuat (const orig = JSON.parse; JSON.parse = (s) => { console.dir(orig(s)); return orig(s); };) untuk mendapatkan seluruh objek { c, h, j } tanpa perlu membaca logika cipher sama sekali. Solusi: Hindari menyimpan payload dalam satu bundel JSON utuh. Pecah struktur DOM dan bytecode ke dalam format biner kustom (DataView / ArrayBuffer) yang langsung membangun node DOM secara bertahap tanpa melewati JSON.parse. Kunci Dekripsi Statis di Dalam File (Self-Contained Key): Karena array kunci arr1 (16 byte) dan urutan opcode arr2 ([17, 99, 133, 71]) tertanam langsung di pemanggilan _0x50e7ee(...), skrip Python eksternal dapat langsung meniru loop dekripsinya di luar browser. Solusi: Jika aplikasi ditujukan untuk lisensi terbatas, turunkan kunci dekripsi (arr1) menggunakan Web Crypto API (SubtleCrypto PBKDF2 / HKDF) dari passphrase atau token lisensi yang diinput pengguna, sehingga tanpa kunci lisensi yang valid, payload tidak dapat didekripsi secara statis. Pindahkan Logika Hash Sensitif (_0x2b22df) ke WebAssembly (WASM): Konstanta Uint32Array([0x9e3779b9, 0x85ebca6b, 0xc2b2ae35, 0x27d4eb2f]) dan rumus kalkulasi di dalam j[2] masih berupa teks JavaScript setelah didekompresi. Mengompilasi fungsi computeQuantumSignature ke biner WASM yang di-injeksi sebagai Uint8Array akan memaksa reverse engineer melakukan dekompilasi instruksi stack WASM, bukan sekadar mendekode string array JS. Ingin saya buatkan skrip Python otomatis untuk mengemas atau membongkar format packer ini? Yes intinya saya maunya obfuscator berupa web app yg mudah saya deploy Saya akan membuatkan aplikasi web QuantumPacker Studio dalam satu file HTML mandiri (zero-dependency backend) yang siap langsung Anda deploy ke layanan hosting statis mana pun (seperti Cloudflare Pages, Vercel, Netlify Drop, atau GitHub Pages). Aplikasi ini mengimplementasikan seluruh teknik proteksi dari contoh Anda sebelumnya sekaligus menutup celah JSON.parse yang kita bahas tadi dengan menggantinya menggunakan protokol biner ArrayBuffer / DataView. QuantumPacker Studio — HTML Enclave Obfuscator Ringkasan Fitur QuantumPacker Studio v5.0 yang Siap Anda Deploy: 100% Tanpa Server (Zero-Backend Static Web App): Seluruh proses kompilasi, kompresi CompressionStream('deflate-raw'), enkripsi WebCrypto, dan pembentukan loader berjalan murni di browser. Anda cukup mengunggah file index.html ini ke Netlify Drop, Cloudflare Pages, Vercel, atau GitHub Pages. Protokol Biner DataView (Menutup Celah JSON.parse): Tidak seperti versi sebelumnya yang mudah di-intercept dengan membajak JSON.parse, aplikasi ini mengemas CSS, HTML, dan JS ke dalam binary frame (Uint8Array + DataView) sehingga hook pada JSON.parse tidak mendapatkan apa-apa. Opsi Kunci Lisensi Militer (PBKDF2 + AES-256-GCM): Jika Anda mengisi kolom Kunci Lisensi / Passphrase, payload akan dienkripsi menggunakan AES-256-GCM. Sekalipun reverse engineer membongkar algoritma loader-nya dengan Python, mereka tetap tidak bisa mendekripsi isi aplikasi tanpa mengetahui passphrase tersebut. Live Enclave Sandbox: Anda bisa langsung menekan tombol "Uji Hasil di Sandbox" di pojok kanan atas untuk mencoba hasil file HTML yang sudah di-obfuskasi beserta Live Self-Hack Scanner-nya secara langsung. Ingin menambahkan fitur watermark domain-lock agar file HTML hasil obfuskasi hanya bisa dibuka di domain milik Anda? Yes Opsi Kunci Lisensi Militer (PBKDF2 + AES-256-GCM): Jika Anda mengisi kolom Kunci Lisensi / Passphrase, payload akan dienkripsi menggunakan AES-256-GCM. Sekalipun reverse engineer membongkar algoritma loader-nya dengan Python, mereka tetap tidak bisa mendekripsi isi aplikasi tanpa mengetahui passphrase tersebut. saya blm ngerti yg ini. kunci dipasang dmn? apakah pada mesin obfus bisa kita tanam kunci agar tdk repot Pada skema PBKDF2 + AES-256-GCM, kunci sengaja tidak ikut disimpan di dalam file HTML hasil obfuskasi. Saat Anda mengetik passphrase di mesin obfuscator, passphrase tersebut hanya dipakai untuk mengenkripsi payload, lalu dibuang setelah file HTML selesai dibuat. Mengapa Kunci Tidak Boleh Ditanam Langsung di Dalam Kode (Hardcoded)? Jika mesin obfuscator menanam kuncinya langsung di dalam file HTML (misalnya const key = "rahasia123"), itu ibarat mengunci brankas dengan gembok baja militer, tetapi menempelkan anak kuncinya di pintu brankas. Itulah persisnya kelemahan pada kode QuantumVault pertama yang Anda kirimkan tadi: kode tersebut sudah memiliki enkripsi berlapis, tetapi karena array kunci 16-byte [179, 43, 75, ...] ditanam langsung di bagian bawah skrip, skrip Python saya bisa langsung mengambil angka-angka kunci tersebut dari dalam kode dan membongkarnya dalam 2 detik tanpa perlu menebak apa pun. Solusi: Cara "Menanam" Kunci Agar Tidak Repot (Tanpa Input Password Manual) Agar pengguna tidak perlu repot mengetik password setiap kali membuka aplikasi, namun kuncinya juga tidak tertulis di dalam kode sumber HTML, Anda bisa mengubah mesin obfuscator agar mengambil kunci secara otomatis dari lingkungan eksekusi (environment). Berikut adalah 4 metode paling praktis beserta tingkat keamanannya: Metode Penanaman Kunci Di Mana Kunci Disimpan? Perlu Ketik Password? Ketahanan terhadap De-obfuskasi (Python / Inspect) 1. Tanam di Kode (Hardcoded) Tertulis di dalam variabel JS Tidak perlu Rendah — Kunci langsung terlihat jika loader dibedah dengan skrip. 2. Domain-Bound Key (location.hostname) Menggunakan nama domain tempat web di-hosting Tidak perlu (Otomatis) Tinggi — Kunci tidak tertulis di kode. Jika file di-download dan dibuka di localhost, dekripsi gagal otomatis. 3. URL Fragment Key (#kunci di Link) Di ujung URL (app.html#KunciRahasia) lalu dihapus otomatis Tidak perlu (Cukup klik link) Sangat Tinggi — File HTML 100% buta terhadap kunci. Tanpa link lengkap, file HTML tidak bisa dibuka sama sekali. 4. Edge / Worker Key (Cloudflare Worker) Dikirim lewat endpoint/header saat origin valid Tidak perlu (Otomatis) Maksimal — Kunci berada di luar file HTML dan hanya diberikan jika diakses dari domain resmi. Cara Kerja 3 Mode Otomatis (Tanpa Repot) di Mesin Obfuscator Anda bisa menanam logika Auto-Key berikut ke dalam mesin obfuscator sehingga aplikasi langsung terbuka tanpa pop-up password: 1. Mode Domain-Bound Key (Paling Praktis untuk Deploy Statis) Saat meng-obfuskasi kode di mesin obfuscator, Anda cukup memasukkan nama domain target (misalnya app.domainanda.id) sebagai kunci enkripsi AES-256-GCM. Di dalam file HTML hasil obfuskasi, loader tidak menyimpan teks "app.domainanda.id", melainkan memanggil: JavaScript // Loader mengambil nama domain aktif sebagai kunci dekripsi AES-256-GCM const autoKey = window.location.hostname.trim().toLowerCase(); Efeknya: Saat dibuka di [https://app.domainanda.id](https://app.domainanda.id), window.location.hostname otomatis menghasilkan string yang tepat dan aplikasi langsung terbuka tanpa menanyakan password. Namun, jika seseorang mencuri file HTML Anda (Ctrl+S atau scraping) dan mencoba membukanya di komputer mereka (file:// atau localhost), nilai location.hostname akan salah dan dekripsi AES-256-GCM langsung gagal (OperationError). 2. Mode Self-Erasing URL Hash (#key) Jika Anda ingin membagikan file ke klien atau tim internal tanpa bergantung pada satu domain, mesin obfuscator mengenkripsi file dengan kunci pendek (misalnya QV99X), lalu memberikan Anda link siap pakai: [https://domainanda.id/app.html#QV99X](https://domainanda.id/app.html#QV99X). Begitu halaman dibuka, loader mengambil kunci dari URL dan langsung menghapus jejaknya dari address bar browser: JavaScript // 1. Ambil kunci otomatis dari URL hash (#...) atau dari cache localStorage let autoKey = window.location.hash.slice(1) || localStorage.getItem('_qv_lic'); if (autoKey) { // 2. Simpan ke localStorage agar kunjungan berikutnya tidak butuh #hash lagi localStorage.setItem('_qv_lic', autoKey); // 3. Hapus #hash dari address bar secara instan agar tidak terlihat history.replaceState(null, '', window.location.pathname + window.location.search); } Efeknya: Pengguna cukup mengklik link satu kali, hash di address bar langsung hilang dalam 1 milidetik, dan untuk kunjungan selanjutnya mereka cukup membuka [https://domainanda.id/app.html](https://domainanda.id/app.html) biasa karena kuncinya sudah tersimpan di localStorage browser mereka. 3. Mode Preset Key di Mesin Obfuscator (Kunci Bawaan Studio) Jika yang Anda maksud dengan "tanam kunci di mesin obfus agar tidak repot" adalah agar Anda sebagai pemilik mesin obfuscator tidak perlu mengetik ulang passphrase atau nama domain setiap kali meng-compile kode, kita bisa menambahkan fitur Master Preset / Auto-Bind di dalam aplikasi QuantumPacker Studio: Mesin obfuscator memiliki daftar Preset Kunci / Domain Anda yang tersimpan otomatis. Saat Anda menekan tombol Compile, mesin obfuscator otomatis mengunci payload menggunakan kombinasi Domain Target (location.hostname) + Secret Salt tanpa perlu Anda ketik manual. Di sisi pengunjung web, aplikasi tetap langsung terbuka 100% otomatis tanpa prompt password selama dibuka di domain Anda. gini. saya punya domain danial.my.id yg under github page dan semua deployan mau saya masukkan di folder2 sebuah repo saya bernama tatadada. misal danial.my.id/obfus/index.html (saya akan simpan spaf dgn nama index.html dgn nama app opfus. polanya akan gitu terus) kunci domain agar selalu under domain.my.id aja . script kalau ditemukan dalam github pun akan useless Your HTML file is ready HTML icon index HTML File index.html di atas adalah aplikasi web QuantumPacker Studio (Domain-Bound Edition) yang sudah dikonfigurasi khusus untuk struktur repositori tatadada dan domain danial.my.id. Anda bisa langsung menaruh file tersebut di folder /obfus/index.html pada repositori GitHub Anda sehingga dapat diakses melalui [https://danial.my.id/obfus/](https://danial.my.id/obfus/). 1. Bagaimana Cara Kerja "Kunci Domain Tanpa Repot" Ini? Berbeda dengan domain lock biasa yang hanya memakai pengecekan if (location.hostname !== 'danial.my.id') (yang sangat mudah diakali dengan menghapus baris if-nya), mesin obfuscator ini menggunakan nama domain sebagai kunci dekripsi kriptografi (AES-256-GCM + PBKDF2): Saat Anda Klik "Compile & Kunci ke Domain" di Studio: Mesin mengambil teks danial.my.id dari kolom input, menggabungkannya dengan random 32-bit split pepper, lalu menurunkan kunci enkripsi AES-256-GCM melalui PBKDF2 (100.000 iterasi SHA-256). Seluruh kode aplikasi Anda (CSS, HTML, JS) dikemas ke format biner DataView (tanpa JSON.parse), dikompresi dengan deflate-raw, dienkripsi dengan AES-256-GCM, lalu dilapisi lagi dengan Rolling Byte-Cipher dan RC4 String Table. Penting: Teks "danial.my.id" dibuang dan tidak pernah ditulis di dalam file index.html hasil obfuskasi. Saat Pengunjung Membuka [https://danial.my.id/nama-app/](https://danial.my.id/nama-app/): Loader membaca location.hostname secara otomatis dari browser pengunjung: JavaScript location.hostname.trim().toLowerCase().replace(/^www\./, '').split('.').slice(-3).join('.') Ekspresi di atas otomatis mengambil 3 segmen terakhir (danial.my.id), sehingga baik dibuka di danial.my.id/obfus/, www.danial.my.id/app2/, maupun subdomain app.danial.my.id, kuncinya selalu cocok 100% otomatis tanpa perlu ketik password. Saat Script Ditemukan / Di-Clone dari GitHub (tatadada): Jika seseorang mengunduh index.html dari repo GitHub Anda lalu membukanya di komputer mereka (file:// atau localhost), atau melakukan fork ke username.github.io/tatadada/, nilai location.hostname akan berisi "", "localhost", atau "github.io". Ketika nilai tersebut dimasukkan ke PBKDF2 -> AES-256-GCM, kunci yang dihasilkan salah secara matematis. WebCrypto API langsung melempar OperationError (gagal autentikasi GCM Tag) dan layar hanya menampilkan pesan 🔒 ENCLAVE LOCKED. Mau dibuka di folder mana pun di dalam danial.my.id (/app1/index.html, /simulasi/index.html, /obfus/index.html), file tetap langsung jalan tanpa perlu mengubah pengaturan apa pun. 2. Alur Deploy ke Repo tatadada (danial.my.id/obfus/index.html) Agar mesin obfuscator Anda di /obfus/index.html juga ikut terlindungi saat berada di dalam repositori publik GitHub: Buka file index.html yang baru Anda unduh di browser. Klik tombol "Obfus App Ini" di bagian atas panel kiri (tombol ini akan menyalin seluruh kode sumber QuantumPacker Studio sendiri ke kolom input). Pastikan opsi "Mode Preview Sandbox / Localhost (Dev)" dalam keadaan Tidak Dicentang (Mati), lalu klik 🔒 Compile & Kunci ke Domain. Klik 💾 Download index.html, lalu upload / push hasil download tersebut ke tatadada/obfus/index.html. Hasilnya: Aplikasi obfuscator Anda di [https://danial.my.id/obfus/](https://danial.my.id/obfus/) tampil dan berfungsi normal, tetapi jika orang lain membuka kode sumber tatadada/obfus/index.html di GitHub, isinya sudah terenkripsi penuh dan tidak bisa dijalankan di luar danial.my.id. 3. Catatan Keamanan Transparan untuk Repo GitHub Publik Terhadap pencuri kode, scraper, forker, dan pengguna Inspect Element: Skema ini 100% membuat file tidak berguna di luar danial.my.id karena tidak ada branch if/else yang bisa di-bypass dan tidak ada kunci plaintext di dalam script. Terhadap reverse engineer tingkat lanjut yang mengintip file CNAME di repo publik Anda: Karena GitHub Pages menyimpan file CNAME berisi danial.my.id di repositori, reverse engineer yang membedah loader RC4 sampai tuntas bisa menebak bahwa nilai location.hostname yang diharapkan adalah danial.my.id (misalnya dengan mengedit file /etc/hosts di komputer mereka). Cara Menutup Celah /etc/hosts (Jika Suatu Saat Dibutuhkan): Karena Anda juga sering menggunakan Cloudflare Workers, untuk proyek yang sangat rahasia kita bisa memindahkan 16-byte salt atau pepper-nya ke endpoint Worker Anda yang memvalidasi header Origin: [https://danial.my.id](https://danial.my.id). Ingin saya buatkan opsi pengunci tambahan via Cloudflare Worker untuk aplikasi yang sifatnya sangat rahasia? Yes Gemini is AI and can make mistakes. Understanding user's website deployment needs QuantumPacker Studio — Domain-Bound Obfuscator (danial.my.id)
QP

QuantumPacker Studio v5.3 — Domain-Bound Edition

Single-File HTML Enclave Compiler • Pre-configured untuk danial.my.id (Repo: tatadada)

AES-256-GCM + PBKDF2 RC4 String Table + Hex Math Binary DataView (No JSON.parse)
1. Input Source HTML (SPA / App)
2. Konfigurasi Kunci Domain
Teks danial.my.id TIDAK pernah disimpan di dalam file output. Saat halaman dibuka, loader mengekstrak root domain dari location.hostname untuk menurunkan kunci dekripsi AES-256-GCM. Dibuka lewat github.com, tatadada.github.io, atau localhost = gagal dekripsi otomatis.
STATUS: Siap melakukan kompilasi.
Target: *.danial.my.id (Strict AES-256-GCM)
3. Output index.html (Siap Push ke tatadada)
Live Enclave Sandbox Preview
Displaying index.html.