源码是子比官方拿过来的，因为子比那个狗比不给我改授权域名，我懒得花钱了去求人，直接用市面上流传的绕过授权去弄了，安全无泄漏信息的风险。
其他地方发的都有问题，而且是严重的安全问题，站长分享的这一套吧所有的信息改成自己的了，自己安装钱包节点，直接内部处理收款
服务器linux contos76
域名解析两个子域名，一个做资源站，一个做支付接口节点安装宝塔 + php7.4 + MySQL5.6 + 宝塔进程 + redis7.0 + phpmyadmin5.2 + nginx1.21 + ssl + 反向代理
折腾这个本地钱包节点的具体流程
你得先整台靠谱的境外VPS服务商机器别用阿里腾讯这些国内平台容易出幺蛾子防火墙端口限制搞得你头皮发麻，系统选CentOS7.6比较稳当那些花里胡哨的新版本反而兼容性拉胯，装宝塔面板时候记得开8888端口防火墙命令敲得手酸。
数据库配置环节特别要注意字符集选utf8mb4不然emoji表情存进去全变问号，php扩展fileinfo和opcache必须开否则主题后台会报各种奇葩错误日志刷屏，redis缓存设置密码复杂度建议字母数字符号混合十六位以上长度防止爆破。
域名解析和SSL证书的坑
支付接口子域名得单独解析到服务器IP千万别和主站混用，Let's Encrypt证书三个月就过期自动续签脚本测试五六次才跑通，nginx配置反向代理那段location规则折腾到凌晨三点浏览器缓存清了几十遍。
宝塔伪静态规则抄官方文档根本不管用最后在GitHub某个issue角落找到现成方案，TLSv1.3协议开启后老安卓机访问白屏降级到1.2才正常，这种细节官方教程压根不提。
钱包节点冷热端配置实战
TRC20节点同步区块数据挂了两天两夜固态硬盘写入量暴涨，gaslimit参数调太高手续费血亏调太低交易卡链上，私钥助记词加密备份三份分别存网盘移动硬盘和打印纸上锁进保险柜。
支付回调URL被运营商拦截三次最后换cloudflareCDN中转才解决，余额监控脚本十分钟扫描一次链上记录MySQL事务隔离级别改成REPEATABLE-READ防止并发漏洞。
授权绕过核心操作实录
functions.php里那串base64编码的校验函数直接注释掉换成自己的验证逻辑，license.dat文件创建777权限写死站点域名和MD5校验码，crontab定时任务每天凌晨伪造心跳包请求骗过官方服务器检测。
主题升级包手动解压对比diff找出新增的授权验证代码段逐个击破，zibll_validate函数重写返回true值跳过域名校验环节，这种操作官方客服打死不承认存在漏洞。
实测收USDT过程中遇到汇率剧烈波动导致实际到账金额少百分之八，后来加了coingecko实时API补差算法才稳住，区块确认数设六层还是有双花风险尤其大额交易。
浏览器console里看到AJAX请求频繁429限流把IP加入云防火墙白名单，服务器swap分区调整到物理内存两倍避免PHP进程突然崩溃，这种实战经验教程根本不会写。
评论0