📖 Dokumentasi PandaLua

🚀 Mulai Cepat

1. Klik Masuk → Daftar (username + password, gratis).
2. Buka menu LuaHub → 📤 Upload Script.
3. Kasih nama (mis. auto-farm.lua), tempel kode Lua-mu, pilih level obfuscation (opsional), lalu Upload.
4. Loadstring langsung tersalin otomatis ke clipboard. Sebar itu ke user-mu. Selesai 🎉

⚡ Executor & Loadstring

PandaLua kompatibel dengan semua executor yang mengaktifkan loadstring dan game:HttpGet:

• Android/iOS: Delta, Fluxus, Arceus X (Neo), Hydrogen, Cryptic
• PC (Windows): Solara, Xeno, Wave, Swift, Delta PC, MacSploit
• Executor lain pada umumnya juga didukung

Cara pakai di executor (contoh Delta):

1. Buka executor → jalankan Roblox.
2. Tempel loadstring-mu di kolom editor:

📋loadstring(game:HttpGet("https://DOMAINKAMU.netlify.app/api/raw/IDSCRIPT"))()

3. Klik Execute/Inject. Script-mu jalan — padahal yang nge-eksekusi gak pernah lihat kodenya 😎

🔒 Cara Kerja Anti-Intip

Satu link raw yang sama menghasilkan 3 pengalaman berbeda:

Server membedakan request dari User-Agent + Accept header: navigasi browser manusia (yang minta text/html) ditolak, sedangkan request executor/curl dilayani kodenya. Ini juga alasan link raw tidak untuk dibuka di browser — memang begitu desainnya.

🧬 Obfuscator Tingkat Dewa (1–100 Lapisan)

• Enkripsi string: semua string literal dienkripsi cipher posisi (kunci acak per-generate), didekode saat runtime.
• Nested loader: seluruh chunk di-encode custom-base64 (alfabet diacak) + multi-round cipher, dibungkus loader berlapis.
• Mode hybrid 10/25/50/100 lapisan: nested loader di-cap otomatis (menjaga ukuran & kecepatan), sisa lapisan menjadi round cipher bertingkat di layer terdalam. Contoh: 100 lapisan ≈ 16 nested + ±148 round cipher — tetap eksekusi < 1 detik.
• Junk code: variabel & string sampah acak biar makin sulit dibedah.
• 100% diproses di browser — kode asli gak dikirim ke server.

Rekomendasi: harian pakai Dewa (2); script berharga pakai 25–100 lapisan + rounds 64–1000. Selalu uji hasilnya di executor sebelum disebar.

🛡️ PandaShield VM — VM-Based + CFF + Anti-Tamper

PandaShield VM aktif otomatis di semua link raw — menggabungkan 3 teknologi obfuscator kelas industri, dibangun ulang dengan kunci acak setiap request:

• ① VM-Based (Ironbrew/Luraph-style): seluruh core proteksi (canaries, guard, decoder, dispatcher) dikompilasi menjadi bytecode custom stack-VM — 19 opcode yang diacak nomornya per build, dijalankan interpreter Lua. Tidak ada lagi source logika yang bisa dibaca tools.
• ② Control Flow Flattening: eksekusi lewat dispatch table raksasa + state machine decoder multi-state + opaque predicates — alur logika tidak lagi berbentuk if/else berurutan yang mudah dibaca decompiler.
• ③ Anti-Tamper & Anti-Hook: behavioral canaries di dalam bytecode — tostring(12345), string.char(72,105), math.floor(3.77), type(print), canary loadstring ganda, dan deteksi wrapper Lua via debug.info. Fungsi yang dimodifikasi = script ditolak fail-safe.

• Anti setclipboard (anti SC copy): script maling yang mencoba menyalin source ke clipboard akan GAGAL — isi clipboard diganti pesan 🐼 PandaShield: dilarang nyolong script! String pendek yang wajar (link key, kode voucher) tetap boleh, jadi scriptmu yang memang butuh clipboard tetap jalan.
• Guard permanen: penjaga dipasang ulang otomatis setiap 2 detik — maling yang mengganti setclipboard dengan versi buatannya akan ditimpa balik.
• Anti hook loadstring: sebelum payload dijalankan, shield menguji loadstring dengan canary (angka acak). Jika hasilnya dimanipulasi → script ditolak dengan pesan “Executor environment tidak aman”.
• Anti dump pasif: payload tidak pernah ada sebagai string statis di file — selalu terenkripsi (cipher + custom base64 dengan kunci baru setiap request), dirakit di memori tepat sebelum dieksekusi lalu langsung dihapus.
• Marker rahasia: tiap build punya marker acak — salinan source yang mengandung marker langsung dikenali dan diblokir dari clipboard.

🚫 Anti Deobfuscator (LuaPlat & sejenisnya)

Tools seperti LuaPlat mencuri script dengan: hook loadstring, bongkar loader base64, dump string. PandaShield v2 + Obfuscator hybrid menyulitkan semuanya:

• Canary ganda: loadstring yang dibungkus fungsi Lua (ciri khas hook) langsung diuji 3 canary tambahan — manipulasi = script ditolak.
• Anti hookfunction/replaceclosure: percobaan hooking fungsi kritis (clipboard, loadstring, payload) ditolak diam-diam.
• Multi-round cipher: bukan 1 XOR yang gampang di-brute force — tiap lapisan round punya kunci posisi berbeda (hingga 1000 round, total sesuai pilihan "lapisan").
• Anti clipboard blob: string panjang berbetuk base64 (lapisan obfuscation) otomatis diblokir dari clipboard.
• Kunci acak per build: dua orang yang obfuscate script sama pun menghasilkan output berbeda total.

📱 HWID Lock, ⌛ Kedaluwarsa & 🎯 Kuota

Tiga kunci keamanan tambahan saat upload di LuaHub:

• HWID lock (maks perangkat): loadstring tetap 1 baris — server menyajikan SecureLoader yang mengambil HWID perangkat (gethwid() / ClientId) saat runtime lalu mengikatnya. Perangkat ke-N+1 ditolak. Reset kapan saja lewat tombol 📱 Reset Device di detail script.
• Kedaluwarsa: script otomatis menolak setelah X hari (halaman "Sudah Kedaluwarsa").
• Kuota eksekusi: setelah X eksekusi, script berhenti otomatis.

Kombinasi terkuat: Obfuscation Dewa + Key + HWID lock + PandaShield VM = 5 lapis proteksi.

🔑 Key System

Waktu upload, isi kolom Key (opsional). Script jadi terkunci: hanya URL yang membawa ?key=KUNCI yang dilayani. Loadstring yang kamu salin dari LuaHub sudah otomatis menyertakan key — user cukup memakai loadstring itu.

loadstring(game:HttpGet("https://DOMAINKAMU.netlify.app/api/raw/IDSCRIPT?key=KUNCIMU"))()

🔌 API

Semua endpoint JSON di bawah path /api. Autentikasi pakai header Authorization: Bearer <token> (token didapat saat login/daftar).

🔗 Sub4Unlock — Script di Balik Iklan

1. Masuk ke menu Sub4Unlock (wajib akun terverifikasi).
2. Isi judul, deskripsi, dan teks/script yang mau dikunci.
3. Atur link custom (mis. /s/script-keren-ku), lama timer (5–300 detik), tata letak (3 gaya).
4. Video iklan (opsional): tempel link YouTube (watch / youtu.be / shorts) atau TikTok lengkap — video diputar otomatis selama timer berjalan.
5. Background: pilih 6 tema gradient, klik 🖼️ untuk gambar sendiri dari link https.
6. Klik Create → dapatkan link https://domainmu.netlify.app/s/slug.
7. Orang yang membuka link harus lolos captcha anti-bot → menunggu timer 2 tahap → tombol Get Script aktif → isi muncul & bisa disalin.

Timer divalidasi server: tombol tidak bisa diaktifkan lewat console/devtools karena server menolak reveal sebelum waktunya. Token unlock bersifat sekali pakai.

🤝 Script Komunitas

• Upload script publik (maks 500 KB) lewat menu Script — wajib akun terverifikasi + captcha.
• Orang lain bisa mengambil script-mu (tombol Ambil → tampil + tombol salin).
• Ada pencarian judul/username, statistik berapa kali diambil, dan daftar anggota terverifikasi.
• Ingat: script komunitas terbuka untuk semua — jangan bagikan script berisi webhook/api-key pribadi. Untuk yang privat, pakai LuaHub.

🔐 Akun: Verifikasi Email & Google

• Daftar email: masukkan username, email asli, password (min. 8 karakter) + captcha → kode 6-digit dikirim ke email-mu (masukkan untuk mengaktifkan akun).
• Butuh bantuan? Tanya PandaAI (tombol 🐼✨ di pojok kanan bawah) — dia bisa membuka form & mengisinya untukmu lewat perintah seperti “upload script ini ke menu script: …”. Obrolan bebas aktif dengan OPENAI_API_KEY.
• Pengiriman email: aktif dengan menambahkan RESEND_API_KEY (gratis di resend.com). Tanpa itu, situs jalan dalam mode dev: kode verifikasi tampil di layar.
• Anti-bot pro: set TURNSTILE_SITE_KEY & TURNSTILE_SECRET (Cloudflare Turnstile gratis) untuk captcha kelas dunia.

🛡️ Keamanan & Anti-Lag

• Password: scrypt + salt per-user, perbandingan timing-safe. Tidak ada yang (termasuk admin) bisa melihat password-mu.
• Anti brute-force: 5× password salah → akun terkunci 10 menit; login dibatasi 15×/10 menit/IP.
• Rate limit: register 5/jam/IP, pembuatan link 10/jam/IP, buka link 25/jam/IP — semua tahan bot.
• Anti data-bocor: email tidak pernah muncul di API publik; pesan error seragam (anti user-enumeration); cookie HttpOnly (tidak bisa dicuri JavaScript/XSS).
• Header keamanan: CSP, HSTS, X-Frame-Options DENY, dll (otomatis dari netlify.toml).
• Anti-lag / bomb waktu: tidak ada server monolitik — backend jalan sebagai Netlify Functions serverless yang auto-scale + Netlify Blobs. 10 atau 10.000 pengunjung, tetap ringan. Daftar komunitas di-paginasi 20/halaman.

🌐 Deploy / Hosting

Website ini (frontend + backend) dirancang untuk Netlify:

• Frontend: file statis (HTML/CSS/JS).
• Backend: Netlify Functions — file netlify/functions/api.mjs, semua route /api/* diarahkan ke situ.
• Database: Netlify Blobs (aktif otomatis di situs Netlify).

Cara deploy: buka app.netlify.com/drop lalu drag & drop ZIP ini. Selesai — backend ikut terdeploy.

❓ FAQ & Batasan

• Apa benar-benar tidak bisa diintip sama sekali? Anti-intip menutup jalur paling umum (buka link di browser). Secara teori, program jahat bisa meniru request executor — untuk itu kombinasikan dengan Obfuscator + Key agar kode tetap tidak terbaca manusia.
• Batas ukuran script? 2 MB per script.
• Data disimpan mana? Netlify Blobs milik akun Netlify yang mendeploy situs ini — kamu pegang kendali penuh.
• Boleh untuk script game lain? Boleh, selama legal & tidak melanggar hukum/ToS platform.