python的exe反编译

目录

• python的exe反编译
  • 方法1、使用archive_viewer.py提取pyc
  • 方法2、使用pyinstxtractor.py提取pyc

python的exe反编译

驱动人生样本为python打包的exe文件，尝试反编译为py文件。

使用pyinstxtractor.py生成pyc文件。

实际尝试发现，直接反编译会报错

看到前面利用pyinstxtractor.py反编译的错误里有个提示“not a pyinstaller archive”，而用来提取的py脚本叫archive_viewer.py（使用archive_viewer.py要安装PyInstaller，经过pip install pyinstaller便可安装）

方法1、使用archive_viewer.py提取pyc

archive_viewer.py命令

#这里是archive_viewer.py可使用的命令，这里咱们用“X”提取文件
    U: go Up one level
    O <name>: open embedded archive name
    X <name>: extract name
    Q: quit

因为用PyInstaller打包后，pyc文件的前8个字节会被抹掉，因此最后要本身添加回去。

前四个字节为python编译的版本，后四个字节为时间戳。（四个字节的magic number、四个字节的timestamp）

想要得到编译版本能够查看打包文件里struct的信息，so这里仍是提取出struct这个文件

用16进制编辑器打开struct文件，复制其前8个字节

添加到ii.pyc中

而后使用工具反编译pyc便可获得py。

**可用uncompyle *.pyc反编译pyc文件获得py**

方法2、使用pyinstxtractor.py提取pyc

直接使用pyinstxtractor.py去提取exe文件中的pyc会报错，须要去掉签名信息后再使用pyinstxtractor.py解开

首先去掉exe文件的签名

查看pyinstaller源码得知，PyInstaller首先会经过读取程序最后的数据进行识别，若是是符合格式的才会进行解析（c/Program Files/Python/Python37/Lib/site-packages/PyInstaller/archive/reader.py）

MAGIC是文件末尾开始识别的地方。

pyinstaller2.0是包括MAGIC在内的24个字节长度

pyinstaller2.1是包括MAGIC在内的88个字节长度

\014\013\012\013\016 是8进制，可转换为16进制查看

使用16进制编辑器打开svchost.exe，从最后向前搜索MEI，找到匹配MAGIC的整个结构。

从MEI开始，选中向后88个字节长度为止，剩下后面部分全都删掉（删除格式以后的数据）。

而后就完成了去签名。

最后直接用pyinstxtractor.py提取便可。这里也须要和以前同样修复头部数据，方法和上面同样。