Python 逆向：PyInstaller 反编译实战指南

执行成功后，会在当前目录创建一个以"_extracted"结尾的文件夹，其中包含所有提取的文件和资源。

💡 小贴士：如果遇到提取失败，检查文件是否完整，或尝试使用--unpack 选项强制解压。

第二步：修复字节码文件

提取出的.pyc 文件可能需要修复头部信息才能被反编译器识别：

# 修复 Python 3.7 及以上版本的 pyc 文件
python -m uncompyle6 --verify target_extracted/main.pyc

第三步：反编译为源代码

使用 uncompyle6 将.pyc 文件转换为可读的.py 源代码：

uncompyle6 -o extracted_source/ target_extracted/*.pyc # 批量反编译

场景应用：从代码恢复到恶意软件分析

代码恢复实战案例

假设你需要恢复一个名为"old_project.exe"的程序源代码：

1. 提取文件：

python pyinstxtractor.py old_project.exe

2. 进入提取目录：

cd old_project.exe_extracted

3. 反编译主程序：

uncompyle6 main.pyc > main.py

4. 批量反编译所有模块：

for file in $(find . -name "*.pyc"); do uncompyle6 $file > ${file%.pyc}.py; done

💡 专家建议：反编译后建议使用代码格式化工具（如 black）美化代码，提高可读性。

恶意软件分析案例

分析可疑的 Python 可执行文件时，反编译流程略有不同：

1. 在隔离环境中提取文件：

python pyinstxtractor.py suspicious.exe

2. 检查提取出的文件结构，特别注意：
   • 是否有异常的网络请求代码
   • 是否包含敏感信息收集功能
   • 是否有文件系统操作
3. 使用字符串分析工具快速定位可疑代码：

grep -r "http://" suspicious.exe_extracted/ # 查找网络请求
grep -r "os.remove" suspicious.exe_extracted/ # 查找文件删除操作

⚠️ 安全警告：分析未知可执行文件时，务必在隔离环境中进行，避免恶意代码执行。

问题解决：常见反编译难题攻克

密码破解实战

遇到加密的 PyInstaller 打包文件怎么办？

1. 首先尝试使用 pyinstxtractor 提取：

python pyinstxtractor.py encrypted.exe

2. 如果提示加密，尝试查找加密密钥：

grep -r "key" encrypted.exe_extracted/ # 搜索可能的密钥

3. 使用找到的密钥解密：

# decrypt_pyz.py
import zlib
import marshal

key = b"found_key" # 替换为找到的密钥
with open("out00-PYZ.pyz", "rb") as f:
    data = f.read()
decrypted = zlib.decompress(data)
with open("decrypted.pyz", "wb") as f:
    f.write(decrypted)

字节码修复指南

当反编译器提示"invalid pyc header"错误时，需要手动修复字节码：

# fix_pyc_header.py
import struct

def fix_pyc_header(pyc_path, python_version=(3, 8)):
    with open(pyc_path, "r+b") as f:
        # Python 3.7+使用 4 字节 magic + 4 字节 bitfield + 8 字节 hash
        if python_version >= (3, 7):
            header = struct.pack(">4s4s8s", b'\x42\x0d\x0d\x0a', b'\x00\x00\x00\x00', b'\x00'*8)
        else:
            # 旧版本使用 4 字节 magic + 4 字节时间戳 + 4 字节大小
            header = struct.pack(">4sII", b'\x42\x0d\x0d\x0a', 0, 0)
        f.seek(0)
        f.write(header)

fix_pyc_header("broken.pyc")

进阶技巧：跨平台适配与工具集成

跨平台适配技巧

在不同操作系统间迁移反编译项目时，注意以下几点：

1. 路径处理：Windows 使用反斜杠"\"，而 Linux/macOS 使用正斜杠"/"，建议使用 Python 的 os.path 模块处理路径：

import os
path = os.path.join("extracted", "subdir", "file.pyc")

2. 行结束符：Windows 使用 CRLF，而 Unix 系统使用 LF，可使用 dos2unix 工具统一：

dos2unix extracted_source/*.py # 将 Windows 行结束符转换为 Unix 格式

3. 可执行权限：在 Linux/macOS 上，可能需要添加可执行权限：

chmod +x extracted_source/run.sh

反编译工具对比分析

💡 小贴士：对于复杂项目，建议尝试多种反编译工具，比较结果以获得最佳代码。

PyInstaller 打包原理揭秘

PyInstaller 打包过程主要包括以下步骤：

1. 分析依赖：扫描脚本，找出所有依赖模块和资源文件
2. 创建引导程序：生成一个小型可执行文件作为引导
3. 打包代码：将 Python 字节码和依赖文件打包成 PYZ 归档
4. 合并文件：将引导程序、PYZ 归档和运行时库合并为单个可执行文件

反编译的本质就是逆向这个过程：提取 PYZ 归档、恢复字节码、修复头部信息、反编译为源代码。

PyInstaller 使用的归档格式有两种：

• CArchive：存储引导程序和运行时数据
• PYZ：压缩的 Python 模块归档，可能加密

理解这些原理有助于解决复杂的反编译问题。

重要注意事项

⚠️ 法律风险提示：反编译可能涉及软件版权问题，请确保你拥有目标程序的合法访问权限，或该程序已开源。未经授权的反编译可能违反软件许可协议或法律法规。

⚠️ 数据安全警告：反编译过程中可能接触到敏感信息，包括 API 密钥、密码等。处理这些信息时需遵守数据保护法规。

💡 最佳实践：始终在非生产环境中进行反编译操作，对反编译结果进行彻底检查后再用于生产环境。

通过本文的学习，你已经掌握了 PyInstaller 反编译的核心技术和实战技巧。无论是代码恢复还是安全分析，这些知识都将成为你的有力工具。记住，技术本身是中性的，关键在于如何合法、道德地使用它。

祝你在 Python 逆向的探索之路上越走越远！