**使用 pyinstxtractor.py 对 PyInstaller 打包的 exe 文件进行反编译分析** pyinstxtractor.py 是一款专门用于解包 PyInstaller 生成的 exe 文件的 Python 脚本。其核心原理是解析 PyInstaller 打包时生成的特定数据结构（如 PYZ 归档、PYC 字节码文件等），并将这些资源提取出来，为后续的逆向分析（如反编译为 Python 源码）提供基础。以下是详细的操作步骤、关键问题处理及实战分析。 ### **一、 核心工具与环境准备** 首先，你需要获取 `pyinstxtractor.py` 脚本。一个可靠的下载地址是 SourceForge 上的项目页面 [ref_1]。 ```bash # 下载 pyinstxtractor.py wget https://nchc.dl.sourceforge.net/project/pyinstallerextractor/dist/pyinstxtractor.py ``` 确保你的系统中已安装 Python 环境。该工具兼容 Python 2 和 Python 3。 ### **二、 标准解包流程** 解包过程主要分为两步：提取文件和修复字节码。 #### **步骤 1：执行解包** 将 `pyinstxtractor.py` 脚本与待分析的 `target.exe` 文件置于同一目录下，然后运行： ```bash python pyinstxtractor.py target.exe ``` 执行成功后，会在当前目录生成一个名为 `target.exe_extracted` 的文件夹 [ref_1][ref_2]。 #### **步骤 2：定位关键文件** 进入解包后的文件夹，你需要寻找并处理以下两类核心文件： 1. **主脚本的 PYC 文件**：通常名称与你的原始脚本名相关（例如 `main.pyc`），或是一个没有扩展名的同名文件（如 `target`）[ref_2][ref_6]。 2. **PYZ 归档**：一个名为 `PYZ-00.pyz` 的文件，其中包含了程序依赖的所有库文件的字节码 [ref_2]。 ### **三、 PYC 文件修复与反编译** 从 PyInstaller 打包的 exe 中提取出的 `.pyc` 文件缺少标准的文件头（Magic Number 和 Timestamp），无法被反编译工具直接识别，必须进行修复。 #### **1. 修复 PYC 文件头** 你需要从解包文件夹中找到任意一个来自 Python 标准库的、完整的 `.pyc` 文件（例如 `struct.pyc`），将其文件头复制到你的主脚本 `.pyc` 文件的前 16 个字节 [ref_2][ref_6]。 以下是一个自动完成此修复过程的 Python 脚本示例： ```python # repair_pyc_header.py # 功能：从标准库pyc文件复制16字节文件头到目标pyc文件 [ref_2][ref_6] import sys import os def repair_pyc_header(standard_pyc_path, broken_pyc_path, output_path): """ 修复pyc文件头 :param standard_pyc_path: 完整的标准库pyc文件路径 :param broken_pyc_path: 缺失文件头的目标pyc路径 :param output_path: 修复后的输出路径 """ try: # 读取标准库pyc的前16字节（文件头） with open(standard_pyc_path, 'rb') as f: header = f.read(16) # 读取目标pyc的内容（从第0字节开始，因为它没有有效文件头） with open(broken_pyc_path, 'rb') as f: data = f.read() # 拼接并写入新文件 with open(output_path, 'wb') as f: f.write(header + data) print(f"[+] 文件头修复成功！输出文件: {output_path}") except FileNotFoundError as e: print(f"[-] 文件未找到: {e}") except Exception as e: print(f"[-] 修复过程中发生错误: {e}") if __name__ == "__main__": # 示例用法：假设在解包文件夹中 std_lib_pyc = "./target.exe_extracted/struct.pyc" # 完整的库文件 [ref_2] target_pyc = "./target.exe_extracted/target" # 无头的主程序文件 output_pyc = "./target_repaired.pyc" repair_pyc_header(std_lib_pyc, target_pyc, output_pyc) ``` #### **2. 反编译 PYC 为 Python 源码** 修复文件头后，即可使用反编译工具将 `.pyc` 转换为可读的 `.py` 源码。推荐使用 `uncompyle6`。 ```bash # 安装 uncompyle6 pip install uncompyle6 # 反编译修复后的 pyc 文件 uncompyle6 -o ./decompiled_source.py ./target_repaired.pyc ``` 反编译成功后，你将在 `decompiled_source.py` 中看到程序的 Python 源代码，从而可以进行逻辑分析、查找漏洞或 flag（在 CTF 中常见）[ref_5][ref_6]。 ### **四、 处理 PYZ 归档文件** `PYZ-00.pyz` 是一个 ZIP 格式的归档文件，包含了程序导入的所有第三方库和模块的字节码。你可以使用标准 `zipfile` 模块或命令行解压它。 ```python # extract_pyz.py # 功能：解压 PYZ 归档以分析依赖库 [ref_2] import zipfile import os pyz_path = './target.exe_extracted/PYZ-00.pyz' extract_dir = './pyz_extracted/' os.makedirs(extract_dir, exist_ok=True) with zipfile.ZipFile(pyz_path, 'r') as zf: zf.extractall(extract_dir) print(f"[+] PYZ 归档已解压至: {extract_dir}") ``` 解压后，你同样需要为其中的 `.pyc` 文件修复文件头后才能进行反编译。 ### **五、 常见问题与进阶处理** | 问题场景 | 表现与原因 | 解决方案 | | :--- | :--- | :--- | | **版本不匹配** | 解包时提示“Unsupported PyInstaller version”或反编译失败。 | 确保使用的 `pyinstxtractor.py` 版本较新。可尝试从官方仓库获取最新版，或根据错误信息手动修改脚本中的版本检测逻辑 [ref_6]。 | | **文件混淆/加密** | 关键 `.pyc` 文件被混淆或 `PYZ` 归档被加密。 | 1. **搜索内存字符串**：程序运行时，解密后的代码可能存在于内存中。可使用调试器（如 x64dbg）或内存转储工具进行分析 [ref_4]。<br>2. **查找解密密钥**：分析程序初始化部分或导入的模块，密钥可能硬编码在某处。 | | **反编译工具报错** | `uncompyle6` 提示语法错误或版本不支持。 | 1. 确认 Python 版本匹配。使用 `python -m py_compile` 生成对应版本的 `.pyc` 以获取正确的文件头。<br>2. 尝试其他反编译工具，如 `decompyle3`（适用于 Python 3.7+）。 | | **无标准库 pyc 参考** | 解包文件夹中找不到完整的 `struct.pyc` 等文件。 | 从本地 Python 安装目录的 `__pycache__` 中复制一个同版本的标准库 `.pyc` 文件，或使用 `python -m py_compile` 编译一个简单脚本来获取标准文件头。 | ### **六、 实战分析案例：CTF 逆向题解** 在 CTF 逆向题目中，常会遇到经过 PyInstaller 打包并隐藏 flag 的程序。以一道名为“树木的小秘密”的题目为例 [ref_1][ref_5]： 1. **解包**：使用 `pyinstxtractor.py` 解压题目 `exe`，在生成的文件夹中发现一个无扩展名的可疑文件。 2. **修复与反编译**：使用上述方法修复该文件的 pyc 头并反编译，或在十六进制编辑器中直接查看其内容。 3. **分析**：在反编译出的源码或文件原始字节中，发现了一段经过 Base64 编码的字符串。 4. **解密**：对字符串进行 Base64 解码，即得到 flag：`flag{my_name_is_shumu}` [ref_1]。 此案例清晰地展示了从解包到分析、解码的完整逆向流程。对于更复杂的题目，源码中可能包含自定义的加密函数，需要进一步编写解密脚本（例如，在分析加密函数后，将编码操作改为解码并执行逆序等操作）[ref_3]。