一条命令解密 PyInstaller 打包 exePyInstaller 逆向分析入门与 PyInstxtractor 使用教程【免费下载链接】pyinstxtractorPyInstaller Extractor项目地址: https://gitcode.com/gh_mirrors/py/pyinstxtractor朋友公司的安全审计卡在了一个棘手的环节外包交付的十几款 Windows 小工具全是 PyInstaller 打包的 exe验收方需要确认程序里到底执行了什么逻辑可源码一份都没留下。我接过其中一个文件只用一个几百行的单文件脚本PyInstxtractorPyInstaller Extractor就把藏在 exe 里的全部 Python 字节码完整捞了出来。所谓PyInstaller 逆向分析很多时候缺的只是一个靠谱的开箱工具而这件事比多数人想象中简单得多。先想明白一件事exe 里到底藏了什么很多人对逆向两个字本能地发怵觉得那是高手拿着十六进制编辑器逐字节较劲的活。其实 PyInstaller 打包出来的程序结构远比想象中规整。你可以把打包过程想象成寄一个密封行李箱你的源码先被编译成 Python 字节码pyc 文件和所有第三方依赖一起被压进一个叫CArchive的档案箱箱子最外面套了一层启动壳bootloader负责在运行时把里面的东西还原出来而箱子底部贴着一张快递单——一串固定的魔数MEI cookie上面清清楚楚写着包体大小、目录表偏移等关键信息。PyInstxtractor 做的事情本质上就是顺着这张快递单干活先在文件末尾附近找到魔数读出目录表再按目录把每一件货拆出来、解压、归类最后给每个 pyc 补上它丢失的相框文件头。拿到手的东西已经是可以直接交给反编译器处理的成品。这里要先澄清一个最常见的混淆PyInstxtractor 不是反编译器它只负责开箱。它把 pyc 文件完好地交到你手上至于把字节码还原成可读的 Python 源码那是 uncompyle6、pycdc 这类下游工具的工作。拆包和反编译是逆向链路里前后衔接的两道工序别指望一个命令全包。一条命令提取全部 pyc 文件完整实操流程理论讲完直接上手。下面用一个假设的工具scheduler.exe一个用 PyInstaller 打包的任务调度程序走完全流程。下载与准备只要一个脚本文件项目仓库里只有寥寥几个文件核心就是pyinstxtractor.py这一个脚本。克隆下来即可git clone https://gitcode.com/gh_mirrors/py/pyinstxtractor注意一个好消息你不需要安装 PyInstaller也不需要pip install任何依赖。脚本只用到了 Python 标准库这意味着哪怕你的机器上根本没装过 PyInstaller也能正常拆它的包。整个项目轻到什么程度把pyinstxtractor.py单独复制到任意目录都能跑。运行提取命令看懂每一行输出把脚本和目标 exe 放到同一目录执行python pyinstxtractor.py scheduler.exe几秒之内屏幕上会滚出一串信息每一行都值得留意[] Pyinstaller version: 6.19.0——识别出打包用的 PyInstaller 版本[] Python version: 3.11——打包时用的 Python 版本这一行后面会派上大用场[] Found 59 files in CArchive——主档案里拆出了 59 个条目[] Possible entry point: scheduler.pyc——工具帮你标出了最可能是程序入口的 pyc[] Found 133 files in PYZ archive——依赖模块的压缩包PYZ里还有 133 个文件。结束后工作目录里会多出一个scheduler_extracted文件夹所有提取物都在里面。整个过程自动化程度极高你基本只需要看着它跑完。找到入口文件配合反编译器还原源码进入提取目录你会看到两类东西一层是主程序相关的 pyc包括刚才标记为入口的scheduler.pyc另一层是PYZ-00.pyz_extracted子目录里面是按模块名整理好的依赖库字节码。还原源码时先处理入口文件因为业务主逻辑几乎都在那里uncompyle6 scheduler_extracted/scheduler.pyc如果入口文件里调用了自定义模块再去PYZ-00.pyz_extracted里找到对应的 pyc 逐个反编译即可。依赖库比如标准库、第三方包通常不用管它们只是被打包进来的公共零件。顺带一提PyInstxtractor 同样能直接处理 Linux 下的 ELF 可执行文件不需要额外转换工具跨平台场景下省事不少。PyInstxtractor 与同类方案怎么选一张对比清单真正接触这个领域后你会发现市面上并不缺拆 PyInstaller 包的手段但它们各自的定位差别很大。用一张清单对比更直观方案是否需要 Python 环境是否支持加密包版本覆盖上手成本定位PyInstxtractor本项目需要仅标准库原样转储不解密2.0 至 6.19.0极低单文件即用开箱工具拆包第一环pyinstxtractor-ng演进 fork不需要编译为独立二进制支持自动解密全版本低增强版替代品uncompyle6 / pycdc需要不涉及取决于 pyc 版本中反编译器处理拆包后的 pyc手动 hex 分析不需要完全手动无限靠人肉极高学习用途实际不推荐几点观察供你参考如果你只是想在纯 Python 环境下快速拆包、做一次性的分析原版 PyInstxtractor 是性价比最高的起点如果目标文件加了密或者你希望脱离 Python 环境、做成独立工具链可以去看 pyinstxtractor-ng 这类持续维护的 fork反编译器和拆包器不是竞争关系而是上下游配合。很多人问uncompyle6 能不能直接拆 exe答案是它压根不干这活你得先有 pyc 才有得反编译。新手最容易踩的五个坑及排查思路拆包本身成功率很高但后续环节的坑往往一个接一个。以下是出现频率最高的五类问题以及各自的排查思路。1. Python 版本不匹配PYZ 解组失败工具在提取 PYZ 存档时要用marshal反序列化模块表这依赖与打包时相同的 Python 版本。如果版本不一致输出里会出现Unmarshalling FAILED或please run in Python X.Y的警告PYZ 部分会跳过。排查思路很简单用输出中提示的 Python 版本重跑一次例如用python3.11 pyinstxtractor.py scheduler.exe。2. 加密的 PYZ 提取后是一堆乱码针对加密包工具不会硬解而是把内容原样转储为.encrypted后缀的文件。这是有意为之——先保留下原始数据再用解密工具或支持加密的 fork 版本处理。别对着乱码文件怀疑人生那不是你的问题。3. 反编译出来的代码和预期不符或直接报错先确认你反编译的 pyc 文件头四字节魔数是否与目标 Python 版本匹配。PyInstaller 5.3 之后不再在包里保存完整 pyc 头PyInstxtractor 会自动补齐但如果你拿这个文件去别的环境手动处理头部信息很容易丢。文件头不对反编译器会立刻拒绝工作。4. 入口文件找错翻遍了也看不到业务逻辑程序真正的入口会被标记为Possible entry point同时那里往往还伴随pyiboot01_bootstrap.pyc这类启动引导文件。业务逻辑通常在非引导类的那个入口 pyc里别被引导文件带偏。5. 路径与工作目录问题脚本会在当前工作目录下生成xxx_extracted文件夹如果你从别的目录调用脚本要么先切到 exe 所在目录要么在命令里传完整路径。反编译时同理路径写错会得到一堆莫名其妙的file not found。把它放进更大的图景里PyInstxtractor 在 Python 逆向生态里的位置很像供应链上的第一道分拣线它不生产成品但所有下游环节都依赖它先把货物完好无损地卸下来。安全审计要确认恶意代码代码恢复要抢救业务逻辑学习 Python 打包机制要观察真实样本——这些场景的第一步几乎都是拆包。如果你想往深处走有三条路值得探索一是研究 PyInstaller 自己的格式规范理解 cookie、CArchive、PYZ 三者如何协作二是学习 pyc 文件的结构尤其是 Python 3.7 之后引入的确定性哈希头三是了解字节码反编译的原理明白为什么有的 pyc 能完美还原、有的只能恢复个大概。PyInstaller 在持续迭代加密手段在升级提取工具也在不断跟进——打包与拆包这对攻防已经拉锯了十几年。最后一个问题留给你思考当打包器每出一个新版本就多一道防护时这种拆箱技术到底是安全研究的刚需还是永远追不上版本的追赶游戏答案可能取决于你用它来做什么。【免费下载链接】pyinstxtractorPyInstaller Extractor项目地址: https://gitcode.com/gh_mirrors/py/pyinstxtractor创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考