CTF Python逆向实战：从ez_python题解析字节码反编译与混淆对抗

1. 从一道CTF题看Python逆向的典型套路

"ez_python"这个标题在CTF圈子里几乎自带一种信号——出题人想让你觉得简单，但实际动手之后往往会发现，坑都埋在你看不见的地方。第一届"长城杯"网络安全大赛的这道题，名字虽然叫"ez"，但它考察的东西一点都不"ez"：Python字节码的阅读能力、反编译工具的选择与局限、以及面对混淆代码时的耐心和直觉。

我接触过不少刚入门CTF的朋友，他们遇到Python逆向题的第一反应是"找工具反编译一下不就行了"。这个思路本身没错，但问题在于，工具能帮你还原出源码，却不一定能帮你理解源码。尤其是当出题人在源码里埋了多层嵌套、变量名混淆、编码转换、甚至动态执行的时候，你拿到的那份"反编译结果"可能比汇编还难读。

这篇文章面向的是有一定Python基础、正在打CTF或者准备打CTF的读者。不管你是刚接触逆向的新手，还是已经做过几道Python题但总觉得不得要领的老手，我都会从这道题出发，把Python逆向的完整思路链路拆开来讲——从拿到文件的第一步该看什么，到工具怎么选，到代码怎么读，到最终flag怎么拿。更重要的是，我会告诉你每一步"为什么要这样做"，而不是只丢给你一个操作清单。

2. 拿到文件后的第一分钟：判断你面对的是什么

2.1 文件类型识别与初步侦察

很多人拿到题目附件之后，第一反应是直接双击运行或者丢进IDE。这个习惯在CTF里非常危险。正确的做法是先做静态侦察，搞清楚你面对的是什么类型的文件。

在Linux环境下，file命令是你的第一把武器：

file ez_python

如果输出里出现Python script、Python bytecode或者ELF之类的字样，你就能快速判断方向。Python逆向题常见的文件形态有三种：

• 纯.py源码文件：这种最简单，但出题人往往会做代码混淆或者用exec动态执行。
• .pyc字节码文件：这是Python编译后的字节码，需要反编译工具还原。
• 打包后的可执行文件：用PyInstaller、cx_Freeze等工具打包成二进制，需要先解包再反编译。

对于"ez_python"这道题，根据比赛常见的出题风格，大概率是.pyc文件或者打包后的ELF。如果是.pyc，你需要确认它的Python版本——这一点极其关键，因为不同版本的字节码指令集不同，用错版本的反编译工具会直接报错或者还原出错误的代码。

python3 -c "import sys; print(sys.version)"

或者更直接的方式，查看.pyc文件头部的magic number：

xxd ez_python.pyc | head -1

.pyc文件的前4个字节是magic number，它对应着具体的Python版本。比如Python 3.8的magic number是0x550D0D0A，Python 3.9是0x610D0D0A。你可以通过查阅Python官方文档中的magic number对照表来确认版本。

注意：如果你拿到的.pyc文件magic number被人为修改过，反编译工具会拒绝处理。这时候你需要手动把magic number改回正确的值，或者直接用对应版本的Python去加载它。

2.2 为什么版本匹配这么重要

我见过太多人在这上面栽跟头。有人用Python 3.10的uncompyle6去反编译一个Python 3.6的.pyc文件，结果工具直接崩溃或者输出一堆乱码。这不是工具的问题，是字节码本身就不兼容。

Python的字节码指令集在不同版本之间会有增删改。比如Python 3.8引入了ROT_FOUR和ROT_N指令，Python 3.9改变了WITH_EXCEPT_START的行为，Python 3.10又对MATCH语句相关的指令做了大量调整。如果你的反编译工具不支持目标版本，它就无法正确解析这些指令，还原出来的代码自然就是错的。

所以我的建议是：先确认版本，再选工具。确认版本的方法有三种：

1. 看文件头magic number（最准确）
2. 看题目附件中是否有版本提示（比如文件名里带36、38之类的数字）
3. 用python -m dis直接反汇编，观察指令集特征

第三种方法最直接，因为dis模块是Python标准库自带的，你用什么版本的Python去运行它，它就能反汇编对应版本的字节码。如果你不确定版本，可以多试几个版本的Python，看哪个能正常加载。

3. 反编译工具的选择：没有银弹

3.1 主流工具对比与适用场景

Python反编译工具的选择是一个老生常谈的话题，但我发现很多教程只是罗列工具名称，却不告诉你什么时候该用哪个。这里我根据自己的实际使用经验，给出一份对比：

对于"ez_python"这道题，如果它是Python 3.8及以下版本，uncompyle6是首选。如果是3.9及以上，pycdc是更稳妥的选择。

安装uncompyle6很简单：

pip install uncompyle6

使用方式：

uncompyle6 -o . ez_python.pyc

这会把反编译结果输出到当前目录下，生成一个ez_python.py文件。

pycdc需要从源码编译：

git clone https://github.com/zrax/pycdc.git cd pycdc cmake . make

然后使用：

./pycdc ez_python.pyc > ez_python.py

3.2 当反编译工具失效时怎么办

这是我想重点讲的部分。很多CTF题目的设计目的就是让你的自动化工具失效。出题人可能会：

• 修改magic number让工具拒绝识别
• 在字节码中插入无效指令导致反编译崩溃
• 使用自定义的代码对象结构
• 把关键逻辑放在动态执行的字符串里

遇到这些情况，你需要回到最底层的方法：用dis模块手动反汇编。

import dis import marshal with open('ez_python.pyc', 'rb') as f: f.read(16) # 跳过文件头（不同版本长度不同） code = marshal.load(f) dis.dis(code)

这会输出字节码的汇编形式。虽然看起来不如反编译后的源码直观，但它是最可靠的方法——只要Python能加载这个文件，dis就能反汇编它。

读字节码汇编需要一些练习，但核心逻辑并不复杂。Python的字节码是基于栈的，每条指令从栈上取操作数、执行操作、把结果压回栈。你只需要关注几个关键指令：

• LOAD_CONST：加载常量
• LOAD_FAST：加载局部变量
• STORE_FAST：存储局部变量
• CALL_FUNCTION：调用函数
• COMPARE_OP：比较操作
• JUMP_IF_FALSE/JUMP_IF_TRUE：条件跳转

把这些指令串起来，你就能还原出程序的逻辑流。

4. 代码阅读的核心技巧：从混淆中找线索

4.1 变量名混淆的应对策略

反编译出来的代码，第一眼看上去可能长这样：

def a1(b2, c3): d4 = '' for e5 in range(len(b2)): f6 = ord(b2[e5]) ^ c3 d4 += chr(f6) return d4

变量名全是无意义的字母数字组合，这是最常见的混淆手段。面对这种情况，我的做法是先看函数调用关系，再看数据流。

具体来说：

1. 找到程序的入口点（通常是if __name__ == '__main__':或者直接执行的代码）
2. 看入口点调用了哪些函数
3. 追踪输入数据在这些函数之间是怎么传递的
4. 根据数据的变化反推每个函数的功能

比如上面的a1函数，虽然变量名看不懂，但逻辑很清晰：它遍历输入字符串，对每个字符做异或操作，然后拼接成新字符串。这就是一个典型的异或加密函数。

你可以手动把变量名改成有意义的名字：

def xor_encrypt(input_str, key): result = '' for i in range(len(input_str)): xor_val = ord(input_str[i]) ^ key result += chr(xor_val) return result

改完名字之后，代码的可读性会大幅提升。

4.2 编码转换与多层嵌套的拆解

CTF题目中另一个常见的套路是多层编码。比如先把flag做Base64编码，再做异或，再做反转，最后和某个字符串比较。反编译出来的代码可能把这些操作分散在多个函数里，你需要一层一层剥开。

我的建议是：从最终的比较语句倒推。

找到类似这样的代码：

if result == 'xYz123...': print('Correct!')

然后追踪result是怎么来的。它可能是某个函数的返回值，那个函数又调用了另一个函数……一直追到最开始的输入。

在这个过程中，你可能会遇到一些Python内置函数的调用，比如：

• base64.b64encode/base64.b64decode
• binascii.hexlify/binascii.unhexlify
• zlib.compress/zlib.decompress
• codecs.encode/codecs.decode

这些函数的特征很明显，看到它们你就知道这一层用的是什么编码。把每一层的操作反过来做一遍，就能还原出原始输入。

4.3 动态执行代码的识别与处理

最让人头疼的情况是出题人用了exec或eval动态执行代码。反编译出来的代码可能长这样：

exec(base64.b64decode('aW1wb3J0IG9z...'))

这时候静态分析就到此为止了，你需要动态执行来获取真正的代码。但直接执行陌生代码有风险，我的做法是：

1. 先把exec替换成print，看看它要执行的是什么
2. 如果是多层嵌套，就一层一层剥
3. 确认安全后再实际执行

# 把 exec(...) 改成 print(...) print(base64.b64decode('aW1wb3J0IG9z...').decode())

这样你就能看到被隐藏的代码，然后再决定下一步怎么做。

注意：在实际比赛中，动态执行代码可能包含反调试逻辑或者环境检测。如果你在本地执行结果和预期不符，可能是代码检测到了你的运行环境。这时候可以尝试用沙箱或者虚拟机来运行。

5. 从"ez_python"看CTF逆向的通用思维模型

5.1 逆向不是"读代码"，而是"猜意图"

很多人把逆向当成"把二进制翻译成源码"的过程，这个理解太狭隘了。真正的逆向是理解出题人的意图。

出题人为什么要这样写？他为什么用这个算法而不是那个？他为什么在这里加一层编码？当你开始思考这些问题的时候，你就不再是被动地读代码，而是主动地推测代码的行为。

以"ez_python"为例，如果我在反编译结果中看到一个函数对输入做了逐字符异或，然后和固定字符串比较，我会立刻想到：异或的密钥是什么？密钥是固定的还是动态生成的？如果密钥是固定的，那直接异或回去就行了；如果密钥是动态生成的，我需要找到密钥的生成逻辑。

这种"猜意图"的能力，比会使用多少工具重要得多。

5.2 验证假设：写脚本比手算快

当你推测出加密逻辑之后，不要急着手动计算。写一个Python脚本来自动化验证你的假设：

def decrypt(ciphertext, key): return ''.join(chr(ord(c) ^ key) for c in ciphertext) cipher = '...' # 从反编译代码中提取的密文 for key in range(256): result = decrypt(cipher, key) if 'flag' in result.lower() or 'ctf' in result.lower(): print(f'Key={key}: {result}')

这种暴力枚举的方法在CTF中非常实用，尤其是当你对密钥不确定的时候。

5.3 常见Python逆向题型总结

根据我的经验，Python逆向题大致可以分为以下几类：

"ez_python"这道题大概率属于前两类或者第三类。不管属于哪一类，核心思路都是一样的：静态分析找线索，动态验证确认结果。

6. 实操中的坑与经验

6.1 反编译结果不完整怎么办

有时候uncompyle6会报错，说某个指令无法解析，然后输出不完整的代码。这时候不要慌，你可以：

1. 尝试用--verify参数让工具做更严格的校验
2. 换一个工具试试（pycdc往往能处理uncompyle6处理不了的情况）
3. 用dis手动反汇编出问题的部分

我遇到过一次，uncompyle6在处理一个包含try/except/finally嵌套的代码对象时崩溃了，但pycdc成功还原了。所以手头常备两三个反编译工具是很有必要的。

6.2 字符串被加密了怎么找

有些题目会把关键字符串加密存储，运行时才解密。这时候你在反编译结果里搜flag、correct之类的关键词是搜不到的。

应对方法是：找解密函数。通常解密函数会在程序早期被调用，解密后的字符串会存储在某个变量里。你可以：

1. 在反编译代码中搜索decode、decrypt、unmarshal等关键词
2. 关注程序开头的初始化代码
3. 动态调试，在解密函数执行后打印变量值

6.3 如何提高反编译代码的可读性

反编译出来的代码往往缺少注释、变量名混乱、格式糟糕。我的做法是：

1. 用IDE的格式化功能先整理一遍
2. 手动重命名关键变量和函数
3. 添加注释说明每一步的作用
4. 把复杂的表达式拆成多行

这个过程看起来费时，但实际上能帮你理清思路。很多时候，当你把代码整理清楚之后，解题思路就自然浮现了。

6.4 不要忽视Python版本的影响

我再强调一次：Python版本对逆向的影响非常大。同一个算法，用Python 3.7和Python 3.11编译出来的字节码可能完全不同。如果你在本地用Python 3.11反编译一个Python 3.7的.pyc文件，即使工具不报错，还原出来的代码也可能有细微的错误。

最稳妥的做法是：用与目标文件相同版本的Python来运行反编译工具。你可以用pyenv或者conda来管理多个Python版本。

# 使用pyenv安装指定版本 pyenv install 3.8.10 pyenv local 3.8.10 # 然后在这个版本下安装uncompyle6 pip install uncompyle6 uncompyle6 ez_python.pyc

7. 从解题到出题：逆向思维的进阶

当你做过足够多的Python逆向题之后，你会开始理解出题人的思路。这时候你可以尝试自己出题，这会极大地提升你的逆向能力。

出题的时候你需要考虑：

• 用什么版本的Python编译
• 用什么方式混淆代码
• 在哪里埋陷阱
• 如何确保题目可解但又不至于太简单

比如你可以尝试：

# 简单的异或加密 flag = 'flag{test}' key = 0x42 encrypted = ''.join(chr(ord(c) ^ key) for c in flag) print(encrypted)

然后把这个加密逻辑嵌入到一个更大的程序中，加上一些无关的函数调用和变量混淆。这样一道简单的逆向题就出来了。

当然，实际比赛中的题目会比这复杂得多。"ez_python"虽然名字叫"ez"，但它考察的知识点可能包括字节码阅读、反编译工具使用、编码识别、逻辑推理等多个方面。能把这道题做出来，说明你已经具备了Python逆向的基本功。

我在实际做题过程中最大的体会是：耐心比技巧更重要。很多时候，你离答案只差多读一遍代码、多试一个密钥、多换一个工具。那些看起来复杂的混淆，拆开之后往往就是几个简单的操作叠加。保持冷静，一步一步来，flag就在那里。