PyInstaller raw marshal & Pyarmor v9 static unpack workflow

• 埋め込まれた marshal ブロブを抽出する: pyi-archive_viewer sample.exe を使って生のオブジェクト（例: vvs という名前のファイル）をエクスポートします。PyInstaller は完全な .pyc ファイルではなく、0xe3（TYPE_CODE with FLAG_REF）で始まる生の marshal ストリームを格納します。逆コンパイラが受け付けるように、正しい 16 バイトの .pyc ヘッダ（埋め込まれたインタプリタバージョンのマジック + タイムスタンプ/サイズをゼロにしたもの）を先頭に付けてください。Python 3.11.5 の場合、imp.get_magic().hex() でマジックを取得し、marshal ペイロードの前に dd/printf でパッチできます。
• バージョン対応のツールでデコンパイルする: pycdc -c -v 3.11.5 vvs.pyc > vvs.py や PyLingual を使います。部分的なコードだけ必要な場合は、AST（例: ast.NodeVisitor）をトラバースして特定の引数や定数を抽出できます。
• Pyarmor v9 ヘッダを解析して暗号パラメータを回復する: シグネチャ PY<license> が 0x00、Python の major/minor が 0x09/0x0a、保護タイプは BCC 有効時に 0x09（無効時は 0x08）、ELF の開始/終了オフセットが 0x1c/0x38、12 バイトの AES-CTR ノンスが 0x24..0x27 と 0x2c..0x33 に分割されて格納されています。埋め込まれた ELF の後にも同じパターンが繰り返されます。
• Pyarmor によって変更された code object を考慮する: co_flags の 0x20000000 ビットがセットされ、長さプレフィックス付きの追加フィールドがあります。解析時に CPython の deopt_code() を無効にしておかないと復号に失敗することがあります。
• 暗号化されたコード領域を特定する: バイトコードは LOAD_CONST __pyarmor_enter_*__ … LOAD_CONST __pyarmor_exit_*__ でラップされています。囲まれたブロブはランタイムキー（例: 273b1b1373cf25e054a61e2cb8a947b8）を使って AES-128-CTR で復号します。領域ごとのノンスは、payload 固有の 12 バイト XOR キー（Pyarmor ランタイムから取得）と __pyarmor_exit_*__ マーカー内の 12 バイトを XOR することで導出します。復号後に __pyarmor_assert_*__（暗号化された文字列）や __pyarmor_bcc_*__（コンパイル済みのディスパッチターゲット）が見つかることがあります。
• Pyarmor の「mixed」文字列を復号する: 0x81 で始まる定数は AES-128-CTR で暗号化されており（プレーンテキストは 0x01 を使用）、同じキーとランタイム導出の文字列ノンス（例: 692e767673e95c45a1e6876d）を使って長い文字列定数を復元します。
• BCC モードを扱う: Pyarmor の --enable-bcc は多くの関数を補助 ELF にコンパイルし、Python 側には __pyarmor_bcc_*__ を呼ぶスタブを残します。それらの定数を bcc_info.py のようなツールで ELF シンボルにマッピングし、報告されたオフセットで ELF をデコンパイル／解析します（例: __pyarmor_bcc_58580__ → bcc_180 がオフセット 0x4e70）。

Python to Executable

まず、py2exe と PyInstaller でどのようにペイロードがコンパイルされるかを示します。

To create a payload using py2exe:

1. py2exe パッケージを http://www.py2exe.org/ からインストールします。
2. ペイロード（この例では hello.py と命名します）には、Figure 1 のようなスクリプトを使用します。オプションの “bundle_files” に 1 を指定すると、Python インタプリタを含めてすべてが 1 つの exe にバンドルされます。
3. スクリプトが準備できたら、コマンド “python setup.py py2exe” を実行します。これにより、Figure 2 のように実行ファイルが作成されます。

from distutils.core import setup
import py2exe, sys, os

sys.argv.append('py2exe')

setup(
options = {'py2exe': {'bundle_files': 1}},
#windows = [{'script': "hello.py"}],
console = [{'script': "hello.py"}],
zipfile = None,
)

C:\Users\test\Desktop\test>python setup.py py2exe
running py2exe
*** searching for required modules ***
*** parsing results ***
*** finding dlls needed ***
*** create binaries ***
*** byte compile python files ***
*** copy extensions ***
*** copy dlls ***
copying C:\Python27\lib\site-packages\py2exe\run.exe -> C:\Users\test\Desktop\test\dist\hello.exe
Adding python27.dll as resource to C:\Users\test\Desktop\test\dist\hello.exe

PyInstaller を使用して payload を作成するには:

1. pip を使用して PyInstaller をインストールします（pip install pyinstaller）。
2. その後、コマンド “pyinstaller –onefile hello.py” を実行します（補足：‘hello.py’ は payload です）。これにより、すべてが単一の実行可能ファイルにまとめられます。

C:\Users\test\Desktop\test>pyinstaller --onefile hello.py
108 INFO: PyInstaller: 3.3.1
108 INFO: Python: 2.7.14
108 INFO: Platform: Windows-10-10.0.16299
………………………………
5967 INFO: checking EXE
5967 INFO: Building EXE because out00-EXE.toc is non existent
5982 INFO: Building EXE from out00-EXE.toc
5982 INFO: Appending archive to EXE C:\Users\test\Desktop\test\dist\hello.exe
6325 INFO: Building EXE from out00-EXE.toc completed successfully.

参考文献

• https://blog.f-secure.com/how-to-decompile-any-python-binary/
• VVS Discord Stealer Using Pyarmor for Obfuscation and Detection Evasion

Tip

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する：HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする

• サブスクリプションプランを確認してください！
• **💬 Discordグループまたはテレグラムグループに参加するか、Twitter 🐦 @hacktricks_liveをフォローしてください。
• HackTricksおよびHackTricks CloudのGitHubリポジトリにPRを提出してハッキングトリックを共有してください。