Surowy marshal PyInstaller i statyczny workflow rozpakowywania Pyarmor v9

• Extract embedded marshal blobs: pyi-archive_viewer sample.exe i eksportuj surowe obiekty (np. plik vvs). PyInstaller przechowuje gołe strumienie marshal, które zaczynają się od 0xe3 (TYPE_CODE with FLAG_REF) zamiast pełnych plików .pyc. Dodaj na początku poprawny 16-bajtowy nagłówek .pyc (magic dla wersji osadzonego interpretera + wyzerowany timestamp/rozmiar), aby dekompilatory go akceptowały. Dla Python 3.11.5 możesz pobrać magic przez imp.get_magic().hex() i wstawić je za pomocą dd/printf przed payloadem marshal.
• Decompile with version-aware tools: pycdc -c -v 3.11.5 vvs.pyc > vvs.py lub PyLingual. Jeśli potrzebny jest tylko fragment kodu, możesz przejść po AST (np. ast.NodeVisitor), żeby wyciągnąć konkretne argumenty/stałe.
• Parse the Pyarmor v9 header aby odzyskać parametry kryptograficzne: sygnatura PY<license> znajduje się na 0x00, Python major/minor na 0x09/0x0a, typ ochrony 0x09 gdy BCC jest włączone (0x08 w przeciwnym razie), offsety początku/końca ELF na 0x1c/0x38, oraz 12-bajtowy nonce AES-CTR rozdzielony na 0x24..0x27 i 0x2c..0x33. Ten sam wzorzec powtarza się po osadzonym ELF.
• Account for Pyarmor-modified code objects: co_flags ma ustawiony bit 0x20000000 oraz dodatkowe pole poprzedzone długością. Wyłącz CPython deopt_code() podczas parsowania, aby uniknąć błędów deszyfrowania.
• Identify encrypted code regions: bajtcode jest otoczony przez LOAD_CONST __pyarmor_enter_*__ … LOAD_CONST __pyarmor_exit_*__. Zdeszyfruj zawarty blob przy użyciu AES-128-CTR z kluczem runtime (np. 273b1b1373cf25e054a61e2cb8a947b8). Wyprowadź per-region nonce przez XOR klucza XOR specyficznego dla payloadu (z runtime Pyarmor) z 12 bajtami w markerze __pyarmor_exit_*__. Po deszyfrowaniu możesz także zobaczyć __pyarmor_assert_*__ (zaszyfrowane stringi) i __pyarmor_bcc_*__ (skomplikowane cele dispatch).
• Decrypt Pyarmor “mixed” strings: stałe poprzedzone 0x81 są szyfrowane AES-128-CTR (plaintext używa 0x01). Użyj tego samego klucza i runtime-derived string nonce (np. 692e767673e95c45a1e6876d), aby odzyskać długie stałe tekstowe.
• Handle BCC mode: Pyarmor --enable-bcc kompiluje wiele funkcji do towarzyszącego ELF i zostawia stuby Pythona wywołujące __pyarmor_bcc_*__. Zmapuj te stałe na symbole ELF za pomocą narzędzi takich jak bcc_info.py, a następnie zdekompiluj/analizuj ELF na zgłoszonych offsetach (np. __pyarmor_bcc_58580__ → bcc_180 pod offsetem 0x4e70).

Python to Executable

Na początek pokażemy, jak payloads mogą być kompilowane w py2exe i PyInstaller.

To create a payload using py2exe:

1. Zainstaluj pakiet py2exe z http://www.py2exe.org/
2. Dla payloadu (w tym przypadku nazwaliśmy go hello.py) użyj skryptu podobnego do tego z Figure 1. Opcja bundle_files z wartością 1 spakuje wszystko, łącznie z interpreterem Python, do jednego pliku exe.
3. Gdy skrypt będzie gotowy, wydaj polecenie python setup.py py2exe. To utworzy wykonywalny plik, podobnie jak na Figure 2.

from distutils.core import setup
import py2exe, sys, os

sys.argv.append('py2exe')

setup(
options = {'py2exe': {'bundle_files': 1}},
#windows = [{'script': "hello.py"}],
console = [{'script': "hello.py"}],
zipfile = None,
)

C:\Users\test\Desktop\test>python setup.py py2exe
running py2exe
*** searching for required modules ***
*** parsing results ***
*** finding dlls needed ***
*** create binaries ***
*** byte compile python files ***
*** copy extensions ***
*** copy dlls ***
copying C:\Python27\lib\site-packages\py2exe\run.exe -> C:\Users\test\Desktop\test\dist\hello.exe
Adding python27.dll as resource to C:\Users\test\Desktop\test\dist\hello.exe

Aby utworzyć payload przy użyciu PyInstaller:

1. Zainstaluj PyInstaller używając pip (pip install pyinstaller).
2. Następnie wydamy polecenie “pyinstaller –onefile hello.py” (przypomnienie, że ‘hello.py’ to nasz payload). To spakuje wszystko w jeden plik wykonywalny.

C:\Users\test\Desktop\test>pyinstaller --onefile hello.py
108 INFO: PyInstaller: 3.3.1
108 INFO: Python: 2.7.14
108 INFO: Platform: Windows-10-10.0.16299
………………………………
5967 INFO: checking EXE
5967 INFO: Building EXE because out00-EXE.toc is non existent
5982 INFO: Building EXE from out00-EXE.toc
5982 INFO: Appending archive to EXE C:\Users\test\Desktop\test\dist\hello.exe
6325 INFO: Building EXE from out00-EXE.toc completed successfully.

Źródła

• https://blog.f-secure.com/how-to-decompile-any-python-binary/
• VVS Discord Stealer Using Pyarmor for Obfuscation and Detection Evasion

Tip

Ucz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się i ćwicz Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Ucz się i ćwicz Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Wsparcie dla HackTricks

• Sprawdź plany subskrypcyjne!
• Dołącz do 💬 grupy Discord lub grupy telegramowej lub śledź nas na Twitterze 🐦 @hacktricks_live.
• Dziel się trikami hackingowymi, przesyłając PR-y do HackTricks i HackTricks Cloud repozytoriów na githubie.