PyInstaller raw marshal & Pyarmor v9 static unpack workflow

• Extract embedded marshal blobs: pyi-archive_viewer sample.exe and export raw objects (e.g., a file named vvs). PyInstaller gömülü olarak tam .pyc dosyaları yerine 0xe3 (TYPE_CODE with FLAG_REF) ile başlayan ham marshal akışlarını saklar. Decompiler’ların kabul etmesi için marshal yükünden önce doğru 16-byte .pyc header’ını (gömülü interpreter sürümünün magic değeri + sıfırlanmış timestamp/size) ekleyin. Python 3.11.5 için magic değerini imp.get_magic().hex() ile alıp marshal yükünden önce dd/printf ile patchleyebilirsiniz.
• Decompile with version-aware tools: pycdc -c -v 3.11.5 vvs.pyc > vvs.py or PyLingual. Sadece kısmi koda ihtiyaç varsa, belirli argüman/konstantları çekmek için AST üzerinde gezinmek (ör. ast.NodeVisitor) yeterli olabilir.
• Parse the Pyarmor v9 header to recover crypto parameters: signature PY<license> at 0x00, Python major/minor at 0x09/0x0a, protection type 0x09 when BCC is enabled (0x08 otherwise), ELF start/end offsets at 0x1c/0x38, and the 12-byte AES-CTR nonce split across 0x24..0x27 and 0x2c..0x33. Aynı desen gömülü ELF’ten sonra tekrar eder.
• Account for Pyarmor-modified code objects: co_flags içinde 0x20000000 biti set edilmiş ve ekstra uzunluk-ön eki olan bir alan bulunur. Şifre çözümlerinin başarısız olmaması için parsing sırasında CPython deopt_code()’u devre dışı bırakın.
• Identify encrypted code regions: bytecode LOAD_CONST __pyarmor_enter_*__ … LOAD_CONST __pyarmor_exit_*__ ile sarılmıştır. İçteki blob’u runtime anahtarı ile AES-128-CTR kullanarak decrypt edin (örn. 273b1b1373cf25e054a61e2cb8a947b8). Bölge başına nonce’u, payload-spesifik 12-byte XOR anahtarını (Pyarmor runtime’tan) __pyarmor_exit_*__ marker’ındaki 12 byte ile XORlayarak türetin. Decryption sonrası __pyarmor_assert_*__ (şifrelenmiş stringler) ve __pyarmor_bcc_*__ (derlenmiş dispatch hedefleri) görebilirsiniz.
• Decrypt Pyarmor “mixed” strings: 0x81 ile başlayan konstantlar AES-128-CTR ile şifrelenmiştir (düz metin 0x01 kullanır). Aynı anahtarı ve runtime’dan türetilen string nonce’unu (örn. 692e767673e95c45a1e6876d) kullanarak uzun string konstantları kurtarın.
• Handle BCC mode: Pyarmor --enable-bcc ile birçok fonksiyonu companion ELF’e derler ve Python stub’ları __pyarmor_bcc_*__ çağrılarını bırakır. Bu konstantları bcc_info.py gibi araçlarla ELF sembollerine eşleyin, sonra bildirilen offset’lerde ELF’i decompile/analiz edin (örn. __pyarmor_bcc_58580__ → bcc_180 offset 0x4e70).

Python to Executable

To start, we’re going to show you how payloads can be compiled in py2exe and PyInstaller.

To create a payload using py2exe:

1. Install the py2exe package from http://www.py2exe.org/
2. For the payload (in this case, we will name it hello.py), use a script like the one in Figure 1. The option “bundle_files” with the value of 1 will bundle everything including the Python interpreter into one exe.
3. Once the script is ready, we will issue the command “python setup.py py2exe”. This will create the executable, just like in Figure 2.

from distutils.core import setup
import py2exe, sys, os

sys.argv.append('py2exe')

setup(
options = {'py2exe': {'bundle_files': 1}},
#windows = [{'script': "hello.py"}],
console = [{'script': "hello.py"}],
zipfile = None,
)

C:\Users\test\Desktop\test>python setup.py py2exe
running py2exe
*** searching for required modules ***
*** parsing results ***
*** finding dlls needed ***
*** create binaries ***
*** byte compile python files ***
*** copy extensions ***
*** copy dlls ***
copying C:\Python27\lib\site-packages\py2exe\run.exe -> C:\Users\test\Desktop\test\dist\hello.exe
Adding python27.dll as resource to C:\Users\test\Desktop\test\dist\hello.exe

PyInstaller kullanarak bir payload oluşturmak için:

1. pip kullanarak PyInstaller’ı yükleyin (pip install pyinstaller).
2. Bunun ardından “pyinstaller –onefile hello.py” komutunu çalıştıracağız (hatırlatma: ‘hello.py’ bizim payload’ımızdır). Bu, her şeyi tek bir yürütülebilir dosyada birleştirecektir.

C:\Users\test\Desktop\test>pyinstaller --onefile hello.py
108 INFO: PyInstaller: 3.3.1
108 INFO: Python: 2.7.14
108 INFO: Platform: Windows-10-10.0.16299
………………………………
5967 INFO: checking EXE
5967 INFO: Building EXE because out00-EXE.toc is non existent
5982 INFO: Building EXE from out00-EXE.toc
5982 INFO: Appending archive to EXE C:\Users\test\Desktop\test\dist\hello.exe
6325 INFO: Building EXE from out00-EXE.toc completed successfully.

Kaynaklar

• https://blog.f-secure.com/how-to-decompile-any-python-binary/
• VVS Discord Stealer Using Pyarmor for Obfuscation and Detection Evasion

Tip

AWS Hacking’i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE)
GCP Hacking’i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE) Azure Hacking’i öğrenin ve pratik yapın: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks'i Destekleyin

• abonelik planlarını kontrol edin!
• 💬 Discord grubuna veya telegram grubuna katılın ya da Twitter’da bizi takip edin 🐦 @hacktricks_live.**
• Hacking ipuçlarını paylaşmak için HackTricks ve HackTricks Cloud github reposuna PR gönderin.