PyInstaller raw marshal і Pyarmor v9 — процес статичного розпакування

• Extract embedded marshal blobs: pyi-archive_viewer sample.exe and export raw objects (e.g., a file named vvs). PyInstaller зберігає голі marshal-потоки, які починаються з 0xe3 (TYPE_CODE with FLAG_REF) замість повних .pyc файлів. Додайте на початок правильний 16-байтний заголовок .pyc (magic для вбудованої версії інтерпретатора + обнулений timestamp/size), щоб декомпілятори його прийняли. Для Python 3.11.5 можна отримати magic через imp.get_magic().hex() і запатчити його за допомогою dd/printf перед marshal-пейлоадом.
• Decompile with version-aware tools: pycdc -c -v 3.11.5 vvs.pyc > vvs.py або PyLingual. Якщо потрібна лише частина коду, можна обходити AST (наприклад, ast.NodeVisitor) щоб витягти конкретні аргументи/константи.
• Parse the Pyarmor v9 header щоб відновити криптографічні параметри: сигнатура PY<license> на 0x00, Python major/minor на 0x09/0x0a, тип захисту 0x09 коли увімкнений BCC (0x08 в іншому випадку), офсети початку/кінця ELF на 0x1c/0x38, і 12-байтовий AES-CTR nonce, розбитий по 0x24..0x27 та 0x2c..0x33. Така ж схема повторюється після вбудованого ELF.
• Account for Pyarmor-modified code objects: у co_flags встановлений біт 0x20000000 і є додаткове поле з префіксною довжиною. Відключіть CPython deopt_code() під час парсингу, щоб уникнути збоїв дешифрування.
• Identify encrypted code regions: байткод обгорнутий у LOAD_CONST __pyarmor_enter_*__ … LOAD_CONST __pyarmor_exit_*__. Розшифруйте вкладений бінарний блок за допомогою AES-128-CTR, використовуючи runtime-ключ (наприклад, 273b1b1373cf25e054a61e2cb8a947b8). Виведіть per-region nonce шляхом XOR між payload-специфічним 12-байтовим XOR-ключем (з Pyarmor runtime) і 12 байтами в маркері __pyarmor_exit_*__. Після дешифрування ви також можете побачити __pyarmor_assert_*__ (зашифровані рядки) та __pyarmor_bcc_*__ (скомпільовані dispatch-цілі).
• Decrypt Pyarmor “mixed” strings: константи з префіксом 0x81 зашифровані AES-128-CTR (plaintext використовує 0x01). Використайте той самий ключ і runtime-обчислений string nonce (наприклад, 692e767673e95c45a1e6876d), щоб відновити довгі рядкові константи.
• Handle BCC mode: Pyarmor --enable-bcc компілює багато функцій у супутній ELF і залишає Python-заглушки, які викликають __pyarmor_bcc_*__. Зіставте ці константи з ELF-символами за допомогою інструментів на кшталт bcc_info.py, потім декомпілюйте/аналізуйте ELF за вказаними офсетами (наприклад, __pyarmor_bcc_58580__ → bcc_180 на офсеті 0x4e70).

Python у виконуваний файл

Щоб почати, ми покажемо, як payloads можна скомпілювати в py2exe і PyInstaller.

Щоб створити payload за допомогою py2exe:

1. Встановіть пакет py2exe з http://www.py2exe.org/
2. Для payload (в цьому випадку ми назвемо його hello.py) використайте скрипт на кшталт того, що в Figure 1. Опція “bundle_files” зі значенням 1 упакує все, включно з Python interpreter, в один exe.
3. Коли скрипт готовий, виконайте команду “python setup.py py2exe”. Це створить виконуваний файл, як показано в Figure 2.

from distutils.core import setup
import py2exe, sys, os

sys.argv.append('py2exe')

setup(
options = {'py2exe': {'bundle_files': 1}},
#windows = [{'script': "hello.py"}],
console = [{'script': "hello.py"}],
zipfile = None,
)

C:\Users\test\Desktop\test>python setup.py py2exe
running py2exe
*** searching for required modules ***
*** parsing results ***
*** finding dlls needed ***
*** create binaries ***
*** byte compile python files ***
*** copy extensions ***
*** copy dlls ***
copying C:\Python27\lib\site-packages\py2exe\run.exe -> C:\Users\test\Desktop\test\dist\hello.exe
Adding python27.dll as resource to C:\Users\test\Desktop\test\dist\hello.exe

Щоб створити payload за допомогою PyInstaller:

1. Встановіть PyInstaller за допомогою pip (pip install pyinstaller).
2. Після цього виконайте команду “pyinstaller –onefile hello.py” (нагадування, що ‘hello.py’ — це наш payload). Це упакує все в один виконуваний файл.

C:\Users\test\Desktop\test>pyinstaller --onefile hello.py
108 INFO: PyInstaller: 3.3.1
108 INFO: Python: 2.7.14
108 INFO: Platform: Windows-10-10.0.16299
………………………………
5967 INFO: checking EXE
5967 INFO: Building EXE because out00-EXE.toc is non existent
5982 INFO: Building EXE from out00-EXE.toc
5982 INFO: Appending archive to EXE C:\Users\test\Desktop\test\dist\hello.exe
6325 INFO: Building EXE from out00-EXE.toc completed successfully.

Посилання

• https://blog.f-secure.com/how-to-decompile-any-python-binary/
• VVS Discord Stealer Using Pyarmor for Obfuscation and Detection Evasion

Tip

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Вивчайте та практикуйте Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Підтримайте HackTricks

• Перевірте плани підписки!
• Приєднуйтесь до 💬 групи Discord або групи telegram або слідкуйте за нами в Twitter 🐦 @hacktricks_live.
• Діліться хакерськими трюками, надсилаючи PR до HackTricks та HackTricks Cloud репозиторіїв на github.