1. PyInstaller打包文件复原的核心原理

PyInstaller打包的EXE或ELF文件本质上是一个自解压的压缩包，其中包含了Python解释器、依赖库以及被编译成.pyc字节码的源代码。复原过程的核心在于逆向这个打包流程，主要分为三个关键阶段：

1. 文件解包：使用专用工具提取出.pyc字节码文件
2. 头修复：补全被PyInstaller移除的.pyc文件头
3. 反编译：将.pyc转换回可读的Python源代码

注意：整个过程需要保持字节级的精确操作，任何细微的字节错位都会导致反编译失败。

2. 工具链准备与环境配置

2.1 必备工具清单

• PyInstxtractor：核心解包工具（支持Python2环境）
• 010 Editor：二进制文件编辑神器（可选但推荐）
• uncompyle6：最新版Python字节码反编译器
• objcopy：ELF文件处理工具（Linux系统自带）

2.2 环境搭建要点

建议在Windows 10 + WSL2混合环境下操作：

# WSL环境下安装uncompyle6 pip install uncompyle6==3.7.4 # 确认版本兼容性 # Windows侧准备 choco install python2 # 通过Chocolatey安装Python2

3. 详细复原流程解析

3.1 EXE文件处理流程

3.1.1 解包阶段实操

# 将pyinstxtractor.py复制到当前目录 cp /path/to/pyinstxtractor.py . # 使用Python2执行解包 python2 pyinstxtractor.py target.exe

解包后会生成target.exe_extracted目录，其中关键文件：

• target（无后缀）：主程序字节码
• struct（无后缀）：文件头模板

3.1.2 字节码修复技巧

1. 用010 Editor打开struct文件，记录前16字节的Magic Number
2. 将这段Magic Number插入到target文件开头
3. 保存为target.pyc

常见错误：如果出现"Magic value mismatch"，说明头修复不完整，需要检查字节对齐。

3.2 ELF文件特殊处理

对于Linux平台的ELF打包文件，需要先提取pydata段：

objcopy --dump-section pydata=target.dump target.elf python2 pyinstxtractor.py target.dump

后续步骤与EXE处理相同，但要注意：

• ELF文件的字节序可能不同
• 需要确认Python版本匹配（通过Magic Number判断）

4. 反编译实战与问题排查

4.1 使用uncompyle6

uncompyle6 target.pyc > target_decompiled.py

4.2 常见错误解决方案

5. 高级技巧与防护对抗

5.1 对抗加固方案

某些打包会采用以下防护措施：

• 字节码混淆（需手动修复）
• 自定义Magic Number（需动态调试获取）
• 分段加密（需hook解压过程）

5.2 自动化脚本示例

import os import subprocess def recover_pyinstaller(exe_path): # Step 1: Extract subprocess.run(f"python2 pyinstxtractor.py {exe_path}", shell=True) # Step 2: Fix header with open(f"{exe_path}_extracted/struct", "rb") as f: header = f.read(16) with open(f"{exe_path}_extracted/target", "rb") as f: body = f.read() with open("fixed.pyc", "wb") as f: f.write(header + body) # Step 3: Decompile subprocess.run("uncompyle6 fixed.pyc > output.py", shell=True)

6. 法律与伦理边界

需要特别强调的是：

1. 仅对自有代码或授权代码进行复原
2. 不得用于破解商业软件
3. 研究目的需遵守当地法律法规

在实际操作中，我建议保留完整的操作日志和授权证明，避免法律风险。对于CTF竞赛等合法场景，这些技术是必备的逆向工程技能。