解包 Python 恶意可执行文件（python解包操作）
off999 2024-09-20 22:40 18 浏览 0 评论
使用 Python 编写的程序通常以源码的形式发布，也可以将所有依赖都打包到一个可执行文件中。那么如何解包 Python 恶意可执行文件呢？
打包
打包与加壳不同，打包 Python 程序的目的是创建一个可以在操作系统上独立运行的可执行文件。使用例如 PyInstaller 这类打包工具时，会执行以下操作：
将所有.py 源文件编译为 python 字节码文件（.pyc文件）
整合所有 python 编译的源代码和 python 依赖，包括依赖于操作系统的 python 解释器（Linux 上的 libpython3.9.so.1.0 或 Windows 上的 python37.dll）
将所有资源都打包在一起，执行时将这些资源都解压到内存中，然后使用解释器解释执行原始 python 代码
以 Windows 平台为例，将示例代码使用 PyInstaller 进行打包：
示例代码
直接运行脚本文件是很容易的：
运行情况
打包如下所示：
打包情况
打包得到的 evil_program.exe可以直接运行，可得到与脚本相同的运行结果。此时，程序可以移动到另一个完全没有 Python 环境的机器上一样可以执行。
运行情况
在 Windows 上解包 Python<3.9
如果样本中可以看到很多以 py 开头的字符串，基本可以断定是一个打包的 Python 程序。
字符串
对于 PyInstaller 来说，还有独特字符串 MEIPASS。
监控运行程序时在临时文件夹中创建了哪些文件，就能够知道使用的 Python 版本。例如 python38.dll 意味着使用的是 Python 3.8 版本。
监控文件系统
想要恢复源代码，必须要保证：
解压得到所有文件，特别是编译后的字节码文件（.pyc）
反编译感兴趣的 .pyc 文件
解压可以使用 pyinstxtractor，使用相同版本的 Python 即可解压得到文件：
解压文件
pyinstxtractor 还额外提供了哪些是 Python 程序文件的信息，尽管存在误报但是也有很大的帮助。可以看到主文件是 evil_program.pyc：
提取文件
接着使用 uncompyle6进行反编译，值得注意的是 uncompyle6 只支持到 Python 3.8。
反编译
在 Linux 上解包 Python>=3.9
再次使用 pyinstxtractor 解压样本文件。由于样本是 64 位 ELF 文件，不能直接使用 pyinstxtractor 需要将文件的 pydata 转存到一个单独的文件再执行 pyinstxtractor。
转存文件
解包成功如下所示，也需要配合相应的 Python 版本：
解压文件
解压后的数据中有一个 RansomWare.pyc，就是需要关注的内容。由于使用 Python 3.9，需要 Decompyle++进行反编译。该工具美中不足的就是没有文档讲解如何进行构建，如下所示：
构建反编译工具
如果想要从任何地方调用 pycdc 命令，也可以运行 sudo make install。
pycdc 是反编译命令，使用它来恢复 RansomWare.pyc 的源代码：
反编译
当然，某些情况下也会遇到反编译失败的问题。但大部分代码还是可以正常进行反编译的：
反编译失败
反编译失败时，可以使用 pycdas 命令来恢复“反汇编”的字节码。
write_key() 函数的字节码反汇编
结论
本文介绍了如何解压和反编译使用 PyInstaller 打包的 Python 程序，在应对使用 Python 编写的恶意软件时可以在源码级进行分析，可以大大提高效率。
相关推荐
- python gui编程框架推荐以及介绍（python gui开发）
-
Python的GUI编程框架有很多，这里为您推荐几个常用且功能强大的框架：Tkinter：Tkinter是Python的标准GUI库，它是Python内置的模块，无需额外安装。它使用简单，功能较为基础...
- python自动化框架学习-pyautogui（python接口自动化框架）
-
一、适用平台：PC（windows和mac均可用）二、下载安装：推荐使用命令行下载（因为会自动安装依赖库）：pipinstallPyAutoGUI1该框架的依赖库还是蛮多的，第一次用的同学耐心等...
- Python 失宠!Hugging Face 用 Rust 新写了一个 ML框架，现已低调开源
-
大数据文摘受权转载自AI前线整理|褚杏娟近期，HuggingFace低调开源了一个重磅ML框架：Candle。Candle一改机器学习惯用Python的做法，而是Rust编写，重...
- Flask轻量级框架 web开发原来可以这么可爱呀~(建议收藏)
-
Flask轻量级框架web开发原来可以这么可爱呀大家好呀~今天让我们一起来学习一个超级可爱又实用的PythonWeb框架——Flask！作为一个轻量级的Web框架，Flask就像是一个小巧精致的工...
- Python3使用diagrams生成架构图（python架构设计）
-
目录技术背景diagrams的安装基础逻辑关系图组件簇的定义总结概要参考链接技术背景对于一个架构师或者任何一个软件工程师而言，绘制架构图都是一个比较值得学习的技能。这就像我们学习的时候整理的一些Xmi...
- 几个高性能Python网络框架，高效实现网络应用
-
Python作为一种广泛使用的编程语言，其简洁易读的语法和强大的生态系统，使得它在Web开发领域占据重要位置。高性能的网络框架是构建高效网络应用的关键因素之一。本文将介绍几个高性能的Python网络框...
- Web开发人员的十佳Python框架（python最好的web框架）
-
Python是一种面向对象、解释型计算机程序设计语言。除了语言本身的设计目的之外，Python的标准库也是值得大家称赞的，同时Python还自带服务器。其它方面，Python拥有足够多的免费数据函数库...
- Diagram as Code:用python代码生成架构图
-
工作中常需要画系统架构图，通常的方法是通过visio、processon、draw.io之类的软件，但是今天介绍的这个软件Diagrams，可以通过写Python代码完成架构图绘制，确实很co...
- 分享一个2022年火遍全网的Python框架
-
作者：俊欣来源：关于数据分析与可视化最近Python圈子当中出来一个非常火爆的框架PyScript，该框架可以在浏览器中运行Python程序，只需要在HTML程序中添加一些Python代码即可实现。该...
- 10个用于Web开发的最好 Python 框架
-
Python是一门动态、面向对象语言。其最初就是作为一门面向对象语言设计的，并且在后期又加入了一些更高级的特性。除了语言本身的设计目的之外，Python标准库也是值得大家称赞的，Python甚至还...
- 使用 Python 将 Google 表格变成您自己的数据库
-
图片来自Shutterstock，获得FrankAndrade的许可您知道Google表格可以用作轻量级数据库吗？GoogleSheets是一个基于云的电子表格应用程序，可以像大多数数据库管...
- 牛掰!用Python处理Excel的14个常用操作总结!
-
自从学了Python后就逼迫用Python来处理Excel，所有操作用Python实现。目的是巩固Python，与增强数据处理能力。这也是我写这篇文章的初衷。废话不说了，直接进入正题。数据是网上找到的...
- 将python打包成exe的方式（将python文件打包成exe可运行文件）
-
客户端应用程序往往需要运行Python脚本，这对于那些不熟悉Python语言的用户来说可能会带来一定的困扰。幸运的是，Python拥有一些第三方模块，可以将这些脚本转换成可执行的.exe...
- 对比Excel学Python第1练:既有Excel，何用Python?
-
背景之前发的文章开头都是“Python数据分析……”，使得很多伙伴以为我是专门分享Python的，但我的本意并非如此，我的重点还是会放到“数据分析”上，毕竟，Python只是一种工具而已。现在网上可以...
- 高效办公:Python处理excel文件，摆脱无效办公
-
一、Python处理excel文件1.两个头文件importxlrdimportxlwt其中xlrd模块实现对excel文件内容读取，xlwt模块实现对excel文件的写入。2.读取exce...
欢迎 你 发表评论:
- 一周热门
-
-
python 3.8调用dll - Could not find module 错误的解决方法
-
加密Python源码方案 PyArmor（python项目源码加密）
-
Python3.8如何安装Numpy（python3.6安装numpy）
-
大学生机械制图搜题软件?7个受欢迎的搜题分享了
-
编写一个自动生成双色球号码的 Python 小脚本
-
免费男女身高在线计算器，身高计算公式
-
将python文件打包成exe程序，复制到每台电脑都可以运行
-
Python学习入门教程，字符串函数扩充详解
-
Python数据分析实战-使用replace方法模糊匹配替换某列的值
-
Python进度条显示方案（python2 进度条）
-
- 最近发表
-
- python gui编程框架推荐以及介绍（python gui开发）
- python自动化框架学习-pyautogui（python接口自动化框架）
- Python 失宠!Hugging Face 用 Rust 新写了一个 ML框架，现已低调开源
- Flask轻量级框架 web开发原来可以这么可爱呀~(建议收藏)
- Python3使用diagrams生成架构图（python架构设计）
- 几个高性能Python网络框架，高效实现网络应用
- Web开发人员的十佳Python框架（python最好的web框架）
- Diagram as Code:用python代码生成架构图
- 分享一个2022年火遍全网的Python框架
- 10个用于Web开发的最好 Python 框架
- 标签列表
-
- python计时 (54)
- python安装路径 (54)
- python类型转换 (75)
- python进度条 (54)
- python的for循环 (56)
- python串口编程 (60)
- python写入txt (51)
- python读取文件夹下所有文件 (59)
- java调用python脚本 (56)
- python操作mysql数据库 (66)
- python字典增加键值对 (53)
- python获取列表的长度 (64)
- python接口 (63)
- python调用函数 (57)
- python qt (52)
- python人脸识别 (54)
- python斐波那契数列 (51)
- python多态 (60)
- python命令行参数 (53)
- python匿名函数 (59)
- python打印九九乘法表 (65)
- centos7安装python (53)
- python赋值 (62)
- python异常 (69)
- python元祖 (57)