pyinstxtractor无法解析加壳的Python可执行文件

Question

使用pyinstxtractor反编译加壳后的Python可执行文件时，常因加壳工具对二进制文件进行加密或混淆导致无法识别PYZ或Pkl段，从而解析失败。该问题多表现为脚本运行后无输出、报“Not a valid PyInstaller archive”错误，或仅提取出空目录。根本原因在于加壳改变了原始结构布局，破坏了pyinstxtractor对特征签名的匹配机制。如何有效识别并脱壳此类保护程序成为逆向分析的关键难点。

Answer 1

一、PyInstaller加壳文件反编译失败的深层分析与脱壳策略

1. 问题背景与常见现象

在逆向工程中，使用pyinstxtractor对Python打包生成的可执行文件进行反编译是常见手段。然而，当目标程序被加壳工具（如UPX、VMProtect或自定义加密器）处理后，常出现以下典型症状：

• 运行pyinstxtractor后无任何输出
• 提示“Not a valid PyInstaller archive”错误
• 仅生成空目录或部分资源文件
• 无法识别PYZ或Pkl段结构
• 特征签名（如‘MEI’或‘PYZ’）被篡改或移位

这些现象的根本原因在于：加壳过程通过加密、混淆或重定位破坏了PyInstaller原始二进制布局，导致pyinstxtractor依赖的静态结构解析机制失效。

2. 技术原理剖析：PyInstaller结构与加壳干扰机制

标准PyInstaller打包流程会生成如下关键结构：

结构名称	偏移位置	功能描述
MEI Header	文件末尾附近	标识PyInstaller归档起始点
PYZ Archive	动态偏移	压缩的Python字节码集合
Pkl Segment	通常紧随其后	序列化的模块导入信息
TOC Table	结构内部	文件名与偏移映射表

加壳工具通常采用以下方式干扰上述结构：

1. 对整个二进制文件进行AES/RC4等算法加密
2. 将关键段（如PYZ）拆分并散布于多个节区
3. 修改或删除MEI标识字符串
4. 插入虚拟机保护层延迟解密时机
5. 使用IAT Hook阻止调试器附加

3. 分析流程：从识别到脱壳的完整路径

graph TD
    A[获取目标EXE] --> B{是否加壳?}
    B -- 是 --> C[使用PEiD/Entropy分析]
    B -- 否 --> D[直接运行pyinstxtractor]
    C --> E[尝试脱壳: UPX -d / Scylla]
    E --> F[修复IAT]
    F --> G[搜索MEI/PYZ特征]
    G --> H[定位归档起始偏移]
    H --> I[手动构造输入供pyinstxtractor]
    I --> J[提取PYC文件]
    J --> K[使用uncompyle6还原源码]

4. 实战解决方案汇总

针对不同层级的保护，需采取递进式应对策略：

# 示例：手动定位并提取PYZ段（基于已知偏移）
import struct

def find_pyz_offset(file_path):
    with open(file_path, 'rb') as f:
        data = f.read()
    # 搜索PYZ signature (注意大小端)
    pos = data.find(b'PYZ\0')
    if pos != -1:
        print(f"[+] Found PYZ at offset: 0x{pos:X}")
        # 尝试读取后续结构长度
        size = struct.unpack_from('<I', data, pos + 4)[0]
        return pos, size
    else:
        print("[-] PYZ signature not found")
        return None

5. 高级技巧与工具链扩展

对于强混淆场景，单一工具难以奏效，建议构建多维度分析体系：

• 动态脱壳：使用x64dbg配合Breakpoint on CreateProcessInternalW捕获内存镜像
• 熵值分析：通过binwalk或Ent 观察高熵区段判断加密区域
• 补丁注入：修改入口点跳过反调试逻辑
• 自定义解析器：编写脚本重构被分割的TOC表
• 行为监控：利用API Monitor追踪临时文件释放过程

此外，社区已有增强版工具如pyinstxtractor-ng支持部分加壳格式的智能恢复，其核心改进包括：

功能	原版限制	NG版改进
签名匹配	严格匹配固定偏移	支持模糊搜索+上下文推断
段定位	依赖MEI header	可通过字符串引用回溯
异常处理	遇错即停	跳过损坏项继续解析