别再问我exe反编译成Python脚本了！

偏执的太偏执、 2022-09-07 09:49 53阅读 0赞

![8cf4c432ec5d6a25b811709e98629b1d.gif][]

大家好，我是小五????

今年年初的时候，我写了一篇：[别再问我Python打包成exe了！（终极版）][Python_exe]，相信解决了不少小伙伴的Pyinstaller打包问题。

不过我最近遇到了一个问题，自己打包好的exe文件还在，但是Python源文件不知什么时候被误删了。现在想改动一下功能，重写Python脚本工程量也太大了，怎么办？

请看下文：

作者简介

小小明，数据、Python爱好者。个人博客地址：https://blog.csdn.net/as604049322

今天我将教大家如何反编译exe文件，即将自己或别人写好的exe，还原成Python源码。

以最近写**Python一键自动整理归类文件**为例进行演示，运行所需的代码和文件都会在文末提供给大家。

![3438b331b2721838de4de2030d458dea.gif][]

打包成单文件所使用的命令为：

pyinstaller -Fw --icon=h.ico auto_organize_gui.py --add-data="h.ico;/"

打包成文件夹所使用的命令为：

pyinstaller -w --icon=h.ico auto_organize_gui.py --add-data="h.ico;."

不管是哪种打包方式都会留下一个exe文件。

首先我们需要从exe文件中抽取出其中的pyc文件：

## 抽取exe中的pyc文件 ##

抽取pyinstaller打包的exe中的pyc文件，提取pyc文件有两种方法：

1.  通过 pyinstxtractor.py 脚本提取pyc文件
2.  通过 pyi-archive\_viewer 工具提取pyc文件

### 脚本提取pyc文件 ###

pyinstxtractor.py 脚本可以在github项目 python-exe-unpacker 中下载，地址：

*https://github.com/countercept/Python-exe-unpacker*

下载该项目后把其中的`pyinstxtractor.py`脚本文件复制到与exe同级的目录。

然后进入exe所在目录的cmd执行：

Python pyinstxtractor.py auto_organize_gui.exe

执行后便得到exe文件名加上`_extracted`后缀的文件夹：

![f6d1c0ee904f900f03e95d623e7bc6f2.png][]

对两种打包方式产生的exe提取出的文件结构稍有区别：

![787ac15a261768c66ab421fd70fe5a81.png][]

### 工具提取pyc文件 ###

pyi-archive\_viewer是PyInstaller自己提供的工具，它可以直接提取打包结果exe中的pyc文件。

详细介绍可参考官方文档：*ttps://pyinstaller.readthedocs.io/en/stable/advanced-topics.html\#using-pyi-archive-viewer*

执行`pyi-archive_viewer [filename]`即可查看 exe 内部的文件结构：

pyi-archive_viewer auto_organize.exe

操作命令：

U: go Up one level
    O <name>: open embedded archive name
    X <name>: extract name
    Q: quit

然后可以提取出指定需要提取的文件：

![5252db9e703f1b48439f287c510da22c.png][]

要提取其他被导入的pyc文件，则需要先打开`PYZ-00.pyz`：

![4626fca7b494bcd359dac32327444865.png][]

很显然，使用PyInstaller的pyi-archive\_viewer 工具操作起来比较麻烦，一次只能提取一个文件，遇到子模块还需执行一次打开操作。

所以后面我也只使用pyinstxtractor.py 脚本来提取pyc文件。

## 反编译pyc文件为py脚本 ##

有很多对pyc文件进行解密的网站，例如：

*  *https://tool.lu/pyc/*

不过我们直接使用 `uncompyle6` 库进行解码，使用pip可以直接安装：

pip install uncompyle6

uncompyle6可以反编译.pyc后缀结尾的文件，两种命令形式：

1.  `uncompyle6 xxx.pyc>xxx.py`
2.  `uncompyle6 -o xxx.py xxx.pyc`

以前面编码过程中生成的缓存为例进行演示：

uncompyle6 auto_organize.cpython-37.pyc>auto_organize.py

执行后便直接将.pyc文件反编译成Python脚本了：

![6c7abc69a0d983c2b4f4ca89332db89c.png][]

从编译结果看注释也被保留了下来：

![edafacef03244fb9d3ba0c2e66bc0c0b.png][]

对于不是pyc后缀结尾的文件，使用uncompyle6反编译时会报出 *must point to a Python source that can be compiled, or Python bytecode (.pyc, .pyo)* 的错误。

所以我们需要先对提取出的内容人工修改后缀：

![d0df334812109e5f15e6815186c1cca4.png][]

### 运行入口pyc文件反编译 ###

对于从pyinstaller提取出来的pyc文件并不能直接反编译，入口运行类共16字节的 `magic` 和 `时间戳`被去掉了。

如果直接进行反编译，例如执行 *uncompyle6 auto\_organize\_gui.exe\_extracted/auto\_organize\_gui.pyc*

会报出如下错误：*ImportError: Unknown magic number 227 in auto\_organize\_gui.exe\_extracted\\auto\_organize\_gui.pyc*

使用支持16进制编辑的文本编辑器查看一探究竟，这里我使用`UltraEdit32`：

分别打开正常情况下编译出的pyc和从pyinstaller提取出来的pyc文件进行对比：

![cdcbff52dabdc35f2ca434506b68402a.png][]

可以看到前16个字节都被去掉了，其中前四个字节是`magic`，这四个字节会随着系统和Python版本发生变化，必须一致。后四个字节包括时间戳和一些其他的信息，都可以随意填写。

我们先通过`UltraEdit32`向pyinstaller提取的文件添加头信息：

![e383ec4387c4e56c39085b5ecbb5b56c.png][]

选择开头插入16个字节后，只需要替换前4个字节为当前环境下的magic：

![05010d6f25791621ccdf24783fba65f7.gif][]

然后执行：

uncompyle6 auto_organize_gui.exe_extracted/auto_organize_gui.pyc>auto_organize_gui.py

执行后可以看到文件已经顺利的被反编译：

![e2e10941a6b016fb6aef680dc0b5b6e7.png][]

### 依赖性pyc文件反编译 ###

考虑再反编译导入的其他依赖文件：

![31d03a5810b6674079e3f93cc2b9c3bb.png][]

先用`UltraEdit32`打开查看一下：

![9e413238ce53dcb4c15d545291023e4a.png][]

可以看到对于非入口运行的pyc文件是从12字节开始缺4个字节。

这里我们选择第13个字节再插入四个字节即可：

![99de46973885148a6d149e8cf9a5d901.gif][]

然后再执行：

uncompyle6 auto_organize_gui.exe_extracted/PYZ-00.pyz_extracted/auto_organize.pyc > auto_organize.py

然后成功的反编译出依赖的文件：

![6b6ad74c149cd4c7d7df2c9b4dc8f4ed.png][]

代码与原文件几乎完全一致：

![fe890a3b9562d8af03fdb52ad6409e6e.png][]

## 批量反编译 ##

如果一个exe需要被反编译的Python脚本只有3个以内的文件，我们都完全可以人工来操作。

但是假如一个exe涉及几十个甚至上百个Python脚本需要反编译的时候，人工操作未免工作量过于巨大，我们考虑将以上过程用Python实现，从而达到**批量反编译**的效果。

### 提取exe中的pyc ###

import os
    import sys
    import pyinstxtractor
    
    exe_file = r"D:/PycharmProjects/gui_project/dist/auto_organize_gui.exe"
    sys.argv = ['pyinstxtractor', exe_file]
    pyinstxtractor.main()
    # 恢复当前目录位置
    os.chdir("..")

[*] Processing D:/PycharmProjects/gui_project/dist/auto_organize_gui.exe
    [*] Pyinstaller version: 2.1+
    [*] Python version: 37
    [*] Length of package: 9491710 bytes
    [*] Found 984 files in CArchive
    [*] Beginning extraction...please standby
    [*] Found 157 files in PYZ archive
    [*] Successfully extracted pyinstaller archive: D:/PycharmProjects/gui_project/dist/auto_organize_gui.exe
    
    You can now use a Python decompiler on the pyc files within the extracted directory

### 预处理pyc文件修护校验头 ###

def find_main(pyc_dir):
        for pyc_file in os.listdir(pyc_dir):
            if not pyc_file.startswith("pyi-") and pyc_file.endswith("manifest"):
                main_file = pyc_file.replace(".exe.manifest", "")
                result = f"{pyc_dir}/{main_file}"
                if os.path.exists(result):
                    return main_file
    
    pyc_dir = os.path.basename(exe_file)+"_extracted"
    main_file = find_main(pyc_dir)
    main_file

读取从pyz目录抽取的pyc文件的前4个字节作基准：

pyz_dir = f"{pyc_dir}/PYZ-00.pyz_extracted"
    for pyc_file in os.listdir(pyz_dir):
        if pyc_file.endswith(".pyc"):
            file = f"{pyz_dir}/{pyc_file}"
            break
    with open(file, "rb") as f:
        head = f.read(4)
    list(map(hex, head))

['0x42', '0xd', '0xd', '0xa']

校准入口类：

import shutil
    if os.path.exists("pycfile_tmp"):
        shutil.rmtree("pycfile_tmp")
    os.mkdir("pycfile_tmp")
    main_file_result = f"pycfile_tmp/{main_file}.pyc"
    with open(f"{pyc_dir}/{main_file}", "rb") as read, open(main_file_result, "wb") as write:
        write.write(head)
        write.write(b"\0"*12)
        write.write(read.read())

校准子类：

pyz_dir = f"{pyc_dir}/PYZ-00.pyz_extracted"
    for pyc_file in os.listdir(pyz_dir):
        pyc_file_src = f"{pyz_dir}/{pyc_file}"
        pyc_file_dest = f"pycfile_tmp/{pyc_file}"
        print(pyc_file_src, pyc_file_dest)
        with open(pyc_file_src, "rb") as read, open(pyc_file_dest, "wb") as write:
            write.write(read.read(12))
            write.write(b"\0"*4)
            write.write(read.read())

### 开始反编译 ###

from uncompyle6.bin import uncompile
    
    if not os.path.exists("py_result"):
        os.mkdir("py_result")
    for pyc_file in os.listdir("pycfile_tmp"):
        sys.argv = ['uncompyle6', '-o',
                    f'py_result/{pyc_file[:-1]}', f'pycfile_tmp/{pyc_file}']
        uncompile.main_bin()

![cb16b07fdbfa8f7273fb06e9bdd46658.png][]

完整代码下载见文末。

这样我们只需将Python脚本、exe文件和`pyinstxtractor.py`脚本文件 放置到同一文件夹下，运行我们的Python脚本。即可反编译exe。

可以看到已经完美的反编译出exe其中的Python脚本：

![b9dc17668c90d7f65ff7259bd7da4f0d.png][]

好了，相信大家已经明白了反编译的原理。那么既然是攻防，**如何防止自己打包的exe被反编译呢？**

![5331f80d889ee862c28c18d5ddf47f22.png][]

## 如何防止exe被反编译呢 ##

只需在打包命令后面加上`--key`命令即可，例如文章开头的命令可以更换为：

pyinstaller -Fw --icon=h.ico auto_organize_gui.py --add-data="h.ico;/" --key 123456

> `123456`是你用来加密的密钥，可以随意更换。

该加密参数依赖tinyaes，可以通过以下命令安装：

pip install tinyaes

打包后再次执行反编译：

exe_file = r"D:/PycharmProjects/gui_project/dist/auto_organize_gui.exe"
    uncompyle_exe(exe_file, True)

结果只有入口脚本反编译成功，被依赖的脚本均被加密，无法直接被反编译：

![fe8f306f2202b1e726f23b060b776032.png][]

可以看到抽取的中间结果变成了`.pyc.encrypted`格式，无法直接被反编译：

![c693fb3a096f88c86dc6ef6620955a51.png][]

可以看到，常规手段就无法直接反编译了。

这个时候还想反编译就需要底层的逆向分析研究了，或者pyinstaller的源码完整研究一遍，了解其加密处理的机制，看看有没有破解的可能。

### 下载地址 ###

如果大家想测试exe反编译，手头又没有合适的文件，可以在「**凹凸数据**」后台回复“**反编译**”即可获得以下文件：

![af1a7d7fafde19dc7f753a166178972c.png][]

如果今天的文章有帮助到大家，记得给个一键三连啦~~~

作者简介

小小明，数据、Python爱好者。个人博客地址：https://blog.csdn.net/as604049322

**![7b71f45ad3dac600db83d887b049a23c.png][]**

![fdbd66a63ae2e48446ba88d4f122b222.gif][]

点击这里，即可关注本文作者的博客！

[8cf4c432ec5d6a25b811709e98629b1d.gif]: /images/20220829/6bb132a2ccce4984849e1afcbcd1b1df.png
[Python_exe]: https://mp.weixin.qq.com/s?__biz=MzU5Nzg5ODQ3NQ%3D%3D&idx=1&mid=2247505334&scene=21&sn=5e6e6b23fdec018d584738326e3a4b7b#wechat_redirect
[3438b331b2721838de4de2030d458dea.gif]: /images/20220829/2ccb0c18dcf64cca9f8c0a25adfeb66e.png
[f6d1c0ee904f900f03e95d623e7bc6f2.png]: /images/20220829/9d17a55881f24b9abf67da592f21b117.png
[787ac15a261768c66ab421fd70fe5a81.png]: /images/20220829/b18ab390a5b748b99a2ec74e284b1971.png
[5252db9e703f1b48439f287c510da22c.png]: /images/20220829/7b6640ba9e4243489a9ef7a7880a52b9.png
[4626fca7b494bcd359dac32327444865.png]: /images/20220829/28ad8f632d65456ea1772303c8a36de8.png
[6c7abc69a0d983c2b4f4ca89332db89c.png]: /images/20220829/ded838fe2c264af680e9702b4616a17b.png
[edafacef03244fb9d3ba0c2e66bc0c0b.png]: /images/20220829/d0bd233ca447475faf152c36b0ec6057.png
[d0df334812109e5f15e6815186c1cca4.png]: /images/20220829/c89b50f823114852ace02434f6aff229.png
[cdcbff52dabdc35f2ca434506b68402a.png]: /images/20220829/e3016afb16ac4e3bb98e2bfdd1f3aef7.png
[e383ec4387c4e56c39085b5ecbb5b56c.png]: /images/20220829/e99e6720712c4432a4b851f48eed2c24.png
[05010d6f25791621ccdf24783fba65f7.gif]: /images/20220829/32e206dbfb234adfa909e6d7ff197e78.png
[e2e10941a6b016fb6aef680dc0b5b6e7.png]: /images/20220829/89c2244555944380a1235829af96f6a5.png
[31d03a5810b6674079e3f93cc2b9c3bb.png]: /images/20220829/467882b71dc543cba77a81abeb539f32.png
[9e413238ce53dcb4c15d545291023e4a.png]: /images/20220829/b7982b4a0d6b445da1f06cbd8530b15e.png
[99de46973885148a6d149e8cf9a5d901.gif]: /images/20220829/8585b06d539e470e99aaac53e76ce4d1.png
[6b6ad74c149cd4c7d7df2c9b4dc8f4ed.png]: /images/20220829/a4182119303d40ef85cbc833a2db8b54.png
[fe890a3b9562d8af03fdb52ad6409e6e.png]: /images/20220829/575c124899bd4cc0917f997339864078.png
[cb16b07fdbfa8f7273fb06e9bdd46658.png]: /images/20220829/5dbfadb152144231acb0b1b22676e616.png
[b9dc17668c90d7f65ff7259bd7da4f0d.png]: /images/20220829/f866e590588c4604814fdb7ba562ab0f.png
[5331f80d889ee862c28c18d5ddf47f22.png]: /images/20220829/168c28a3b486426f976dd6adbda57c8f.png
[fe8f306f2202b1e726f23b060b776032.png]: /images/20220829/c171de657f3d4017b987233910e754ce.png
[c693fb3a096f88c86dc6ef6620955a51.png]: /images/20220829/b27788212bc84332af73a26fd410f067.png
[af1a7d7fafde19dc7f753a166178972c.png]: /images/20220829/f4c743a665bf4105a5cb31eef577a140.png
[7b71f45ad3dac600db83d887b049a23c.png]: /images/20220829/2d8d132779b140e58b71d4f53b2a0989.png
[fdbd66a63ae2e48446ba88d4f122b222.gif]: /images/20220829/1297080008c14400a7df5b241989f396.png