pyc花指令

常见的python花指令形式有两种：单重叠指令和多重叠指令。

以下以python3.8为例，指令长度为2字节。

单重叠指令：

例如pyc经过反编译后得到的东西为

 0 JUMP_ABSOLUTE        [71 04]     5

 2 PRINT_ITEM           [47 --]

 4 LOAD_CONST           [64 10]     16

 6 STOP_CODE            [00 --]

实际在执行时，并不会执行 2 PRINT_ITEM [47 --]：

0 JUMP_ABSOLUTE        [71 04]     5

4 LOAD_CONST           [64 10]     16

单重叠指令多是分支的跳转，导致一些反编译工具如pycdc、uncompyle6出错。

多重叠指令：

 0 EXTENDED_ARG         [91 64]

 2 EXTENDED_ARG         [91 53]

 4 JUMP_ABSOLUTE        [71 01]

实际执行时

 0 EXTENDED_ARG         [91 64]

 2 EXTENDED_ARG         [91 53]

 4 JUMP_ABSOLUTE        [71 02]

 1 LOAD_CONST           [64 91]

 3 RETURN_VALUE         [53 --]

多重叠指令是将指令的数据部分当作下一条指令的opcode部分执行，在跳转基础上进一步混淆控制流的技术手段，可以有效对抗逆向者。

NOP花指令：

NOP为junk code，只要不影响正常执行逻辑，其他的指令可自由发挥，含有NOP的pyc均不可以被现有的反编译工具反编译成py代码。

去除花指令

pyc去除花指令后，很大可能是不能被现有工具反编译成源码的，因为现有反编译工具对pyc要求比较严格，不能有nop以及其他junk指令，但程序运行时python虚拟机却没有。

因此不同于用ida patch 汇编代码，想在patch过的pyc反编译回原来的源码，工作量还是蛮大的。

下面以[2022年安洵杯]flower.pyc为例

626     LOAD_GLOBAL             6: ord

628     LOAD_GLOBAL             18: Base64Table

630     LOAD_FAST               3: i

632     LOAD_CONST              22: 22

634     BINARY_XOR

636     BINARY_SUBSCR

638     CALL_FUNCTION           1

640     STORE_FAST              15: tmp2

这一段是把base64[i]改为了base64[i^22]

258     LOAD_NAME               16: ret

260     LOAD_NAME               18: i

262     LOAD_NAME               18: i

264     LOAD_CONST              40: 4

266     BINARY_ADD

268     BUILD_SLICE             2

270     BINARY_SUBSCR

272     LOAD_NAME               19: Key1

274     LOAD_NAME               17: j

276     STORE_SUBSCR

278     LOAD_NAME               17: j

280     LOAD_CONST              41: 1

282     BINARY_ADD

284     STORE_NAME              17: j

286     LOAD_NAME               18: i

288     LOAD_CONST              40: 4

290     BINARY_ADD

292     STORE_NAME              18: i

294     LOAD_NAME               17: j

296     LOAD_CONST              42: 10

298     COMPARE_OP              2 (==)

300     POP_JUMP_IF_FALSE       258

304     JUMP_ABSOLUTE           312

308     JUMP_ABSOLUTE           258

转化成py代码就是

input_str = input()

ret = My_base64_encode(input_str)

j = 0

i = 0

Key1 = "1234512345"

len_ret = len(ret) // 4

while j != 10:

	Key1[j] = ret[i:i+4]

	j = j + 1

	i = i + 4

keyCheck = ''

if keyCheck[0] == keyInputCom[8]:

然后后面有一堆重复的，提取出来就是

0 == 8

1 == 9

2 == 1

3 == 7

4 == 5

5 == 0

6 == 6

7 == 4

8 == 3

9 == 2

然后再写题解的代码就可以了。

利用脚本去除花指令：用python模拟执行python的opcode，遇到分支就跳转，直到ret_value停止本次执行，采用的是简单的DFS递归算法

import marshal, sys, opcode, types, dis

NOP = 9

HAVE_ARGUMENT = 90

JUMP_FORWARD = 110

JUMP_IF_FALSE_OR_POP = 111

JUMP_IF_TRUE_OR_POP = 112

JUMP_ABSOLUTE = 113

POP_JUMP_IF_FALSE = 114

POP_JUMP_IF_TRUE = 115

CONTINUE_LOOP = 119

FOR_ITER = 93

RETURN_VALUE = 83

used_set = set()

def deconf_inner(code, now):

    global used_set

    while code[now] != RETURN_VALUE:

        if now in used_set:

            break

        used_set.add(now)

        if code[now] >= HAVE_ARGUMENT:

            used_set.add(now+1)

            used_set.add(now+2)

        op = code[now]

        #print(str(now) + " " + opcode.opname[op])

        if op == JUMP_FORWARD:

            arg = code[now+2] << 8 | code[now+1]

            now += arg + 3

            continue

        elif op == JUMP_ABSOLUTE:

            arg = code[now+2] << 8 | code[now+1]

            now = arg

            continue

        elif op == JUMP_IF_TRUE_OR_POP:

            arg = code[now+2] << 8 | code[now+1]

            deconf_inner(code, arg)

        elif op == JUMP_IF_FALSE_OR_POP:

            arg = code[now+2] << 8 | code[now+1]

            deconf_inner(code, arg)

        elif op == POP_JUMP_IF_TRUE:

            arg = code[now+2] << 8 | code[now+1]

            deconf_inner(code, arg)

        elif op == POP_JUMP_IF_FALSE:

            arg = code[now+2] << 8 | code[now+1]

            deconf_inner(code, arg)

        elif op == CONTINUE_LOOP:

            arg = code[now+2] << 8 | code[now+1]

            deconf_inner(code, arg)

        elif op == FOR_ITER:

            arg = code[now+2] << 8 | code[now+1]

            deconf_inner(code, now + arg + 3)

        if op < HAVE_ARGUMENT:

            now += 1

        else:

            now += 3

    used_set.add(now)

    if code[now] >= HAVE_ARGUMENT:

        used_set.add(now+1)

        used_set.add(now+2)

def deconf(code):

    global used_set

    used_set = set() #Remember to clean up used_set for every target function

    cod = list(map(ord, code))

    deconf_inner(cod, 0)

    for i in range(len(cod)):

        if i not in used_set:

            cod[i] = NOP

    return "".join(list(map(chr, cod)))

with open(sys.argv[1], 'rb') as f:

    header = f.read(8)

    code = marshal.load(f)

print(code.co_consts,type(code))

'''

print(dis.dis(deconf(code.co_consts[3].co_code)))

'''

consts = list()

for i in range(len(code.co_consts)):

    if hasattr(code.co_consts[i], 'co_code'):

        consts.append(types.CodeType(code.co_consts[i].co_argcount,

            # c.co_kwonlyargcount,  Add this in Python3

            code.co_consts[i].co_nlocals,

            code.co_consts[i].co_stacksize,

            code.co_consts[i].co_flags,

            deconf(code.co_consts[i].co_code),

            code.co_consts[i].co_consts,

            code.co_consts[i].co_names,

            code.co_consts[i].co_varnames,

            code.co_consts[i].co_filename,

            code.co_consts[i].co_name,

            code.co_consts[i].co_firstlineno,

            code.co_consts[i].co_lnotab,   # In general, You should adjust this

            code.co_consts[i].co_freevars,

            code.co_consts[i].co_cellvars))

    else:

        consts.append(code.co_consts[i])

mode = types.CodeType(code.co_argcount,

    # c.co_kwonlyargcount,  Add this in Python3

    code.co_nlocals,

    code.co_stacksize,

    code.co_flags,

    deconf(code.co_code),

    tuple(consts),

    code.co_names,

    code.co_varnames,

    code.co_filename,

    code.co_name,

    code.co_firstlineno,

    code.co_lnotab,   # In general, You should adjust this

    code.co_freevars,

    code.co_cellvars)

f = open(sys.argv[1]+".mod", 'wb')

f.write(header)

marshal.dump(mode, f)

import marshal, sys, opcode, types, dis

import opcode

def getopcode(opname):

    return opcode.opname.index(opname)

NOP = getopcode('NOP')

# HAVE_ARGUMENT = getopcode('HAVE_ARGUMENT')  # py2.7

JUMP_FORWARD = getopcode('JUMP_FORWARD')

JUMP_IF_FALSE_OR_POP = getopcode('JUMP_IF_FALSE_OR_POP')

JUMP_IF_TRUE_OR_POP = getopcode('JUMP_IF_TRUE_OR_POP')

JUMP_ABSOLUTE = getopcode('JUMP_ABSOLUTE')

POP_JUMP_IF_FALSE = getopcode('POP_JUMP_IF_FALSE')

POP_JUMP_IF_TRUE = getopcode('POP_JUMP_IF_TRUE')

EXTENDED_ARG = getopcode('EXTENDED_ARG')

# CONTINUE_LOOP = getopcode('CONTINUE_LOOP')  # py2.7

FOR_ITER = getopcode('FOR_ITER')

RETURN_VALUE = getopcode('RETURN_VALUE')

used_set = set()

def deconf_inner(code, now):

    global used_set

    while code[now] != RETURN_VALUE:

        if now in used_set:

            break

        used_set.add(now)

        used_set.add(now + 1)

        op = code[now]

        # print(str(now) + " " + opcode.opname[op])

        if op == EXTENDED_ARG: # 对JUMP_FORWARD带有EXTENDED_ARG的处理

            # 第一层

            op_next = code[now + 2]

            now += 2

            used_set.add(now)

            used_set.add(now+1)

            if op_next == EXTENDED_ARG:

                # 第二层

                arg = code[now - 1] << 8|code[now + 1]

                op_next_next = code[now + 2]

                now += 2

                used_set.add(now)

                used_set.add(now+1)

                if op_next_next == EXTENDED_ARG:

                    arg = arg << 8 | code[now + 1]

                    # 第三层

                    if op_next == JUMP_FORWARD or op_next == FOR_ITER:

                        arg = arg << 8 | code[now + 1]

                        deconf_inner(code, arg + now + 2)

                    else:

                        arg = arg << 8 | code[now + 1]

                        deconf_inner(code, arg)

                elif op_next == JUMP_FORWARD or op_next == FOR_ITER:

                    arg = code[now - 1] << 8 | code[now + 1]

                    deconf_inner(code, arg + now + 2)

                else:

                    arg = code[now - 1] << 8 | code[now + 1]

                    deconf_inner(code, arg)

            elif op_next == JUMP_FORWARD or op_next == FOR_ITER:

                arg = code[now - 1] << 8 | code[now + 1]

                deconf_inner(code, arg + now + 2)

            else:

                arg = code[now - 1] << 8 | code[now + 1]

                deconf_inner(code, arg)

            

        elif op == JUMP_FORWARD:

            arg = code[now + 1]

            now += arg + 2

            op_next = code[now]

            if op_next == JUMP_FORWARD or arg == 0 or arg == 1 or arg == 2 or arg == 4: # 一般JUMP_FORWARD参数为0、2、4都为花指令

                used_set.remove(now - (arg + 2))

                used_set.remove(now - (arg + 2) + 1)

            continue

        elif op == JUMP_ABSOLUTE:

            arg = code[now + 1]

            now = arg

            continue

        elif op == JUMP_IF_TRUE_OR_POP:

            arg = code[now + 1]

            deconf_inner(code, arg)

        elif op == JUMP_IF_FALSE_OR_POP:

            arg = code[now + 1]

            deconf_inner(code, arg)

        elif op == POP_JUMP_IF_TRUE:

            arg = code[now + 1]

            deconf_inner(code, arg)

        elif op == POP_JUMP_IF_FALSE:

            arg = code[now + 1]

            deconf_inner(code, arg)

        elif op == FOR_ITER:

            arg = code[now + 1]

            deconf_inner(code, now + arg + 2)

        now += 2

    used_set.add(now)

def deconf(code):

    global used_set

    used_set = set()  # Remember to clean up used_set for every target function

    # cod = list(map(ord, code))

    cod = list(code)

    deconf_inner(cod, 0)

    for i in range(len(cod)):

        if i not in used_set:

            cod[i] = NOP

    # aa = bytes(cod)

    aa = b''.join(map(lambda x: int.to_bytes(x, 1, 'little'), cod))

    return aa

filename = 'PYC.pyc'

with open(filename, 'rb') as f:

    header = f.read(16)

    code = marshal.load(f)

print(code.co_consts)

'''

print(dis.dis(deconf(code.co_consts[3].co_code)))

'''

consts = list()

for i in range(len(code.co_consts)):

    if hasattr(code.co_consts[i], 'co_code'):

        consts.append(types.CodeType(code.co_consts[i].co_argcount,

                                     code.co_posonlyargcount,

                                     code.co_kwonlyargcount,  # Add this in Python3

                                     code.co_consts[i].co_nlocals,

                                     code.co_consts[i].co_stacksize,

                                     code.co_consts[i].co_flags,

                                     deconf(code.co_consts[i].co_code),

                                     code.co_consts[i].co_consts,

                                     code.co_consts[i].co_names,

                                     code.co_consts[i].co_varnames,

                                     code.co_consts[i].co_filename,

                                     code.co_consts[i].co_name,

                                     code.co_consts[i].co_firstlineno,

                                     code.co_consts[i].co_lnotab,  # In general, You should adjust this

                                     code.co_consts[i].co_freevars,

                                     code.co_consts[i].co_cellvars))

    else:

        consts.append(code.co_consts[i])

mode = types.CodeType(code.co_argcount,

                      code.co_posonlyargcount,

                      code.co_kwonlyargcount,  # Add this in Python3

                      code.co_nlocals,

                      code.co_stacksize,

                      code.co_flags,

                      deconf(code.co_code),

                      tuple(consts),

                      code.co_names,

                      code.co_varnames,

                      code.co_filename,

                      code.co_name,

                      code.co_firstlineno,

                      code.co_lnotab,  # In general, You should adjust this

                      code.co_freevars,

                      code.co_cellvars)

f = open(filename + ".mod", 'wb')

f.write(header)

marshal.dump(mode, f)

pyc文件花指令的更多相关文章

Docker Kubernetes YAML文件常用指令
YAML文件常用指令配置文件说明: 定义配置时,指定最新稳定版API(当前为v1). 配置文件应该存储在集群之外的版本控制仓库中.如果需要,可以快速回滚配置.重新创建和恢复. 应该使用YAML格式编 ...
.pyc文件的结构体PyCodeObject
python执行程序时生成的pyc文件里面是,PyCodeObject 的结构体构成,每个命名空间(函数名.import模块等)都会形成一个core block,一个python程序的所有命名空间生成 ...
Python之code对象与pyc文件（二）
上一节:Python之code对象与pyc文件(一) 创建pyc文件的具体过程前面我们提到,Python在通过import或from xxx import xxx时会对module进行动态加载,如果 ...
Python之code对象与pyc文件（一）
Python程序的执行过程我们都知道,C语言在执行之前需要将源代码编译成可执行的二进制文件,也就是将源代码翻译成机器代码,这种二进制文件一旦生成,即可用于执行.但是,Python是否一样呢?或许很多 ...
PYC文件简介
PYC文件简介¶ 不说废话,这里说的pyc文件就是 Python 程序编译后得到的字节码文件 (py->pyc). 基本格式¶ pyc文件一般由3个部分组成: 最开始4个字节是一个Maigc i ...
Python逆向（二）—— pyc文件结构分析
一.前言上一节我们知道了pyc文件是python在编译过程中出现的主要中间过程文件.pyc文件是二进制的,可以由python虚拟机直接执行的程序.分析pyc文件的文件结构对于实现python编译与反 ...
木马防杀花指令 OllyDbg
打开木马入口地址添加花指令全0的地方,可以插入花指令保存为可执行文件随便选择几行,右击保存文件
《python解释器源码剖析》第8章--python的字节码与pyc文件
8.0 序我们日常会写各种各样的python脚本,在运行的时候只需要输入python xxx.py程序就执行了.那么问题就来了,一个py文件是如何被python变成一系列的机器指令并执行的呢? 8. ...
Python基础-1 python由来 Python安装入门注释 pyc文件 python变量获取用户输入流程控制if while
1.Python由来 Python前世今生 python的创始人为吉多·范罗苏姆(Guido van Rossum).1989年的圣诞节期间,吉多·范罗苏姆为了在阿姆斯特丹打发时间,决心开发一个新的脚 ...
.pyc文件是什么？
一个.py文件就是一个模块,而模块名就是文件名,如module.py的模块名就是module.如果module.py文件里定义了一些函数和变量,而外部文件如test_module.py想使用这些函数或 ...

随机推荐

搭建本地nginx-rtmp服务，初体验rtmp推流、拉流
实验环境说明: ubuntu 16.04 进行本实验的前提:需要在ubuntu上搭建好ffmpeg环境,参考我的另一篇博文 ffmpeg编译过程经历的99八十一难下面开始本文内容 PART1 编译安 ...
[namespace hdk] string
#include<bits/stdc++.h> using namespace std; namespace hdk{ const int siz=100001; class string ...
构建数据大屏，塑造IT运维可视化核心竞争力
随着大数据.云计算等新兴技术的发展与运用,在金融.交通.教育.政府等行业的信息化在飞速发展.与此同时,各行业的IT建设与维护管理成本也在与日俱增,大量的运维工作下产生庞大的运维数据,如何进行运维数据可 ...
laravel框架中保留条件搜索
前段代码 <form action="admin_index" method="get"> <input type="text&qu ...
LeetCode 218. 天际线问题（扫描线+优先队列）
扫描线+优先队列 https://leetcode-cn.com/problems/the-skyline-problem/solution/tian-ji-xian-wen-ti-by-leetco ...
USB协议详解第4讲（USB描述符-标准配置描述符）
1.USB描述符 USB描述符有设备描述符.标准配置描述符.接口描述符.端点描述符.字符串描述符,HID设备有HID描述符.报告描述符和物理描述符.今天主要是学习USB标准配置描述符的组成. 2.标准 ...
vue合计行添加点击事件
项目开发中做统计报表的时候,用到了合计功能.这个直接添加el-table已经封装好的show-summary属性就可以,但是如何给合计单元格添加点击事件呢?@cell-click="cell ...
C#内存缓存
把缓存数据放到应用程序的内存,内存缓存中保存的是一些列键值对 :生命周期就是关闭程序的时候,内存数据就会被销毁 : IMemerCache 接口 Get 获取缓存 Set 设置缓存
32. vue框架的理解
vue是创建用户界面的框架,是创建SPA应用的框架,采用了MVVM模型,是数据驱动视图 :使用了业务逻辑和页面解构分离的开发思想 :使用高效的diff算法渲染列表 :使用组件化开发,提高代码的复用 ...
Android复习(五)设备兼容—>屏幕适配
1. 适配使用的布局目前版本Google还是希望开发者通过 ConstraintLayout 布局完成适配 2. 对于特定屏幕创建备用布局,即在res/layout/目录下创建对应尺寸的布局文件 ...

pyc文件花指令