pyc花指令

常见的python花指令形式有两种：单重叠指令和多重叠指令。

以下以python3.8为例，指令长度为2字节。

单重叠指令：

例如pyc经过反编译后得到的东西为

 0 JUMP_ABSOLUTE        [71 04]     5

 2 PRINT_ITEM           [47 --]

 4 LOAD_CONST           [64 10]     16

 6 STOP_CODE            [00 --]

实际在执行时，并不会执行 2 PRINT_ITEM [47 --]：

0 JUMP_ABSOLUTE        [71 04]     5

4 LOAD_CONST           [64 10]     16

单重叠指令多是分支的跳转，导致一些反编译工具如pycdc、uncompyle6出错。

多重叠指令：

 0 EXTENDED_ARG         [91 64]

 2 EXTENDED_ARG         [91 53]

 4 JUMP_ABSOLUTE        [71 01]

实际执行时

 0 EXTENDED_ARG         [91 64]

 2 EXTENDED_ARG         [91 53]

 4 JUMP_ABSOLUTE        [71 02]

 1 LOAD_CONST           [64 91]

 3 RETURN_VALUE         [53 --]

多重叠指令是将指令的数据部分当作下一条指令的opcode部分执行，在跳转基础上进一步混淆控制流的技术手段，可以有效对抗逆向者。

NOP花指令：

NOP为junk code，只要不影响正常执行逻辑，其他的指令可自由发挥，含有NOP的pyc均不可以被现有的反编译工具反编译成py代码。

去除花指令

pyc去除花指令后，很大可能是不能被现有工具反编译成源码的，因为现有反编译工具对pyc要求比较严格，不能有nop以及其他junk指令，但程序运行时python虚拟机却没有。

因此不同于用ida patch 汇编代码，想在patch过的pyc反编译回原来的源码，工作量还是蛮大的。

下面以[2022年安洵杯]flower.pyc为例

626     LOAD_GLOBAL             6: ord

628     LOAD_GLOBAL             18: Base64Table

630     LOAD_FAST               3: i

632     LOAD_CONST              22: 22

634     BINARY_XOR

636     BINARY_SUBSCR

638     CALL_FUNCTION           1

640     STORE_FAST              15: tmp2

这一段是把base64[i]改为了base64[i^22]

258     LOAD_NAME               16: ret

260     LOAD_NAME               18: i

262     LOAD_NAME               18: i

264     LOAD_CONST              40: 4

266     BINARY_ADD

268     BUILD_SLICE             2

270     BINARY_SUBSCR

272     LOAD_NAME               19: Key1

274     LOAD_NAME               17: j

276     STORE_SUBSCR

278     LOAD_NAME               17: j

280     LOAD_CONST              41: 1

282     BINARY_ADD

284     STORE_NAME              17: j

286     LOAD_NAME               18: i

288     LOAD_CONST              40: 4

290     BINARY_ADD

292     STORE_NAME              18: i

294     LOAD_NAME               17: j

296     LOAD_CONST              42: 10

298     COMPARE_OP              2 (==)

300     POP_JUMP_IF_FALSE       258

304     JUMP_ABSOLUTE           312

308     JUMP_ABSOLUTE           258

转化成py代码就是

input_str = input()

ret = My_base64_encode(input_str)

j = 0

i = 0

Key1 = "1234512345"

len_ret = len(ret) // 4

while j != 10:

	Key1[j] = ret[i:i+4]

	j = j + 1

	i = i + 4

keyCheck = ''

if keyCheck[0] == keyInputCom[8]:

然后后面有一堆重复的，提取出来就是

0 == 8

1 == 9

2 == 1

3 == 7

4 == 5

5 == 0

6 == 6

7 == 4

8 == 3

9 == 2

然后再写题解的代码就可以了。

利用脚本去除花指令：用python模拟执行python的opcode，遇到分支就跳转，直到ret_value停止本次执行，采用的是简单的DFS递归算法

import marshal, sys, opcode, types, dis

NOP = 9

HAVE_ARGUMENT = 90

JUMP_FORWARD = 110

JUMP_IF_FALSE_OR_POP = 111

JUMP_IF_TRUE_OR_POP = 112

JUMP_ABSOLUTE = 113

POP_JUMP_IF_FALSE = 114

POP_JUMP_IF_TRUE = 115

CONTINUE_LOOP = 119

FOR_ITER = 93

RETURN_VALUE = 83

used_set = set()

def deconf_inner(code, now):

    global used_set

    while code[now] != RETURN_VALUE:

        if now in used_set:

            break

        used_set.add(now)

        if code[now] >= HAVE_ARGUMENT:

            used_set.add(now+1)

            used_set.add(now+2)

        op = code[now]

        #print(str(now) + " " + opcode.opname[op])

        if op == JUMP_FORWARD:

            arg = code[now+2] << 8 | code[now+1]

            now += arg + 3

            continue

        elif op == JUMP_ABSOLUTE:

            arg = code[now+2] << 8 | code[now+1]

            now = arg

            continue

        elif op == JUMP_IF_TRUE_OR_POP:

            arg = code[now+2] << 8 | code[now+1]

            deconf_inner(code, arg)

        elif op == JUMP_IF_FALSE_OR_POP:

            arg = code[now+2] << 8 | code[now+1]

            deconf_inner(code, arg)

        elif op == POP_JUMP_IF_TRUE:

            arg = code[now+2] << 8 | code[now+1]

            deconf_inner(code, arg)

        elif op == POP_JUMP_IF_FALSE:

            arg = code[now+2] << 8 | code[now+1]

            deconf_inner(code, arg)

        elif op == CONTINUE_LOOP:

            arg = code[now+2] << 8 | code[now+1]

            deconf_inner(code, arg)

        elif op == FOR_ITER:

            arg = code[now+2] << 8 | code[now+1]

            deconf_inner(code, now + arg + 3)

        if op < HAVE_ARGUMENT:

            now += 1

        else:

            now += 3

    used_set.add(now)

    if code[now] >= HAVE_ARGUMENT:

        used_set.add(now+1)

        used_set.add(now+2)

def deconf(code):

    global used_set

    used_set = set() #Remember to clean up used_set for every target function

    cod = list(map(ord, code))

    deconf_inner(cod, 0)

    for i in range(len(cod)):

        if i not in used_set:

            cod[i] = NOP

    return "".join(list(map(chr, cod)))

with open(sys.argv[1], 'rb') as f:

    header = f.read(8)

    code = marshal.load(f)

print(code.co_consts,type(code))

'''

print(dis.dis(deconf(code.co_consts[3].co_code)))

'''

consts = list()

for i in range(len(code.co_consts)):

    if hasattr(code.co_consts[i], 'co_code'):

        consts.append(types.CodeType(code.co_consts[i].co_argcount,

            # c.co_kwonlyargcount,  Add this in Python3

            code.co_consts[i].co_nlocals,

            code.co_consts[i].co_stacksize,

            code.co_consts[i].co_flags,

            deconf(code.co_consts[i].co_code),

            code.co_consts[i].co_consts,

            code.co_consts[i].co_names,

            code.co_consts[i].co_varnames,

            code.co_consts[i].co_filename,

            code.co_consts[i].co_name,

            code.co_consts[i].co_firstlineno,

            code.co_consts[i].co_lnotab,   # In general, You should adjust this

            code.co_consts[i].co_freevars,

            code.co_consts[i].co_cellvars))

    else:

        consts.append(code.co_consts[i])

mode = types.CodeType(code.co_argcount,

    # c.co_kwonlyargcount,  Add this in Python3

    code.co_nlocals,

    code.co_stacksize,

    code.co_flags,

    deconf(code.co_code),

    tuple(consts),

    code.co_names,

    code.co_varnames,

    code.co_filename,

    code.co_name,

    code.co_firstlineno,

    code.co_lnotab,   # In general, You should adjust this

    code.co_freevars,

    code.co_cellvars)

f = open(sys.argv[1]+".mod", 'wb')

f.write(header)

marshal.dump(mode, f)

import marshal, sys, opcode, types, dis

import opcode

def getopcode(opname):

    return opcode.opname.index(opname)

NOP = getopcode('NOP')

# HAVE_ARGUMENT = getopcode('HAVE_ARGUMENT')  # py2.7

JUMP_FORWARD = getopcode('JUMP_FORWARD')

JUMP_IF_FALSE_OR_POP = getopcode('JUMP_IF_FALSE_OR_POP')

JUMP_IF_TRUE_OR_POP = getopcode('JUMP_IF_TRUE_OR_POP')

JUMP_ABSOLUTE = getopcode('JUMP_ABSOLUTE')

POP_JUMP_IF_FALSE = getopcode('POP_JUMP_IF_FALSE')

POP_JUMP_IF_TRUE = getopcode('POP_JUMP_IF_TRUE')

EXTENDED_ARG = getopcode('EXTENDED_ARG')

# CONTINUE_LOOP = getopcode('CONTINUE_LOOP')  # py2.7

FOR_ITER = getopcode('FOR_ITER')

RETURN_VALUE = getopcode('RETURN_VALUE')

used_set = set()

def deconf_inner(code, now):

    global used_set

    while code[now] != RETURN_VALUE:

        if now in used_set:

            break

        used_set.add(now)

        used_set.add(now + 1)

        op = code[now]

        # print(str(now) + " " + opcode.opname[op])

        if op == EXTENDED_ARG: # 对JUMP_FORWARD带有EXTENDED_ARG的处理

            # 第一层

            op_next = code[now + 2]

            now += 2

            used_set.add(now)

            used_set.add(now+1)

            if op_next == EXTENDED_ARG:

                # 第二层

                arg = code[now - 1] << 8|code[now + 1]

                op_next_next = code[now + 2]

                now += 2

                used_set.add(now)

                used_set.add(now+1)

                if op_next_next == EXTENDED_ARG:

                    arg = arg << 8 | code[now + 1]

                    # 第三层

                    if op_next == JUMP_FORWARD or op_next == FOR_ITER:

                        arg = arg << 8 | code[now + 1]

                        deconf_inner(code, arg + now + 2)

                    else:

                        arg = arg << 8 | code[now + 1]

                        deconf_inner(code, arg)

                elif op_next == JUMP_FORWARD or op_next == FOR_ITER:

                    arg = code[now - 1] << 8 | code[now + 1]

                    deconf_inner(code, arg + now + 2)

                else:

                    arg = code[now - 1] << 8 | code[now + 1]

                    deconf_inner(code, arg)

            elif op_next == JUMP_FORWARD or op_next == FOR_ITER:

                arg = code[now - 1] << 8 | code[now + 1]

                deconf_inner(code, arg + now + 2)

            else:

                arg = code[now - 1] << 8 | code[now + 1]

                deconf_inner(code, arg)

            

        elif op == JUMP_FORWARD:

            arg = code[now + 1]

            now += arg + 2

            op_next = code[now]

            if op_next == JUMP_FORWARD or arg == 0 or arg == 1 or arg == 2 or arg == 4: # 一般JUMP_FORWARD参数为0、2、4都为花指令

                used_set.remove(now - (arg + 2))

                used_set.remove(now - (arg + 2) + 1)

            continue

        elif op == JUMP_ABSOLUTE:

            arg = code[now + 1]

            now = arg

            continue

        elif op == JUMP_IF_TRUE_OR_POP:

            arg = code[now + 1]

            deconf_inner(code, arg)

        elif op == JUMP_IF_FALSE_OR_POP:

            arg = code[now + 1]

            deconf_inner(code, arg)

        elif op == POP_JUMP_IF_TRUE:

            arg = code[now + 1]

            deconf_inner(code, arg)

        elif op == POP_JUMP_IF_FALSE:

            arg = code[now + 1]

            deconf_inner(code, arg)

        elif op == FOR_ITER:

            arg = code[now + 1]

            deconf_inner(code, now + arg + 2)

        now += 2

    used_set.add(now)

def deconf(code):

    global used_set

    used_set = set()  # Remember to clean up used_set for every target function

    # cod = list(map(ord, code))

    cod = list(code)

    deconf_inner(cod, 0)

    for i in range(len(cod)):

        if i not in used_set:

            cod[i] = NOP

    # aa = bytes(cod)

    aa = b''.join(map(lambda x: int.to_bytes(x, 1, 'little'), cod))

    return aa

filename = 'PYC.pyc'

with open(filename, 'rb') as f:

    header = f.read(16)

    code = marshal.load(f)

print(code.co_consts)

'''

print(dis.dis(deconf(code.co_consts[3].co_code)))

'''

consts = list()

for i in range(len(code.co_consts)):

    if hasattr(code.co_consts[i], 'co_code'):

        consts.append(types.CodeType(code.co_consts[i].co_argcount,

                                     code.co_posonlyargcount,

                                     code.co_kwonlyargcount,  # Add this in Python3

                                     code.co_consts[i].co_nlocals,

                                     code.co_consts[i].co_stacksize,

                                     code.co_consts[i].co_flags,

                                     deconf(code.co_consts[i].co_code),

                                     code.co_consts[i].co_consts,

                                     code.co_consts[i].co_names,

                                     code.co_consts[i].co_varnames,

                                     code.co_consts[i].co_filename,

                                     code.co_consts[i].co_name,

                                     code.co_consts[i].co_firstlineno,

                                     code.co_consts[i].co_lnotab,  # In general, You should adjust this

                                     code.co_consts[i].co_freevars,

                                     code.co_consts[i].co_cellvars))

    else:

        consts.append(code.co_consts[i])

mode = types.CodeType(code.co_argcount,

                      code.co_posonlyargcount,

                      code.co_kwonlyargcount,  # Add this in Python3

                      code.co_nlocals,

                      code.co_stacksize,

                      code.co_flags,

                      deconf(code.co_code),

                      tuple(consts),

                      code.co_names,

                      code.co_varnames,

                      code.co_filename,

                      code.co_name,

                      code.co_firstlineno,

                      code.co_lnotab,  # In general, You should adjust this

                      code.co_freevars,

                      code.co_cellvars)

f = open(filename + ".mod", 'wb')

f.write(header)

marshal.dump(mode, f)

pyc文件花指令的更多相关文章

Docker Kubernetes YAML文件常用指令
YAML文件常用指令配置文件说明: 定义配置时,指定最新稳定版API(当前为v1). 配置文件应该存储在集群之外的版本控制仓库中.如果需要,可以快速回滚配置.重新创建和恢复. 应该使用YAML格式编 ...
.pyc文件的结构体PyCodeObject
python执行程序时生成的pyc文件里面是,PyCodeObject 的结构体构成,每个命名空间(函数名.import模块等)都会形成一个core block,一个python程序的所有命名空间生成 ...
Python之code对象与pyc文件（二）
上一节:Python之code对象与pyc文件(一) 创建pyc文件的具体过程前面我们提到,Python在通过import或from xxx import xxx时会对module进行动态加载,如果 ...
Python之code对象与pyc文件（一）
Python程序的执行过程我们都知道,C语言在执行之前需要将源代码编译成可执行的二进制文件,也就是将源代码翻译成机器代码,这种二进制文件一旦生成,即可用于执行.但是,Python是否一样呢?或许很多 ...
PYC文件简介
PYC文件简介¶ 不说废话,这里说的pyc文件就是 Python 程序编译后得到的字节码文件 (py->pyc). 基本格式¶ pyc文件一般由3个部分组成: 最开始4个字节是一个Maigc i ...
Python逆向（二）—— pyc文件结构分析
一.前言上一节我们知道了pyc文件是python在编译过程中出现的主要中间过程文件.pyc文件是二进制的,可以由python虚拟机直接执行的程序.分析pyc文件的文件结构对于实现python编译与反 ...
木马防杀花指令 OllyDbg
打开木马入口地址添加花指令全0的地方,可以插入花指令保存为可执行文件随便选择几行,右击保存文件
《python解释器源码剖析》第8章--python的字节码与pyc文件
8.0 序我们日常会写各种各样的python脚本,在运行的时候只需要输入python xxx.py程序就执行了.那么问题就来了,一个py文件是如何被python变成一系列的机器指令并执行的呢? 8. ...
Python基础-1 python由来 Python安装入门注释 pyc文件 python变量获取用户输入流程控制if while
1.Python由来 Python前世今生 python的创始人为吉多·范罗苏姆(Guido van Rossum).1989年的圣诞节期间,吉多·范罗苏姆为了在阿姆斯特丹打发时间,决心开发一个新的脚 ...
.pyc文件是什么？
一个.py文件就是一个模块,而模块名就是文件名,如module.py的模块名就是module.如果module.py文件里定义了一些函数和变量,而外部文件如test_module.py想使用这些函数或 ...

随机推荐

Angular 18+ 高级教程 – Library
前言当你需要管理超过一个项目时,你就需要知道怎么使用 Angular Library. 你可以把多个项目共享的组件放到这个 Library 了,就像 Angular Material 那样. 参考 ...
Qt连连看（三）非核心功能实现
主要的界面设计好后,我们来看下非核心功能的实现.由于这块不需要用到稍微复杂的算法,解决起来相对来说容易许多,于是我们选择先实现这部分非核心功能,这块几乎不涉及游戏的核心逻辑. 游戏界面如下: 这时我们 ...
Servlet——简介
Servlet 快速入门 1.创建web项目,导入Servlet依赖坐标 <dependencies> <dependency> <groupId>jav ...
加入 Flutter Engage，Pick 您的专属 Dash 形象！
Flutter Engage 活动精彩来袭对 Flutter 团队的开发者们来说,交流的重要性不言而喻,和您一样,我们也希望开发者们能够在不同的情境下进行互动分享.于是我们为您准备了一场特别的线上活 ...
让人眼前一亮的开源项目「GitHub 热点速览」
时隔两周,我又带着让人眼前一亮的开源项目回来了! 告别数据线.蓝牙.WiFi 和网络,只需用手机的摄像头扫描一张动图条形码(需安装应用),就能在设备间传输文件的 libcimbar,一款无需联网和蓝牙 ...
CatGPT Puzzle
规则简述一个 Nonogram 谜题包含一个 \(m*n\) 大小的空白方格矩阵,以及在表格每一行右侧.每一列下方的一组线索数. 每组都有一个或多个数字,这些数字就是解题的线索. 要想解开 Nono ...
.net6 中 Blazor PageTitle 设置无效的解决方法
直接在 razor 页面里添加 <PageTitle>xxx</PageTitle> 标签无效时的解决方法 For using the <PageTitle> ta ...
Need BLUETOOTH PRIVILEGED permission以及requestMtu导致蓝牙断连问题
在部分Android手机上,当连接上GATTService后直接requestMtu有可能会造成蓝牙连接中断,随后继续重新连接会报错Need BLUETOOTH PRIVILEGED permissi ...
彻底搞懂ScheduledThreadPoolExecutor
前言项目中经常会遇到一些非分布式的调度任务,需要在未来的某个时刻周期性执行.实现这样的功能,我们有多种方式可以选择: Timer类, jdk1.3引入,不推荐. 它所有任务都是串行执行的,同一时间只 ...
全面解释人工智能LLM模型的真实工作原理（三）
前一篇:<全面解释人工智能LLM模型的真实工作原理(二)> 序言:前面两节中,我们介绍了大语言模型的设计图和实现了一个能够生成自然语言的神经网络.这正是现代先进人工智能语言模型的雏形.不过 ...

pyc文件花指令