除特别说明外，下面使用的python版本均为3.8.6
文章中提到的相关工具均已包含在附件中。
一、步骤
1. exe → pyc
方法1：pyinstxtractor.py
执行python pyinstxtractor.py ，如果成功，即可获得_extracted 文件夹。
注：执行时会提示python版本问题，想要正常解包必须使用正确的python版本。
方法2：archive_viewer.py
执行python archive_viewer.py ，会打印EXE文件中包含的所有文件信息
使用x 命令将想要提取出的文件提取出来，q 命令退出。
两者的区别
方法1 可以一次性提取出所有文件，方法2只能逐个提取文件。但是在个人使用时，
方法2 的成功率相对较高。可以先尝试用方法1，失败后用方法2。
2. pyc → py
步骤1获得的文件是pyc文件，还需要进一步反编译获得py文件。
注：我遇到过直接获得py文件的情况，所以在反编译之前可以先查看一下是不是已经成功了。
2.1 pyc文件恢复
注：最新版pyinstxtractor.py支持自动恢复pyc，但是经实验不能保证准确性。或者说需要使用准确的python版本才行。
在将python文件打包成exe文件的过程中，会抹去pyc文件前面的部分信息，所以在反编译之前需要检查并添加上这部分信息。
抹去的信息内容可以从struct文件中获取：
struct文件：
1.png (30.4 KB, 下载次数: 1)
下载附件
2021-7-15 09:30 上传
pyc文件：
2.png (33.15 KB, 下载次数: 1)
下载附件
2021-7-15 09:31 上传
Q1：需要添加多少字节？
多个参考文章中提到的添加字节数都不一致，这应该与使用的python版本有关。但是在已知的几个例子中，可以看出pyc文件开头的几个字节与struct文件中的字节是一样的。比如说上图中pyc文件是以E3 00 00 00开头，而这部分字节就和struct文件的第二行起始字节相同。
因此在此例中，需要复制添加的字节就是struct文件中第一行的16个字节
Q2：添加的方法是什么？
在010editor中，选择Edit→Insert/Overwrite→InsertBytes，Start Address填0，Size填16。
然后将字节复制进去即可。
2.2 反编译
Easy Python Decompiler这是一个GUI界面的可执行文件，下载下来直接用就可以，但是并不是每次都能成功，有些magic value不能识别。
uncompyle6该工具需要使用pip安装，使用脚本执行。成功率较高。
反编译提示magic value有问题怎么办？
在上面我们添加的16个字节中，前四个字节表示的就是magic value，其中前两个字节表示的是python的版本号，一般来说magic value的问题就是版本号有问题，编译工具没有识别出来该版本号表示的python版本。
如果使用的是Easy Python Decompiler，那么就可以直接转用uncompyle6了。
如果用的已经是uncompyle6，那么需要先看一下它可以识别的版本号都有哪些，这个信息可以在xdis包的magics.py文件中找到，具体方法如下：
命令行输入pip install xdis，查看其安装位置
3.png (23.26 KB, 下载次数: 1)
下载附件
2021-7-15 09:31 上传
到该目录下，打开xdis文件夹下的magics.py文件
确定需要识别的版本号就是之前添加的16个字节的前两个字节，此例中为0D42，需要转换为十进制，就是3394。
查看magics.py中是否有该版本号。我这里一开始没有发现这个版本号
4.png (43.82 KB, 下载次数: 1)
下载附件
2021-7-15 09:31 上传
我的解决方法
我在谷歌上搜索了int2magic(3394)，找到了这个Github项目。
下载下来，按照介绍进行安装。
在执行pip install -e .的时候，提示我xdis和uncompyle6的版本不匹配，于是卸载了uncompyle6，又重新安装了一次。
目前的版本：xdis 5.0.5 uncompyle6 3.7.4
查看该版本xdis的magics.py文件：
5.png (40.05 KB, 下载次数: 1)
下载附件
2021-7-15 09:31 上传
可以看到已经有3394了。
反编译：
6.png (22.06 KB, 下载次数: 1)
下载附件
2021-7-15 09:31 上传
成功！
注：pyc文件一定要有后缀名pyc，不然会报错
二、PYZ文件的加密问题
有些时候在步骤1 exe→pyc的过程中，会出现PYZ中的文件无法正常提取（archive_viewer.py），或者提取出来后显示encrypted（pyinstxtractor.py）的问题。
这个问题可以使用参考文章2和3中的方法解决：
PYZ文件加密的密钥保存在pyimod00_crypto_key文件中，该文件也是一个pyc文件，可以使用上面介绍的方法进行反编译，然后就可以获得密钥：
7.png (22.65 KB, 下载次数: 1)
下载附件
2021-7-15 09:31 上传
之后的解密脚本有三个可供选择，均在参考文章3中，根据pyinstaller的版本不同选择不同的脚本，使用时需要替换其中的key、header以及待解密文件名和目标文件名，执行后即可获得解密后的pyc文件，再使用uncompyle6反编译即可。
注：这三个脚本中，第一个脚本适用于PyInstaller
8.png (37.13 KB, 下载次数: 1)
下载附件
2021-7-15 09:31 上传
参考文章
反编译python打包的exe文件
Extracting encrypted pyinstaller executables
pyinstxtractor wiki
https://fishc.com.cn/forum.php?mod=viewthread&tid=131172&page=1#pid3772102
声明：技术分享来源于网络，如果违规或侵权请通知删除。内容来自于看雪论坛
