寻求Pyarmor混淆Python代码的还原方法（已尝试unpyarmor未果）

针对你遇到的Pyarmor混淆文件，以及unpyarmor无效的情况，可以试试以下几种思路：

1. 动态捕获内存中的解密字节码 #

Pyarmor的核心是运行时解密加密的字节码并执行，内存中会存在解密后的原始字节码。你可以通过以下方式获取：

• 用Python调试工具（如pdb）或第三方调试库，在__pyarmor__函数执行后，拦截并保存解密后的code对象。
• 编写hook脚本，替换__pyarmor__函数的逻辑：当它解密字节码后，先将字节码保存为.pyc文件，再执行。示例代码如下：

# 替换pyarmor_runtime_000000模块的__pyarmor__函数
import pyarmor_runtime_000000
original_pyarmor = pyarmor_runtime_000000.__pyarmor__

def hooked_pyarmor(name, file, data):
    # 调用原函数解密，获取code对象
    code_obj = original_pyarmor(name, file, data)
    # 保存字节码到pyc文件
    with open("decrypted.pyc", "wb") as f:
        # 需根据你的Python版本调整魔术字，示例对应Python 3.9
        f.write(b'\x03\xf3\r\n')
        f.write(b'\x00'*4)  # 时间戳占位
        import marshal
        marshal.dump(code_obj, f)
    return code_obj

pyarmor_runtime_000000.__pyarmor__ = hooked_pyarmor

运行混淆脚本后，得到解密后的.pyc文件，再用uncompyle6反编译成源码。

2. 逆向Pyarmor Runtime模块 #

不同版本的Pyarmor加密逻辑差异较大，unpyarmor可能只适配旧版本。你可以：

• 分析pyarmor_runtime_000000.py或对应的pyd/so文件，找到解密密钥和算法。比如部分版本用AES加密，密钥硬编码在runtime模块中，提取后可直接解密混淆数据中的字节码。
• 针对特定版本查找专用解密脚本，比如针对Pyarmor 5.x/6.x的工具，这类工具通常比通用unpyarmor更有效。

3. 注意事项 #

• 新版本Pyarmor加入了虚拟机执行、控制流混淆等加固手段，即使拿到字节码，反编译后的代码也可能有大量冗余逻辑，需手动清理才能恢复可读性。
• 确保你拥有该代码的合法权限进行反混淆，未经授权的操作可能违反软件许可协议或法律规定。

内容的提问来源于stack exchange，提问作者Emmy Beam