BYTECODE开头的.py加密字节码文件生成原理及反编译方法

生成方式与执行逻辑 #

• 这类文件由7.0以下旧版本PyArmor的超级加密模式生成，不属于Python原生支持的文件格式。
• 标准Python解释器无法直接识别运行该类文件。目标程序可执行这类文件的核心原因是：程序启动阶段预先在sys.meta_path中注册了自定义导入钩子（Import Hook），当导入流程检测到文件开头的BYTECODE标识时，自定义加载器会接管整个加载流程：截取括号内的版本校验值、后续的Base64编码密文，通过内置的解密逻辑还原为Python可识别的标准代码对象（Code Object），再传递给解释器执行。
• 观察到的固定前缀BYTECODE(271)YwAAAAAAAAAAAgAAAEAAAABz中，271是加密块的版本与校验标记，后续长字符串为Base64编码的加密字节码、校验信息与授权数据的组合。

还原为可读源码的方法 #

uncompyle6仅支持反编译标准格式的.pyc原生字节码，直接对加密后的密文做反编译必然失败，可通过以下路径还原：

• 通用方案为运行时内存Dump：加密代码在执行前必须在内存中解密为完整的标准字节码对象，待目标模块加载完成后，可直接从sys.modules中取出对应模块的代码对象，通过marshal模块序列化为标准.pyc文件，再匹配运行环境的Python版本，选用uncompyle6、decompyle3或pycdc等工具反编译即可得到源码。
• 对于未绑定硬件信息、未使用开发者自定义密钥的通用旧版PyArmor加密文件，无需运行程序，直接提取BYTECODE(xxx)后的Base64内容，按照对应版本PyArmor的公开解密逻辑即可离线解密得到原始字节码，后续走正常反编译流程即可。
• 若原作者额外开启了控制流混淆、变量名混淆、函数级动态加密等高级保护，反编译得到的代码可读性会有所下降，但只要代码可在本地正常运行，就不存在完全无法还原的可能，仅需额外梳理混淆后的逻辑。

内容的提问来源于stack exchange，提问作者Seamew