如何绕过anti-deobfuscation机制对6行Python混淆代码做deobfuscate处理？

无需修改源文件的执行劫持方案 #

• 优先使用Python的-m参数直接加载调试模块而非修改源文件，执行命令为python -m pdb your_obfuscated_script.py，该方式不会修改源文件内容，不会触发文件校验类的反混淆机制。
• 如果pdb被检测，使用sys.settrace自定义追踪逻辑，在独立的启动脚本中注入追踪代码，启动脚本示例如下：

import sys
import traceback
def trace_calls(frame, event, arg):
    if event == 'line':
        print(f"Line {frame.f_lineno}: {frame.f_locals}")
    return trace_calls
sys.settrace(trace_calls)
# 直接导入混淆脚本代替执行
import your_obfuscated_script

• 劫持Python的内存dump逻辑，使用gc.get_objects()遍历所有内存对象，在代码执行完成后提取字符串、函数对象等核心逻辑，避免触发文件修改检测。

反内存占满机制的处理 #

• 执行时限制Python进程的可用内存，Linux下使用ulimit -v 1048576限制进程最大可用1G内存，Windows下可以通过任务管理器设置进程内存上限，避免RAM被占满导致系统崩溃。
• 提前hookmalloc相关的内存分配调用，使用ctypes修改Python底层内存分配逻辑，检测到异常大规模内存申请时直接抛出错误终止申请操作。

6行短代码的静态分析方案 #

• 直接反编译字节码而非执行代码，使用dis模块反汇编pyc文件或者内存中的代码对象，命令示例：python -c "import dis, your_obfuscated_script; dis.dis(your_obfuscated_script)"，静态分析不需要执行实际的恶意逻辑，不会触发反调试机制。
• 如果代码使用了exec、eval类的动态执行逻辑，直接hook内置的exec、eval函数，在启动脚本中替换内置函数，打印所有传入的参数内容即可拿到解密后的原始代码，示例如下：

import builtins
original_exec = builtins.exec
def hooked_exec(content, *args, **kwargs):
    print("Exec content:\n", content)
    # 可以选择注释掉下面的行不执行实际逻辑，只打印内容
    return original_exec(content, *args, **kwargs)
builtins.exec = hooked_exec
builtins.eval = lambda content, *args, **kwargs: print("Eval content:\n", content)
import your_obfuscated_script

内容的提问来源于stack exchange，提问作者Thien