最近在分析一个国外某个体育游戏，热度最高的外挂样本。发现使用的是Python脚本并且Pyd编译后的，中间存在部分名称混淆并且Pyd的二进制函数量巨大，故而研究了一下Pyd逆向用来高效逆向这类样本。顺便记录一下方便后面查阅。（ps：pyd逆向内容还是挺多的，兜兜转转玩了一个月hhh）如果你觉得我的文章对你有帮助请帮忙点个赞吧。文章中有啥错误的位置欢迎指出。

在研究Pyd逆向之前我们需要了解一下Python这种解释语言是如何变成Pyd的。
通过阅读Cython源码我了解一下，如下图：

本质上它是一个脚本语言向C语言转换的过程。所以在逆向之前我们需要能正确认识Python的二进制形式，也就是Cython的函数。
最关键的是，我们在Windows上编译出来的Pyd实际上就是一个动态库,同理linux平台下就是一个so。看图：

通过导出表就可以看出来导出了两个函数，一个是我们的dllmain，剩下一个文章下面会详细介绍。

通过Cython源码我们梳理清楚我们的def 函数是怎么转换成C函数的。
这里就拿部分源码画图举例：

这是整个Cython的编译流程。
这个里面存在几个重要问题，
a. Python解释器如何知道Pyd中的函数信息？
b. python解释器怎么感知模块中的函数以及对象的信息
c. 虚拟机层和native层是如何互相调用以及交互的？
d. python函数最后会变成什么样子？

入口函数 PyInit_模块名
上面提到过，Pyd导出了两个一个是dllmain和一个PyInit_模块名的函数
PyInit_模块名就是关键。源码实现在ModuleNode.py,下面是部分实现代码

PyInit_模块名 实际上会导出我们当前这个模块的函数信息。

这个是核心，通过源码来看,cython会经历这几个步骤:
1.收集函数信息
2.生成方法表
3.生成单个条目
4.生成模块定义
5.引用方法表
逆向我们需要关注的就是生成过程中的函数表__pyx_moduledef 和模块定义结构体__pyx_methods
这一部分定义是在我们的Python解释器的目录下，而Cython只是引入了这些结构，我拿3.11举例：
头文件路径：x:\xx\include\methodobject.h和moduleobject.h，methodobject.h

PyInit_模块名 在源码中的实现 ModuleNode.py:3092-3098：

生成出来的C代码应该是这样：

在二进制底层中我们就可以通过导出函数，直接定位到我们想要的：

这个就是我们想要的__pyx_moduledef，这样就可以手工查看这个模块中的所有Python函数了。（如果不这样做，通过解释器层面需要import xxx,并且需要补环境才行，而且有时候可能还会遇到隐藏问题)
顺带定义一下ida的结构体

实战看一下：

当前这个函数表是没有的因为这个是一个类模型，所以不存在单一的函数。

当我们外部的脚本语言需要调用Pyc是怎么做的呢？从源码中分析简化流程后就是这样：

核心还是这个 PyInit_模块 的函数。在此之前我们需要了解一下PyTypeObject这个就是存储类信息的结构体，我们了解一下结构：

实现在cpython的解释器源码中（xxx:\xxx\cpython\Include\cpython\object.h）：

这个结构体就包含了当前这个模块这个类的所有信息：
比较重要的有这些

基于这个我们就可以完整解析这个模块里面的内容了。
怎么找到这个表结构体？回到最开始的问题系统如何加载的。如图，（梳理的调用，链篇幅有限我就不一个一个找了）：\

所以在ida中我们可以通过PyModuleDef -> m_slots -> exec函数 -> PyType_Ready 调用，就能找到 PyTypeObject也就是我们的_typeobject。
slots的结构体定义：

slots就是加载这个模块之前需要执行的函数来对整个pyd进行初始化。通过源码分析可以知道我们这个模块的类的初始化是在m_slots[1]，并且是一个可变长的，遇到0则结束。生成的源码位置在这里：cython\Cython\Compiler\ModuleNode.py

这个code.putln就是插入一行生成的代码，经过整理部分伪代码（如果存在好几个类的话）：

通过ida 跟踪验证一下上面的流程

这里就是slot



定义一下PyTypeObject结构体来解析一下它：

导出的是动态创建的！！
接下来讲一下动态创建。

说白了也在exec里面，对实现感兴趣可以重点看一下这个函数generate_execution_code，这里展示稍微一下动态创建的Cython代码是什么：

如何找到呢？重点就是这个，在函数内找到这个 PyObject_Call(PyType_Type....）核心就是它PyType_Type

所以动态创建的也就是普通类是没有静态对象信息的结构体，但是我们还是可以从代码中分析找到函数表，核心就是找到 _Pyx_CyFunction_New。


根据特征码可以吧整个类信息都给分析出来，不用补全环境，并且打印函数地址。这些都是这个模块里面的成员方法：

参数1就是 PyMethodDef

我们逆向的时候核心点就是，这些二进制函数是怎么进入解释器层的？怎么调用的外部函数or方法？
分情况讨论
1.PYD内调用
Pyd内a.xx ——》b.xx的时候因为在一个pyd会调用优化后的 `__Pyx_PyObject 优化的调用函数，并且根据优化就不会进入解释器层，这样加快程序运行。
2.Pyd调用另外一个pyd
当pyd内调用另一个Pyd函数的时候：a.xx ->pydb.c.xxx 这个时候也会经过 __Pyx_PyObject,但是首先需要获取外部pyd的函数才能调用
流程如下：

我找一个例子:

3.Pyd进解释器层调用解释器里面的函数
则直接会调用pythonxx..dll中的导出函数,主要是这几个：

核心主要就是这个PyObject_Call

调用 Python 函数：

我初步的介绍一下这些函数是干什么：

一般是这种变参：func(*args, **kwargs) 不定参数调用

一般是这种：func(a, b, c) 固定参数调用。所以这个是笔者见到最多的最多调用方式！

obj.method()无参方法

obj.fun()调用场景，这种也是非常多的
这些函数都是没有符号名的，要么自己去做sig让ida识别，或者是自己肉眼识别。（不过这也是一个非常好利用的点，后面会讲）

这个问题我们直接通过底层就能看清楚，我先说一下，实际上python那种弱类型的特点，但是碰上了cpp这种强类型语言，所以他必须有一个包装函数来处理这些参数问题。我拿样本中驱动代码的一个方法举例：（下面是从ida里面拷贝出来的f5代码）

这个实际上就是一个标准的包装函数，也就是python的入口，他有几个重要标志：

通过这个特征我们可以拿到这个函数是是几个参数的，这个非常关键。接下里我展示一下如何静态分析判断函数参数以及函数名和编码信息
通过Python的异常回溯信息可以判断这个函数对应的是哪个成员方法:

通过源码分析可得知参数如下：
源码位置：Exceptions.c:840-841 和 972-1012

参数数量可以直接通过伪代码看出来这里在对参数数量进行检查：

最后在讲一下这个包装函数在Cython中怎么实现的：
首先这个包装函数有好几种变体，会根据不同参数来生成不同的包装类这样来优化调用，我整理了一个表格如下：

当我们了解了这么多以后，实际上可以发现，Pyd调用有一个致命缺陷。就是他的外部调用都依赖于包装函数
这里还是抛出三个问题：
一个Pyd程序如何定位？
遇到名称混淆处理？
怎么处理编译后庞大的Pyd函数？

首先在逆向之前我们肯定需要有一个定位点的，这里主要的定位手法就是如下两种：
第一种：
如果能运行环境。获取可以补全环境，最好还实在解释器层进行处理。通过打印Pyd信息获取里面的元数据，可以猜出我们需要的分析函数
第二种：静态分析
这里手法比较多：通过写ida脚本提取识别所有的函数，方法函数。主要可以通过包装函数中的 __Pyx_AddTraceback 函数即可拿到所有函数
写一个ida脚本就行了，给一个脚本吧：

效果如图：
我们把函数名给还原回来了：

这是笔者遇到的挑战之一，很多时候，一些作者会在编译的时候进行名称混淆防止你分析。
如图：

这种直接硬干不是好事，这里我建议使用 frida-python-bridge对关键函数进行hook。hook的主要针对这几个函数:

给个脚本

我们可以hook之后就可以打印一下参数和返回值就大概知道这个函数在干什么，frida是天然支持这些python类型的。这样一跑函数干什么无处遁形，还可以针对几个你觉得高度怀疑的函数进行小范围trace，范围太大容易崩掉。这里就不贴代码了，原理搞明白了就好弄。如果要处理函数内的调用则需要自己sig一下识别一下这些内部的快速调用。

其实这个把它当做一种特殊的混淆去对待
函数庞大的原因是因为为了兼容解释器特性还需要像c一样快，里面就有大量的异常和内存管理代码，gl锁等等等，真正有效代码极小。
分析他无非就是去掉这些多余的垃圾代码，我们只需要真正的python函数的调用。
所以就有两种方法：

传统手法
由于python转换成c是有一套转规则的以及对应的匹配模块这个在cython中是有的，可以针对进行模式匹配。（这里不展示这种了留点底子吧hhh），贴一个对于模版转换的源码位置吧有兴趣自己慢慢写可以。

捷进
实际上就是要识别垃圾代码并且删除，而且没有我们传统混淆那些，虚假控制流这些东西，只有一些“垃圾代码“。
可以写一个md脚本调用ai接口切块识别到一些垃圾函数给他删掉优化掉（目前笔者使用这个已经还原出一些超大函数）。
流程就是函数拷贝下来(可以使用mcp工具)->让ai进行切片识别这些多余的代码删除掉，写入文件funxxx.c
大概提示词如下：（这个提示词很重要，如果直接对话肯定没有任何结果，建议还是往mcp或者代码驱动ai这方面靠）

总体来说pyd逆向主要就是量大，所以传统方法逆向的话速度太慢，最好还是利用他的机制进行定位。下次我在填完变量成员的坑。

传播安全知识、拓宽行业人脉——看雪讲师团队等你加入！