下文「消耗」均为估算，保留数量级供复盘，不作为精确账单。

本节聚焦「方向性错误」本身；子代理前半程的同类试错在第 2 部分用时里一并统计。

把题目当成「改过的 PyInstaller bootloader 原生逻辑」

错误 Python / idalib 环境

图标 / 字符串 / 单字节 XOR 全盘盲扫

死磕 main.pyc 解密

Frida 挂错进程

误判「业务在 native 自定义段」

题目表面是「原生校验 / bootloader 补丁」，实质是 Python 3.13 冻结标准库（os）里插入的挑战脚本。继续只做 PE 差分与 boot 反编译收益极低；应尽早对 运行中的 python313.dll / 子进程 做 code object / 模块源码转储。

运行行为确认

PyInstaller 结构

动态：对子进程注入

提示串：单字节 XOR 0x55

Key：6 字节循环 XOR（已知明文）

代码还原业务

验证

静态一句话：enc ⊕ UTF-8("恭喜成功！") 的前 6 字节即 key yb6tcr。

相关文件参考附件，python313.dll 这些不提供，可以使用常规工具从exe中释放，或直接监控进程读写文件记录，从临时目录中获取。

分析报告分两部分，第一部分总结走过的弯路，第二部分总结攻下的路径。
实际走过的弯路肯定不止，本文给出的是Cursor与主力Grok 4.5的分析。
实际另一个Hermes + GLM 5.2 的兜了大半圈都没找到切入点，果断截断了。

各个Agent有30%问题是工具环境没配置对，找不到，我们注意到了，及时暂停指示其正确配置使用工具。
值得参考的点：
    AI最后的成功突破的闪光点是发现了my_function在python*.dll中，及时改变策略，然后使用Frida的方式dump python对象。

提示，需要还原的代码
def my_function():
    print("恭喜成功！")
请输入key还原代码（请输入6个字符）

key[i] = enc[i] ⊕ plain[i]   (i = 0..5)
→ key = b'yb6tcr'

提示，需要还原的代码
def my_function():
    print("恭喜成功！")
请输入key还原代码（请输入6个字符）
恭喜成功！

# 位于冻结 os 模块导入尾部（示意）

XOR_BYTE = 0x55  # 常量 85

cipher_chunks = [b"...", ...]  # 8 × 16 bytes
prompt = bytes(b ^ XOR_BYTE for chunk in cipher_chunks for b in chunk).decode("utf-8")
print(prompt)  # 展示「需还原的代码」与输入要求

key = input()
assert len(key) == 6
kb = key.encode("utf-8")  # b'yb6tcr'

def rol_xor(data: bytes, k: bytes) -> bytes:
    return bytes(data[i] ^ k[i % len(k)] for i in range(len(data)))

# 还原字符串常量 → 「恭喜成功！」
msg = rol_xor(MSG_CIPHER, kb).decode("utf-8")

# 还原 bytecode，写回 my_function.__code__（CodeType.replace 等）
my_function.__code__ = restore_code(CODE_CIPHER, kb, msg)
my_function()  # print 恭喜成功！

# 向题目喂入 key（注意控制台代码页；也可用重定向文件）
"yb6tcr" | .\target.exe

yb6tcr

下文「消耗」均为估算，保留数量级供复盘，不作为精确账单。

• 依据：main.pyc 仅 sys.exit(0)，运行时却有中文提示与 6 字符输入。

• 初期用 py -3（Python 3.12）+ 自拼 IDADIR，与本机配置的 d:\py94.bat 环境不一致。
• 全库式 ida_find_io.py 扫描易卡住；用户纠正后才改为 Anaconda311 + IDA94 idalib。

• extracted_icon.png 无隐藏 key；对 GBK 提示做单字节 XOR 全文件搜索无命中（因字符串在 冻结模块常量 中，且编码为 UTF-8 XOR，不是裸 GBK）。

• 假设 6 字节 key 加密了 entry pyc；实际 entry 仍是平凡的 sys.exit，挑战不在此处。

• onefile 解压出子进程跑真正的 Python；只 hook 父进程只能看到循环写提示，拿不到业务栈与 code object。

• 长时间在 0x14002E200 一带与 bootloader 反编译上消耗轮次，延误发现 deepfreeze 的 os 模块注入。

• GBK 控制台输出：

  提示，需要还原的代码
  def my_function():
      print("恭喜成功！")
  请输入key还原代码（请输入6个字符）
  

• 输入须 恰好 6 字符；错误则循环提示。

• 解包得 main.pyc、python313.dll、PYZ 等；entry 无业务。
• 业务不在 PYZ 用户脚本，而在 嵌入 DLL 的 deepfreeze 标准库。

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。