1. 题目背景与核心挑战
最近在复盘一些经典的CTF逆向题目，正好又看到了这道“[GWCTF 2019]pyre”。这道题在当年算是Python逆向的一个典型代表，它巧妙地将Python字节码（.pyc）文件作为核心考点，考察选手对Python程序执行机制、字节码结构以及逆向分析工具链的掌握。很多刚接触逆向的朋友，一看到不是传统的C/C++程序，而是Python打包或编译后的产物，就容易发懵，不知道从何下手。这道题就是一个绝佳的切入点，它不涉及复杂的虚拟机保护或混淆，而是直指核心：给你一个编译后的字节码文件，如何还原出源代码逻辑，并找到其中的漏洞或flag。
这道题的文件通常是一个名为“pyre”或类似名称的文件，没有后缀，但用 file 命令查看会发现它是一个Python字节码文件。对于不熟悉的朋友，可能会尝试直接用文本编辑器打开，结果看到一堆乱码或者部分可读的字符串，真正的逻辑却隐藏在字节码指令中。解题的关键路径非常清晰：首先识别文件类型，然后进行反编译得到可读的Python源代码，最后分析源代码逻辑，通常是一个加密或验证算法，逆向推导出flag。这个过程涉及几个核心工具和知识点： uncompyle6 或 decompyle3 这样的反编译工具、Python字节码的结构（比如Magic Number、时间戳、Code Object）、以及基本的Python代码审计能力。
我之所以觉得这道题值得详细拆解，是因为它几乎涵盖了Python逆向分析的标准流程。通过这道题，你不仅能学会怎么解这一道题，更能掌握一类题的通用解法。下面，我就结合自己的实战经验，把每一步的细节、可能遇到的坑以及工具使用的技巧，毫无保留地分享出来。
2. 文件识别与初步分析
当我们拿到一个CTF题目附件时，第一步永远不是急着运行或者乱点，而是进行“验明正身”。对于未知文件， file 命令是我们的第一道火线侦察兵。在Linux或Mac的终端，或者Windows上安装了Git Bash、Cygwin等环境，都可以使用这个命令。
file pyre
执行后，你大概率会看到类似这样的输出：
pyre: python 3.8 byte-compiled
或者更具体的版本信息。这个输出告诉我们， pyre 文件是一个Python 3.8版本的字节码编译文件，也就是我们常说的 .pyc 文件。 .pyc 文件是Python源代码（.py）经过编译后生成的二进制文件，包含了Python虚拟机（PVM）可以执行的字节码指令，以及一些元信息。它并不是机器码，因此不能直接在操作系统上运行，但可以通过 python 命令执行。
注意：有时出题人会故意去掉 .pyc 后缀，或者修改文件头来增加识别难度。如果 file 命令识别不出来，我们可以用 xxd 或 hexdump 查看文件头部。一个标准的 .pyc 文件开头会有4个字节的Magic Number（标识Python版本）和4个字节的时间戳。例如，Python 3.8的Magic Number是 0x550d0d0a （小端序存储）。看到这个特征，基本就能确定是pyc文件了。
知道是pyc文件后，一个常见的错误是试图用文本编辑器（如VS Code、Sublime）直接打开并阅读。你会看到一些可读的字符串（因为字符串常量在字节码中通常是明文存储的），但大量的操作逻辑是以字节码指令的形式存在的，对人类极不友好。就像下面这样，你可能会看到 e 、 t 、 c 等模块导入的痕迹，但核心算法是隐藏的：
__pycache__?r
所以，直接阅读字节码是事倍功半的。我们的目标是将字节码 反编译 回近似原始的、可读的Python源代码。这里就需要请出反编译领域的“瑞士军刀”了。
3. 反编译工具的选择与实战
将 .pyc 文件还原为 .py 源代码，这个过程叫做反编译（Decompilation）。对于Python，有几个久经考验的工具：
我的首选和推荐一直是 uncompyle6 。它的安装非常简单，通过Python的包管理器pip即可完成：
pip install uncompyle6
