簡介EXE可執(zhí)行文件解壓工具是一份專門提取EXE內(nèi)部資源的實用工具包面向開發(fā)者、逆向工程師及需要分析或復(fù)用程序素材的用戶可針對非安裝類可執(zhí)行文件抽取圖片、文本、聲音等嵌入數(shù)據(jù)適用于軟件結(jié)構(gòu)分析、資源漢化與素材復(fù)用場景。壓縮包共167個文件大小僅5.14MB以UniExtract主程序及配套動態(tài)庫為核心同時含大量txt說明文檔、exe輔助程序、unp解包腳本、doc使用說明與ini配置項目錄結(jié)構(gòu)清晰便于按需調(diào)用。解壓后可直接用于探索EXE文件組成或借助內(nèi)置多種解包引擎處理常見封裝格式快速定位隱藏資源并修改皮膚、修復(fù)數(shù)據(jù)或了解程序?qū)崿F(xiàn)方式。該工具整體輕量易用已有3503人學(xué)習(xí)下載使用時可結(jié)合工程需要提取素材但需注意遵守版權(quán)法規(guī)與軟件條款避免侵權(quán)用途。1. EXE可執(zhí)行文件解壓工具先搞清你想解出什么再動手你手上有一個 EXE雙擊就裝上、裝上就能跑但有一天你需要把它“打開看看”?？赡苁窍胩崂锩娴膱D標和版本信息可能是想確認某個 PyInstaller 打包的工具到底放了哪些模塊也可能是想把安裝包直接還原成一個免安裝目錄扔到服務(wù)器上。這時候你會發(fā)現(xiàn)EXE 可執(zhí)行文件解壓工具并不是某個單一軟件而是一套按形態(tài)選擇工具的解法集合。這個方向能解決三類實際問題把自解壓包和安裝器當(dāng)壓縮包拆開、把資源區(qū)里的素材與元數(shù)據(jù)提取出來、把打包器還原成接近源碼的中間產(chǎn)物。適合做軟件供應(yīng)鏈審查的開發(fā)、做應(yīng)用免安裝化的運維以及想換圖標或做漢化的普通用戶。但有一個前提要先立住EXE 不是鐵板一塊解壓之前必須先判斷它屬于哪種容器形態(tài)選錯工具只會浪費時間。2. EXE內(nèi)部是四種容器先判別形態(tài)再選對工具2.1 PE結(jié)構(gòu)里藏著什么頭部、資源三件套與載荷區(qū)Windows 可執(zhí)行文件的標準格式是 PEPortable Executable文件開頭有 MZ 頭偏移 0x3C 的位置記錄著 PE 頭位置后面跟著節(jié)區(qū)和資源段。對解壓工具來說真正要關(guān)注的是兩部分.rsrc資源段和文件末尾的 overlay 附加數(shù)據(jù)。.rsrc里放的是圖標、版本信息、對話框模板和字符串表這部分用 Resource Hacker 這類工具可以直接提。而 overlay 區(qū)才是安裝包和打包器做文章的地方Inno Setup、NSIS、PyInstaller 會把真正的“貨物”整塊追加在 PE 文件尾部PE 頭只負責(zé)讓系統(tǒng)把這部分當(dāng)成合法程序加載。這也是為什么很多 EXE 一解壓就能看到完整文件列表而另一些只能拆出零散的 DLL 和配置。2.2 四種形態(tài)識別法看圖標、看節(jié)區(qū)、看字符串常見做法是先看三樣?xùn)|西圖標風(fēng)格、文件體積、特征字符串。PyInstaller 默認用一把傘形圖標NSIS 安裝包常見藍色齒輪圖標Inno Setup 多為用戶自定義圖標——但圖標不可靠因為任何打包器都支持換圖標所以更要看體積和字符串。例如一個幾十 MB 的 EXE 放著 Python 相關(guān) DLL 沒壓縮或安裝包內(nèi)部包含app.asar、*.pyc之類文件字符串掃描能直接暴露身份。Windows 下可以用 Sysinternals 的 strings 工具或直接在 PowerShell 里對二進制做匹配strings.exe -n 8 target.exe | grep -iE Inno Setup|Nullsoft|PyInstaller|python3.dll|app.asar邏輯說明-n 8要求字符串至少連續(xù) 8 個可打印字符避免垃圾匹配grep 的大小寫不敏感匹配會覆蓋常見打包器簽名。如果你在純 Windows 環(huán)境沒有 strings.exe用findstr /i Inno Setup PyInstaller target.exe也能湊合但 findstr 對二進制文件的中文和寬字符處理不佳能用 strings 就別將就。參數(shù)說明掃到Inno Setup Setup Data是 Inno掃到Nullsoft是 NSIS掃到PyInstaller或python3.dll說明是 Python 系打包接下來按對應(yīng)路線走。掃描結(jié)果為空但不代表是原生編譯還要再看節(jié)區(qū)名。2.3 解壓工具選型對照表容器形態(tài)典型特征首選工具能拿到什么安裝包裝器Inno Setup / NSIS / InstallShieldinnoextract / 7-Zip安裝目錄文件、腳本、插件腳本包裝型bat轉(zhuǎn)exe、SFX自解壓包7-Zip / Resource Hacker原始腳本或批處理內(nèi)容Python 系PyInstaller / Py2exepyinstxtractor pycdcpyc 字節(jié)碼、依賴模塊與靜態(tài)文件原生編譯型C/C / Go / Rust / GraalVM 打包Resource Hacker 提資源反編譯需另走 IDA/Ghidra圖標、版本、對話框不含業(yè)務(wù)源碼GraalVM 打包成的 EXE 是純機器碼解壓工具只能動資源區(qū)拿不到任何業(yè)務(wù)邏輯bat 轉(zhuǎn) EXE 工具比如常見的 BatToEXE Converter則相反它把腳本塞進外殼硬解后最容易得到.bat 原稿。把形態(tài)認清楚后面每一步才有的放矢。3. 通用解壓組合7-Zip 硬解與 Resource Hacker 資源提取3.1 用 7-Zip 硬解自解壓包命令行與 GUI 兩種姿勢7-Zip 是解壓 EXE 的第一選擇它對自解壓包SFX的支持最好。WinRAR 和 7-Zip 自帶的 SFX 模塊本質(zhì)上就是把解壓器頭和壓縮數(shù)據(jù)拼在一個 EXE 里7-Zip 能直接識別嵌入的壓縮流。對于部分 NSIS 包7-Zip 也能把$INSTDIR里的內(nèi)容完整列出來。GUI 操作就一個動作右鍵 EXE選“打開壓縮包”能看到內(nèi)部文件就直接拖出來。命令行更可控寫進腳本方便批量處理7z x target.exe -oOUTDIR -y邏輯說明x是提取并保留目錄結(jié)構(gòu)e是把所有文件丟到同一層解壓安裝包必須用x否則插件目錄和子目錄全亂套。-oOUTDIR指定輸出目錄注意-o后面不能有空格。-y表示遇到覆蓋詢問全部選是適合流水線反復(fù)跑。參數(shù)說明如果只想要里面某個子目錄可以追加-ir!plugins/*這類包含規(guī)則反之用-xr!*.pdb排除調(diào)試符號。7-Zip 硬解對 Inno Setup 新版和帶加密的 NSIS 包可能只列出一部分文件這時候別死磕換定向工具。3.2 Resource Hacker提取圖標、版本信息和對話框資源資源提取的正主是 Resource Hacker 這類工具。它能直接讀 PE 的資源段把圖標、位圖、版本號、Manifest、對話框模板一項項列出來也可以導(dǎo)出或替換。對只想換圖標、看版本、做漢化的場景它比任何通用解壓器都好用。命令行提取所有圖標ResourceHacker.exe -open target.exe -save icons -action extract -mask ICON,, -log log.txt邏輯說明-open指定目標 EXE-action extract表示提取-mask ICON,,匹配所有圖標資源類型 ICON、名稱不限、語言不限-save icons把結(jié)果保存到 icons 目錄。-log記錄詳細日志批量跑的時候方便排查哪個文件沒提出來。參數(shù)說明類似 mask 寫法可以換成VERSION拿版本信息、DIALOG拿對話框模板。GUI 模式更直觀左側(cè)樹展開后右鍵選導(dǎo)出資源即可只是沒法批量。實際操作中我一般先命令行列清單再針對個別資源用 GUI 微調(diào)。3.3 換圖標與資源修改簽名失效和必須先備份的問題用 Resource Hacker 替換圖標也是常見需求命令是ResourceHacker.exe -open target.exe -save new.exe -action addoverwrite -res app.ico -mask ICON,MAIN,邏輯說明addoverwrite把app.ico寫到目標 EXE 的ICON,MAIN,資源位。這里MAIN是主圖標組的名字很多程序默認叫MAIN但也有人改成別的先提取后再回填最穩(wěn)妥。參數(shù)說明-res可以反復(fù)傳一次替換多個資源。做完這一步有個大坑一旦改動 EXE 內(nèi)容原文件的數(shù)字簽名立刻失效。Windows 會提示“發(fā)布者未知”殺毒軟件也可能提高警惕。所以改任何資源前先把原始 EXE 留一份備份不要直接在原文件上做覆蓋保存。4. 定向拆解安裝包與自解壓殼Inno Setup、NSIS 與 Squirrel 的還原路徑4.1 Inno Setup 包識別與 innoextract 常用參數(shù)遇到 Inno Setup 包7-Zip 可能能列出部分文件但腳本、自定義消息、磁盤布局信息都會被跳過。開源工具 innoextract 專門處理 Inno Setup 的結(jié)構(gòu)能按安裝腳本的原始目錄還原文件。先確認特征串再決定是否用它確認方法就是第 2 章里的 strings 掃描看到Inno Setup Setup Data字樣就可以上。innoextract -l setup.exe innoextract -e -d outdir setup.exe邏輯說明第一條命令-l只列出內(nèi)部文件清單不實際解壓適合先確認包里是不是你要的東西。第二條-e執(zhí)行解壓-d outdir指定輸出目錄。innoextract 對 Inno Setup 5.x 支持最完整6.x 部分版本需要額外參數(shù)處理。參數(shù)說明如果只想解指定組件用-I component_name按名稱過濾配合-x排除多余內(nèi)容。若安裝包被作者設(shè)置了密碼innoextract 會提示并提供--password選項但如果你沒有授權(quán)密碼別硬來。4.2 NSIS 解壓與 Squirrel/Electron 包的接續(xù)處理NSIS 包的識別特征是Nullsoft字符串7-Zip 對大多數(shù) NSIS 包可以直接硬解命令很簡單7z x nsis-installer.exe -oextracted -y邏輯說明NSIS 安裝包把文件區(qū)以自定義格式附加在 PE 尾部7-Zip 能解析其中大部分壓縮塊。解壓后通常會看到$INSTDIR、$PLUGINSDIR這類目錄名前者是安裝目標目錄后者是插件臨時目錄。$PLUGINSDIR里那些 DLL 是 NSIS 插件別當(dāng)垃圾刪有些是程序運行必需的。參數(shù)說明如果 7-Zip 解到一半報錯說明 NSIS 用了非標準壓縮方式可以改用 nsisunz 這類專用工具讀出文件偏移再手工剝離。還有一類 Squirrel 安裝器常見于 Electron 應(yīng)用內(nèi)部不是 MSI而是把app-64.7z嵌在 EXE 里7-Zip 解出后再用 asar 工具拆resources/app.asar那是另一個分支的活兒但方向比硬解 EXE 正確得多。4.3 自解壓 SFX 的通用還原思路自解壓包是所有 EXE 里最好對付的因為它的本質(zhì)就是“解壓器 壓縮數(shù)據(jù)”。WinRAR 做的 SFX 用 WinRAR 打開直接能看7-Zip 做的 SFX 用 7-Zip 打開同樣可以。遇到不認識的自解壓殼先看文件尾部有沒有壓縮格式的魔數(shù)常見的有 Rar、7z、Zip 頭然后用對應(yīng)解壓器指定從偏移處提取。另一種通用思路是把 EXE 當(dāng)作普通文件搜內(nèi)嵌壓縮流。用 binwalk 掃描文件內(nèi)的壓縮簽名找到偏移后直接用dd切出壓縮塊再解壓binwalk target.exe | grep -iE rar|7z|zip dd iftarget.exe ofembedded.7z bs1 skip102345 count456789邏輯說明binwalk 輸出的是各壓縮流的起始偏移dd 按偏移和長度切出原始壓縮數(shù)據(jù)。這個方法看著原始但對付加了自定義殼的自解壓程序很有效因為它繞開了外殼直接拿內(nèi)層數(shù)據(jù)。參數(shù)說明bs1保證按字節(jié)切割skip 和 count 的單位取決于 binwalk 輸出的偏移單位常見的是 10 進制字節(jié)偏移。切出來的文件用對應(yīng)解壓器打開基本就是安裝目錄的全部內(nèi)容。5. PyInstaller 系 EXE 解包與避坑清單解出來也不一定跑得起來5.1 用 pyinstxtractor 把 PyInstaller 包拆成原始目錄Python 轉(zhuǎn) EXE 的生態(tài)里 PyInstaller 占比最高它打包出的 EXE 自帶 Python 運行時和模塊歸檔。解包工具首選開源腳本 pyinstxtractor.py把它和目標 EXE 放在同一目錄執(zhí)行python pyinstxtractor.py target.exe邏輯說明腳本會讀取 PyInstaller 的歸檔結(jié)構(gòu)把嵌入的模塊、數(shù)據(jù)文件、依賴 DLL 全部導(dǎo)出到一個target.exe_extracted目錄。主程序入口通常是main.pyc或與你打包時的入口腳本同名的.pyc大量第三方庫則被打進PYZ-00.pyz需要用腳本再拆一層python pyinstxtractor.py target.exe_extracted/PYZ-00.pyz參數(shù)說明腳本不需要額外參數(shù)但要求本機有 Python 3.6 以上環(huán)境且不能用打包器內(nèi)置的 Python。拆完的目錄里如果出現(xiàn)大量.pyd和.dll別意外那正是運行時依賴。如果你發(fā)現(xiàn)提取出來的 pyc 文件大小都是 0 或明顯異常先確認 EXE 是否被加殼而不是腳本沒跑對。5.2 pyc 反編譯與 Python 版本適配拆出.pyc只完成了一半要看代碼邏輯還得反編譯。工具選擇看 Python 版本3.7 及以下用 uncompyle6 比較成熟3.8 以上 uncompyle6 基本翻車推薦用 pycdc。兩個命令分別長這樣uncompyle6 target.exe_extracted/main.pyc main.py pycdc target.exe_extracted/PYZ-00.pyz_extracted/pkg/module.pyc module.py邏輯說明uncompyle6 輸出可讀性高但遇到新字節(jié)碼就報TypeError或直接失敗。pycdc 是 C 實現(xiàn)容錯強但生成的代碼偶爾在控制流上不完美注釋和類型信息也會丟。兩條命令的輸出都建議馬上落盤不要直接打屏因為反編譯結(jié)果可能很長。參數(shù)說明如果 pyc 文件頭部不是標準 Python 魔數(shù)說明打包時開了--key加密。pyinstxtractor 會把這類文件標記出來直接反編譯只會得到亂碼。正規(guī)做法是先確認你對這個程序有無授權(quán)拿到密鑰后再處理不要用這些工具做繞過授權(quán)的事。5.3 五條必看踩坑記錄坑一解出來沒有 .pyc只有一堆 .dll 和 .pyd現(xiàn)象用 7-Zip 硬解 PyInstaller 包文件列表里根本看不到.pyc。 原因PyInstaller 把所有模塊壓縮在 overlay 區(qū)的自定義歸檔里7-Zip 只解析到資源段和部分附件。 解決改用 pyinstxtractor.py 定向解包它會按 PyInstaller 歸檔格式切出所有模塊緩存?？佣ncompyle6 反編譯報版本不支持現(xiàn)象Python 3.8 打包的 EXEuncompyle6 一跑就報錯。 原因字節(jié)碼版本不在 uncompyle6 支持范圍內(nèi)。 解決換 pycdc或者在反編譯前用file main.pyc確認源碼字節(jié)碼版本再選匹配工具?？尤绦蛱崾尽爸付ǖ目蓤?zhí)行文件不是此操作系統(tǒng)平臺的有效應(yīng)用程序”現(xiàn)象解包出的 EXE 在另一臺機器上運行直接報平臺錯誤。 原因打包時目標架構(gòu)和運行平臺不匹配比如 32 位包跑在純 64 位系統(tǒng)上或 ARM64 包跑在 x64 上。 解決解包前先確認機器碼架構(gòu)。用 PowerShell 讀 PE 頭的 Machine 字段最快$fs [System.IO.File]::ReadAllBytes(target.exe) $peOffset [BitConverter]::ToInt32($fs, 0x3C) [BitConverter]::ToUInt16($fs, $peOffset 4)邏輯說明PE 頭偏移記錄在文件 0x3C 位置Machine 字段在 PE 簽名后兩個字節(jié)。輸出0x8664是 x640x014C是 x860xAA64是 ARM64據(jù)此選對版本的包再解壓。參數(shù)說明這個技巧對所有 EXE 都通用不限于 PyInstaller 產(chǎn)物。遇到平臺報錯先查這里別急著換解壓工具?？铀慕鈮汉竽夸浲暾绦騿颖罎⒒蛉?DLL現(xiàn)象文件全在一運行就報缺少VCRUNTIME140.dll或python3.dll。 原因PyInstaller 單文件模式運行時會把依賴釋放到臨時目錄解壓出來的目錄缺少運行時組件。 解決把target.exe_extracted里所有 DLL 保留不要按文件名“清理”看似多余的文件同時確認系統(tǒng)裝了對應(yīng)的 VC Redistributable?？游褰獬龅奈募葘嶋H運行時少一半現(xiàn)象包內(nèi)文件列表明顯少于程序?qū)嶋H寫出的文件。 原因onefile 模式在運行時動態(tài)釋放文件有些資源是首啟后才生成的。 解決用 Process Monitor 監(jiān)控原程序啟動過程過濾 EXE 進程名看它訪問并寫入了哪些路徑把這些內(nèi)容補進你的解壓目錄。6. 從解壓到免安裝化驗證完整性與補齊運行庫的收尾動作6.1 用文件對比和 ProcMon 驗證解壓產(chǎn)物是否完整解壓完先別急著刪安裝包驗證完整性最省事的方式是做目錄差異對比。假設(shè)你在一臺干凈機器上先記錄安裝前目錄再用正常方式安裝一遍最后和解壓產(chǎn)物對比robocopy C:\installed_dir C:\extracted_dir /MIR /L邏輯說明/MIR鏡像目錄/L只列出差異不執(zhí)行復(fù)制。輸出里會顯示哪些文件安裝版有、解壓版沒有漏掉的文件逐個補。如果差異集中在注冊表相關(guān)路徑說明程序安裝時把配置寫到別處這時候用 Process Monitor 抓一次運行記錄。參數(shù)說明/L是只讀試跑安全確認無誤后去掉/L正式同步。ProcMon 過濾方式設(shè)置 Process Name 為你的 EXE 名再觀察 RegSetValue 和 CreateFile 操作就能定位它寫了哪些注冊表項和配置文件。6.2 運行庫判斷與補依賴清單免安裝版跑不起來的另一個常見原因是缺運行庫。判斷 EXE 依賴哪種運行庫看導(dǎo)入表最直接dumpbin /imports target.exe | findstr /i Qt5Core msvcp VCRUNTIME MSCOREE邏輯說明Qt5Core說明是 Qt 程序需要帶plugins目錄MSCOREE.dll說明是 .NET需要對應(yīng) .NET RuntimeVCRUNTIME是 VC 運行庫。只靠系統(tǒng)裝庫不一定對因為解壓目錄如果缺了 DLL 鄰居程序照樣找不到依賴。解決思路把原安裝目錄里與 EXE 同級的 DLL 全部保留Qt 程序把platforms文件夾也拷上.NET 程序優(yōu)先用 ILSpy 看入口邏輯確認目標框架版本再配運行時。6.3 解壓不等于反編譯一條清晰的驗證鏈路最后說一條重要的邊界解壓工具解決的是“拿到文件和資源”不是“看懂業(yè)務(wù)邏輯”。原生編譯型程序解壓完仍然是機器碼要分析邏輯得進反匯編或反編譯工具鏈這時你手里的解壓產(chǎn)物是素材不是答案。我現(xiàn)在的固定習(xí)慣是先 strings 和 PE 頭判斷形態(tài)再按形態(tài)選解壓工具最后用文件對比和 ProcMon 驗證驗證不過就回頭查依賴。這套流程跑過很多次救回過不少被誤刪“無用文件”的翻車現(xiàn)場。資源提取時永遠留原始備份改過一次圖標就知道簽名失效有多麻煩。希望幫到你這一套下來至少不會再對著一個打不開的 EXE 干瞪眼。本文還有配套的精品資源點擊獲取