Delphi反编译：从PE元信息到DFM与published符号恢复

简介面向DELPHI逆向分析与组件维护场景的DELPHI反编译工具适合需要理解已编译DLL、OCX控件内部实现的中高级开发者、维护人员与安全分析人员使用可辅助在缺少源码时分析组件工作原理、排查兼容性问题并开展调试修改。其能力通常围绕符号解析、反汇编、源码重构与调试支持展开能把机器指令还原为较易理解的汇编与近似源码结构帮助读者掌握函数、类和变量的对应关系并为断点调试提供入口。需要注意的是反编译结果往往缺少原始注释与完整逻辑且受编译优化影响难以完全还原源码使用时还应遵守版权与知识产权规定。包体方面现有信息显示文件总数为0、主要文件类型暂无数据压缩包为rar格式整体约532KB已有1008人学习或下载可作为了解DELPHI反编译流程与工具能力的参考资料。1. Delphi 反编译的预期边界能拿回七成结构拿不回那三成名字接手一个十年前的老系统交付物只有一个 EXE 和几句口头需求源码跟着报废的机器一起没了——这是 Delphi 反编译最典型的出场场景。它不是在“猜”而是在“读”Delphi 编译器把窗体资源、published 属性表、方法名表这些东西原封不动塞进了可执行文件反编译工具干的事是把这些编译期元信息重新翻译成人能看的文本。所以组件树、事件绑定关系、大部分方法名和调用骨架是能拿回来的拿不回来的是局部变量名、被寄存器优化掉的中间变量、以及注释和内联展开后的逻辑边界。适合谁要维护无源码老系统的、做样本同源性判定的、给老构件做接口对齐的。预期先钉死在这儿后面每一步操作才知道自己在追什么。只对自有软件或已获授权的样本动手这条是工作纪律不是客套话。2. 编译产物解剖DFM 资源、published 方法表与 RTTI 三处入口Delphi 编译出来的东西有个特点它为了支持流式持久化和 IDE 设计器在二进制里保留了大量“本来可以删掉”的信息。这些信息对正常程序是运行时需要对分析者就是现成的索引。真正吃透这三处入口反编译的产出质量会和“点开工具看伪代码”拉开一个量级的差距。2.1 用 PE 结构定位 Delphi 特征PACKAGEINFO 与 DVCLAL 比字节特征靠谱判断一个样本是不是 Delphi 编译的新手第一反应是搜字符串或者对入口字节。入口桩确实有规律老版本常见的是55 8B EC 83 C4 F0 B8开头的一段固定序列但编译器版本一换、优化选项一开这段桩就会变靠它判会漏。更稳的做法是看资源目录Delphi 的 EXE 里几乎必然有两个 RT_RCDATA 类型的资源一个叫PACKAGEINFO一个叫DVCLAL。PACKAGEINFO里记录的是这个程序依赖的运行时包列表形如rtl260.bpl、vcl260.bpl、vclx260.bpl。这串名字末尾的数字就是编译器版本标识后缀越大版本越新。这张表的好处是双重的既确认了“是 Delphi”又直接把版本号告诉你了而版本号决定你后面用哪套 RTTI 布局去解析方法表——这是最容易出错的地方。DVCLAL只有 16 字节装的是授权与发行方标记配合PACKAGEINFO能进一步缩小区间。常见的后缀与版本区间大致对应关系如下遇到表里没有的号段别硬猜按同一个递增规律往上推再去官方版本对照表核一遍BPL 后缀大致对应版本区间判断价值1202009 世代已引入 Unicode字符串要按 UTF-16 处理1402010 世代扩展 RTTI 开始变多方法表更完整160XE2 世代出现 64 位产物指针宽度要分开处理26010.3 世代包名与命名空间前缀变化较多28011.x 世代新特性多老工具容易解析失败还有一个辅助判断点Delphi 程序的导入表通常很“瘦”集中在 kernel32、user32、oleaut32、comctl32 这么几个 DLL 上大量 API 走的是运行时动态获取。这意味着你从导入表里几乎读不出业务语义别在那儿浪费时间。下面这段脚本把三件事一次做完确认资源、抓出版本后缀、把 RCDATA 全部落盘备用。# pe_probe.py —— 确认 Delphi 特征并导出全部 RCDATA 资源 import os import re import sys import pefile def rva_to_bytes(pe, rva, size): # 用内存映射视图取数据避免手工处理节区对齐 return pe.get_memory_mapped_image()[rva:rva size] def main(path, outdir): pe pefile.PE(path, fast_loadTrue) pe.parse_data_directories() os.makedirs(outdir, exist_okTrue) # 记录所有 RCDATA 条目键为资源名值为原始字节 blobs {} for res in pe.DIRECTORY_ENTRY_RESOURCE.entries: type_name (str(res.name) if res.name is not None else pefile.RESOURCE_TYPE.get(res.struct.Id, str(res.struct.Id))) if type_name ! RT_RCDATA: continue for entry in res.directory.entries: key str(entry.name) if entry.name is not None else str(entry.struct.Id) for lang in entry.directory.entries: rva lang.data.struct.OffsetToData size lang.data.struct.Size blobs[key] rva_to_bytes(pe, rva, size) with open(os.path.join(outdir, frcdata_{key}.bin), wb) as f: f.write(blobs[key]) print([*] RCDATA 条目:, , .join(sorted(blobs)) or 无) # 版本判定从 PACKAGEINFO 里抽 rtlXXX.bpl / vclXXX.bpl pk blobs.get(PACKAGEINFO) if pk: names re.findall(rb[A-Za-z0-9_]\.bpl, pk) print([*] 依赖包:, [n.decode(latin-1) for n in names]) vers sorted({m.group(1).decode() for m in (re.match(rb[a-z](\d)\.bpl, n) for n in names) if m}) print([*] 包版本后缀:, vers) # 窗体资源名通常就是窗体类名的大写形式 forms [k for k, v in blobs.items() if v[:4] bTPF0] print([*] 疑似二进制 DFM:, forms) if __name__ __main__: main(sys.argv[1], sys.argv[2] if len(sys.argv) 2 else ./out)这段代码的逻辑很直白parse_data_directories之后遍历资源树只保留 RCDATA 类型把每个条目按资源名落盘。get_memory_mapped_image()返回的是按内存布局展开的镜像用它配合 RVA 取数据可以绕开节区对齐换算这是处理资源最常见的一个小坑。最后一个判断v[:4] bTPF0是筛窗体的关键Delphi 编译期把窗体序列化成二进制 DFM 塞进 RCDATA资源名默认就是窗体类名的大写形式而二进制 DFM 的前四个字节固定是TPF0这个文件签名。参数上只有一个地方要留意fast_loadTrue会跳过部分目录解析所以后面必须显式调用parse_data_directories()否则资源目录是空的。这个坑我见过不止一次报错信息表现为DIRECTORY_ENTRY_RESOURCE属性不存在。2.2 二进制 DFM 的字节布局TPF0 之后怎么读二进制 DFM 的格式其实相当克制它是TStream流式写入的产物结构是递归的一个对象由“标志字节 类名短字符串 实例名短字符串 属性列表 子对象列表”组成。属性是一个循环属性名用短字符串1 字节长度 内容表示读到长度 0 就代表属性列表结束每个属性值前面有一个类型字节告诉解析器后面该读几字节、怎么解释。真正决定解析成败的是那套值类型枚举。下面这张表是干活时最常撞见的几个写解析器时照这个分支走就不会跑偏类型字节含义后续数据布局典型出现场景空值 / 列表结束无属性列表、集合、子对象列表的终止符列表递归的“类型字节 值”直到空值Items.Strings、Lines这类多行文本8 / 16 / 32 位整数定长小端Width、Height、TabOrder扩展浮点10 字节 80 位浮点Top、Left存成 Extended 的老工程字符串1 字节长度 字节内容大部分Caption、HintL 字符串 / UTF8 字符串4 字节长度 内容长文本、含中文的Caption标识符短字符串事件绑定的方法名、枚举属性值集合一连串短字符串读到空串为止Style、Options二进制4 字节长度 原始字节图片、图标、大块资源集合对象每项以“列表”开头、空值结尾Columns、TListColumns宽字符串4 字节字符数 UTF-16 数据Unicode 版本编译的工程事件绑定就藏在“标识符”这一类里。OnClick的值是一个标识符字符串内容就是方法名比如Button1Click。这一条信息价值极高因为它是编译器认可的、真实存在的方法名而不是你反汇编出来瞎起的名字。写解析器时有三个细节要处理好第一短字符串读的是“长度字节 内容”如果内容里含中文而工程又是老版本编译的那是本地代码页编码直接按 latin-1 读会得到乱码需要按 GBK 再解一次第二集合对象里每一项本身又是一个“列表”列表内部才是属性递归层级不要写死第三读子对象列表时先 peek 一个字节如果是 0 说明列表结束不是 0 就要把这一字节当成对象的标志位重新走一遍对象解析别把它吞掉。提示解析二进制 DFM 时不要试图一次性读完整棵树再输出边解析边打印缩进文本一旦某一层抛异常你至少能看到断在哪一层、断在哪个属性上。这个习惯能省掉大量返工。2.3 published 方法表为什么是命名的金矿Delphi 的类在内存里有虚方法表而虚方法表有一组负偏移的槽位指向类名、实例大小、父类指针、published 属性表和 published 方法表。published 方法表的结构极其朴素开头一个计数然后是一串“方法地址 名字短字符串”的条目。这意味着什么意味着编译器在产品里留了一张“地址到函数名”的对照表。你只要找到这张表就能把反汇编视图里一片sub_004A2B10之类的脏名字批量换成TMainForm.Button1Click这种可读符号。这是 Delphi 分析相对于纯 C/C 二进制分析最大的优势也是唯一能让你在几小时内读懂一个陌生模块的捷径。published 属性表同样有价值它记录的是带 published 访问级别的字段名和类型。界面上的控件、数据源对象、定时器绝大多数都是 published 字段解析出来就是一份现成的类结构声明。这里有个版本差异必须记住早期版本的 RTTI 只覆盖 published 部分字段类型信息很浅引入扩展 RTTI 之后类型描述结构变复杂总长度、字段偏移、类型引用的排布都变了。所以第 2.1 节里把版本号判准不是走过场——用错布局去解析方法表结果就是一堆指向无关数据的假地址而工具不会报错它只会安静地给你错误答案这才是最麻烦的。3. 工具链与环境静态还原、反汇编交叉验证怎么分工工具选型这件事最怕的是拿一把锤子看什么都像钉子。Delphi 分析实际上是三类活拼起来识别与结构化还原、汇编级逻辑确认、以及验证与归档。任何单一工具都只覆盖其中一段指望一个软件从头到尾一口吃下通常的结果是中间某一步悄悄出错而你毫无察觉。3.1 三类工具各管一段识别、还原、验证按角色分工我会把工具分成三档每一档只回答一个问题。第一档是 PE 结构查看与资源导出回答“这是什么、依赖什么、有哪些资源”。这类工具的能力边界很清楚就是读头、读节、读目录不解释代码。上面那段 Python 脚本其实已经覆盖了它的大部分职能剩下的只是可视化便利。第二档是 Delphi 专用反编译器回答“类结构长什么样、窗体长什么样、方法叫什么名字”。这类工具的核心能力就是第 2 章讲的三个入口的解析器扫 VMT、读 published 表、解 DFM。它通常能直接导出两种产物一种是带符号的脚本文件供反汇编器回填一种是伪代码文本。第三档是脚本化反汇编器回答“这段逻辑到底在干什么”。它不认 Delphi 的元信息只认指令但它有交叉引用、有类型传播、有脚本接口。前两档给出的符号和结构最终要在这里落地成可读的控制流。环节工具角色输出物判断它干得对不对识别PE 结构查看 / 脚本资源清单、版本后缀、哈希能否列出 PACKAGEINFO 与全部窗体资源结构还原Delphi 专用反编译器符号脚本、DFM 文本、伪代码方法名是否成体系、窗体控件树是否完整逻辑确认脚本化反汇编器反汇编视图、交叉引用、调用图回填符号后引用关系是否自洽归档文本工具链符号字典、分析日志换台机器能否原样复现选型上我一般遵循一个原则结构还原用专用工具逻辑确认用通用工具绝不让通用工具去猜 Delphi 的元信息也绝不让专用工具去承担复杂的控制流分析。两者交叉验证的点就是可信度最高的地方。3.2 运行环境与隔离快照、断网、权限三件事先做齐分析环境这件事血泪经验只有一条不要在你的日常工作机上跑任何来路不明的样本。哪怕你只打算做静态分析双击误触的概率也远大于零。常规做法是准备一台虚拟机装好工具链之后打一个干净快照。每次分析新样本前先回滚到快照分析完再回滚一次。这样做的收益不只是安全还有一个很实际的好处环境是确定性的工具版本、路径、注册表状态每次都一样脚本跑出来的结果才可比。我吃过这个亏同一份样本在装过一堆运行库的机器上解析出来的资源列表和干净机器上不一致排查了半天才发现是某个组件改了资源读取行为。断网是第二条。静态分析原则上不需要网络需要联网查资料的场景用宿主机查。虚拟机网卡直接禁用省得某些样本在启动时做连通性探测把分析节奏带偏。权限是第三条也是最多人忽略的。Delphi 专用反编译器在解析大型模块、加载符号时对内存有要求部分功能需要管理员权限才能读取进程内存或写入系统目录。如果你在受限账户下跑工具可能“看起来正常运行但输出为空”——这不是工具坏了是权限不够。遇到空输出先看权限再看别的。注意杀毒软件对这类工具的误报率极高因为反编译器本身的行为特征和某些恶意程序有重叠。做法是把工具目录整体加入排除项而不是关掉防护同时虚拟机不要挂载宿主机共享目录避免误报扩散到工作机。3.3 工作区规范哈希命名、分目录、留日志分析工作最容易被低估的成本是“回头找东西”。样本一多命名混乱两周后你根本分不清哪个目录对应哪次分析。我固定用一套目录结构samples/只放原始样本文件名直接用 SHA-256 前 16 位扩展名保留out/放导出的资源、DFM 文本、符号脚本logs/放哈希清单、工具版本、命令历史notes/放手写的结论。样本名里不带任何业务含义因为样本自带的文件名经常是误导性的用哈希命名等于强迫自己每次都去看哈希清单。日志这块至少记三样工具版本号、关键命令的完整参数、以及每次输出的哈希。第三样最容易被跳过但它是你判断“两次分析结果不一样是不是因为输入变了”的唯一依据。4. 六步落地流程从 EXE 到可读伪代码与窗体文本流程这部分我按实际动手顺序写每一步都落一个可执行动作代码可以直接跑。整个链路的目标是从一份陌生的 EXE 出发最终拿到一份带符号的反汇编视图和一份可读的窗体文本并且这两份东西能互相对上。4.1 步骤一固化样本与哈希清单任何分析的第一步都不是打开工具而是把样本固定住。原始文件只读所有操作在副本上做哈希先算先存。# 建立工作区样本只读、按哈希命名、哈希清单留档 set -e ROOT~/delphi-lab mkdir -p $ROOT/{samples,out,logs,notes} cp ./target.exe $ROOT/samples/ chmod 444 $ROOT/samples/target.exe # 记录哈希与文件基本信息这份清单是后续所有对比的基准 HASH$(sha256sum $ROOT/samples/target.exe | cut -d -f1) printf %s %s %s\n $HASH $(stat -c%s $ROOT/samples/target.exe) \ $(date -Iseconds) $ROOT/logs/hash.txt # 用哈希前缀重命名样本自带文件名不作数 mv $ROOT/samples/target.exe $ROOT/samples/${HASH:0:16}.exe echo [*] 样本已固化为 ${HASH:0:16}.exechmod 444是为了防止后续工具误写回原始样本——有些工具会在同目录生成缓存文件权限只读能把这类副作用挡掉。哈希清单里额外记了文件大小和采集时间比对时三方一致才认。重命名这一步看似多余实际是防止自己被文件名带节奏遇到过一个样本叫update_patch.exe结果是个内部管理工具名字完全是误导。4.2 步骤二判定编译器版本与包依赖这一步直接用 2.1 节的脚本把 RCDATA 全导出来顺便把版本后缀打出来。# 导出全部 RCDATA并打印 RCDATA 清单、依赖包、疑似 DFM 条目 python3 pe_probe.py $ROOT/samples/${HASH:0:16}.exe $ROOT/out输出的三行信息要逐条看RCDATA 条目里如果出现PACKAGEINFO和DVCLALDelphi 身份基本坐实依赖包给出 BPL 名字列表末尾数字就是版本标识疑似二进制 DFM列出所有以TPF0开头的资源名这些名字通常就是窗体类名。参数上唯一需要改的是输出目录建议每次分析单独建子目录比如out/hash16/否则多次分析的文件会互相覆盖DFM 文本被后一次覆盖前一次的事我干过找回成本很高。4.3 步骤三把资源里的 DFM 转成可读文本这一步是整个流程里收益最高的一环。二进制 DFM 解出来之后你能直接看到控件树、控件属性、以及每个事件绑定的方法名。# dfm2text.py —— 把二进制 DFM 转成近似 Object Pascal 的文本 import sys VA_LIST, VA_INT8, VA_INT16, VA_INT32 1, 2, 3, 4 VA_EXTENDED, VA_STRING, VA_IDENT, VA_FALSE, VA_TRUE 5, 6, 7, 8, 9 VA_BINARY, VA_SET, VA_LSTRING, VA_NIL, VA_COLLECTION 10, 11, 12, 13, 14 VA_SINGLE, VA_CURRENCY, VA_DATE, VA_WSTRING 15, 16, 17, 18 VA_INT64, VA_UTF8STRING, VA_DOUBLE 19, 20, 21 class Reader: def __init__(self, buf, pos0): self.buf, self.pos buf, pos def u8(self): v self.buf[self.pos] self.pos 1 return v def take(self, n): v self.buf[self.pos:self.pos n] self.pos n return v def sstr(self): # 短字符串1 字节长度 内容老工程按本地代码页编码 n self.sstr_len() return self.take(n).decode(gbk, replace) def sstr_len(self): return self.u8() def peek(self): return self.buf[self.pos] def read_value(r): t r.u8() if t 0: return None # 空值列表结束 if t VA_LIST: items [] while True: v read_value(r) if v is None: break items.append(v) return ( ,.join(items) ) if t VA_INT8: return str(int.from_bytes(r.take(1), little, signedTrue)) if t VA_INT16: return str(int.from_bytes(r.take(2), little, signedTrue)) if t VA_INT32: return str(int.from_bytes(r.take(4), little, signedTrue)) if t VA_INT64: return str(int.from_bytes(r.take(8), little, signedTrue)) if t VA_EXTENDED: return extended if t in (VA_SINGLE,): return single if t in (VA_CURRENCY, VA_DATE, VA_DOUBLE): r.take(8) return float if t VA_STRING: return r.sstr() if t VA_IDENT: return r.sstr() # 事件绑定的方法名就在这里 if t VA_LSTRING or t VA_UTF8STRING: n int.from_bytes(r.take(4), little) return r.take(n).decode(gbk if t VA_LSTRING else utf-8, replace) if t VA_WSTRING: n int.from_bytes(r.take(4), little) return r.take(n * 2).decode(utf-16-le, replace) if t VA_FALSE: return False if t VA_TRUE: return True if t VA_NIL: return nil if t VA_BINARY: n int.from_bytes(r.take(4), little) r.take(n) return binary %d bytes % n if t VA_SET: names [] while True: name r.sstr() if not name: break names.append(name) return [ ,.join(names) ] if t VA_COLLECTION: items [] while True: v read_value(r) if v is None: break items.append(str(v)) return ;.join(items) raise ValueError(未知值类型 %d偏移 0x%X % (t, r.pos - 1)) def read_object(r, depth, out): flag r.u8() if flag 0: return False # 子对象列表结束 cls r.sstr() name r.sstr() pad * depth out.append(%sobject %s: %s % (pad, cls, name)) while True: pname r.sstr() if not pname: break val read_value(r) out.append(%s %s %s % (pad, pname, val)) while read_object(r, depth 1, out): pass out.append(%send % pad) return True def convert(path): data open(path, rb).read() assert data[:4] bTPF0, 不是二进制 DFM r Reader(data, 4) out [] while read_object(r, 0, out): pass return \n.join(out) if __name__ __main__: print(convert(sys.argv[1]))这份解析器把我的经验固化成了几个具体分支。sstr()里用 GBK 解码是因为大部分老工程是在中文环境下编译的字符串资源按本地代码页存用 latin-1 读出来是一堆高位字符用 UTF-8 读会直接抛异常。read_object的返回值被用作循环条件读到标志字节 0 说明兄弟对象列表结束返回 False 让上层退出否则继续读下一个对象。子对象那段while read_object(...): pass依赖的就是这个约定写成while True再 break 也行但递归写法更贴近 DFM 本来的嵌套结构。输出的文本可以直接当窗体声明看。object TMainForm: Form1开头下面缩进列出属性OnClick Button1Click这类行就是事件绑定的原始记录。这份文本是后面建符号字典的输入。提示解析失败的典型表现是抛“未知值类型”。大概率不是解析器写错了而是版本判断错了——某些版本在属性值里用了上面表里没列的类型。把抛异常处的偏移和前后 16 字节打出来比对着原始字节看十有八九能定位到具体是哪个属性的哪个值。4.4 步骤四抓 published 方法表建立符号字典拿到窗体文本之后方法名有了但没有地址。这一步要把名字和地址对上。原理在 2.3 节讲过published 方法表是一串“地址 名字短字符串”的条目。全量解析 VMT 需要对类布局做精确建模工作量大且版本敏感。实操里我用一个更粗但更稳的办法直接在文件里扫“指针落在代码节内 紧跟着一个合法标识符短字符串”的组合再要求这些条目在位置上连续出现。真的方法表一定是连续排列的这条约束能把绝大多数误命中过滤掉。# symscan.py —— 扫描 published 方法表候选输出 地址TAB方法名 import re import sys import pefile IDENT re.compile(rb p a hrefhttps://download.csdn.net/download/jxnew_12345/5172626 stylecolor:#ec7500;font-size:14px; 本文还有配套的精品资源点击获取 /a img altmenu-r.4af5f7ec.gif srchttps://csdnimg.cn/release/wenkucmsfe/public/img/menu-r.4af5f7ec.gif stylewidth:16px;margin-left:4px;vertical-align:text-bottom;cursor:text; /p