一.php opcodes的由来（如果你只想知道如何解php opcodes就直接跳过这步）
1.PHP内核-Zend引擎的详解：https://www.php.cn/php-weizijiaocheng-355597.html
2.VLD扩展使用指南(VLD介绍):http://www.phppan.com/2011/05/vld-extension/
二.php opcodes对照解码表（php官网的，反应速度有点慢）
https://www.php.net/manual/en/internals2.opcodes.echo.php
三.步骤讲解
1.观察获取关键信息（文件名），操作数
2.解出php源码每行原内容
3.拼凑源码，提炼出跳转等操作
4.分析出最终源码
四. 实际演练
这里根据一道i春秋上的题进行实战讲解如何反编译php opcodes
原题链接：https://www.ichunqiu.com/battalion（挑战名称：vld）
根据信息我们会得到php opcodes
①反编译的第一步是读懂他的op栏中的所有op代表什么（因为php官网速度不怎么行在中国，所以可以先收集op资料再翻译）
EXT_STMT：基本上每个php opcodes都有EXT_STMT和RETURN两个op，可以暂时不用管，因为他们没有任何指向
echo的op就是ECHO，后面operands跟代码段的输出字符串
BEGIN_SILENCE的意思好像是索引变量的意思，和END_SILENCE相对应。没有实际解码翻译，可以不用管
FETCH_R的意思就是变量指向变量的操作,这里的实例就是将变量!1指向给$2,让$2相当于$!1(也就是$$a)
FETCH_DIM_R是数组变量指向特定变量的作用，这里就是让$3=$a[0],operands的前面是数组变量名后面是位置值
ASSIGN是分配变量的意思，如第一步就是将1分配给$a，第二步就是将’a’分配给$a;第六步就是将$3分配给$a；
IS_EQUAL的意思是判断是否相等，是弱等于比较，return中是返回值储存位置，operands中的两个值分别为比较的左右
JMPZ的意思是if操作，operands的左边对应的是if里面的步骤（例如这里的~0为$a!=0则JMPZ代表的if中的判断则是~0，$a!=0），右边对应的是该进行第几步，这里就是如果if里面的判断为假（$a等于0），则跳转到第四步（#4）
JMP的意思直接就是跳转，operands里面就是#步骤
NOP没有操作
②先解释下php opcodes各段分别是什么意思
- Branch analysis from position 这条信息多在分析数组时使用。
- Return found 是否返回，这个基本上有都有。
- filename 分析的文件名
- function name 函数名，针对每个函数VLD都会生成一段如上的独立的信息，这里显示当前函数的名称
- number of ops 生成的操作数
- compiled vars 编译期间的变量，这些变量是在PHP5后添加的，它是一个缓存优化。这样的变量在PHP源码中以IS_CV标记
- op list 生成的中间代码的变量列表
line： 在源码中的行号
＃： opcode 编号（每个php的php opcodes从0开始记录操作不揍）
op： 操作名称
fetch： 该操作的变量位置（全局或则本地）
ext: 与该opcode关联的额外数据，如跳转的目标opcode
return： 返回值存储的问题
operands：操作
③分析实例：
第一行和最后一行php代码分别为<?php和?>，不进行opcodes操作，其中每行末尾的;也是去掉了的
该段op的意思是，位于源码第二行，操作只有一个，输出’do+you+know+Vulcan+Logic+Dumper%3F%3Cbr%3E’
#4是将_GET给了$1,意思是接下来用$1表示_GET
#5则是将$1的数组位置设置成了flag1的值，用$2表示，相当于$2=$1[flag1]=$_GET[flag1]
#6则是将赋值，将$2给了!0，而!0=$a,所以这里的第三行php代码是$a=$_GET[flag1]
第四行有6步操作，第1步不解释（上面的op对照表的解释有），然后第2和5不解释，看第3步，是代替指向，将$5代替_GET,第4步则是数组指向赋值，先将$5数组的位置指向flag2的值，形成$5[flag2](也就是$_GET[flag2])，然让$6等于这个值（$5[flag2]）,第6步则是赋值，将$6赋值给!1($b)
所以第四行解释成php代码则是
$b=$_GET[flag2]
第五行有六步操作去掉第一步，第二步，第五步，分析剩下的三步，第三步是让$9代替$_GET(这个挑战里面的fetch一直是global，也就是全局指向，意思是整个php opcodes中$9都是$_GET的意思)第四步是先对数组$9指向为flag3然后将这个值给$10，形成$10=$9[flag3];第六步则是将$10的值赋值给!2($c),所以第四行php代码解释为$c=$_GET[flag3]
第六行则是进行了三步操作，去掉第一步，分析第二步，第二步是比较，判断!0是否等于fvhjjihfcv，如果不等于则调转到#38步操作，这里是一个连串的if结构，所以暂时没有翻译
第七行源码是判断!1是否等于gfuyiyhioyf，如果不等于就跳转到#35操作
第八行源码是判断!2是否等于yugoiiyhi，如果不等于就跳转到#32操作
第九行php源码是输出the+next+step+is+xxx.zip
第十行源码是跳转到#34
第十一行源码是输出'false%3Cbr%3E’（这里的第一步是#32接的是第八行源码）
这里没有第十二行，所以猜测第十二行应该是 } 或则回车
第十三行是跳转到#37
第十四行是输出false%3Cbr%3E
第十五行也没有
第十六行是跳转到#40
第十七行是输出false%3Cbr%3E
第十八行没有
十九行是NOP
然后第二十，二十一都没有，应该都是 }或则回车
第22行是输出%3C%21--+index.php.txt+%3F%3E%0D%0A%0D%0A
然后结束
现在来初步整理一下
1 <?Php
2 echo ‘do+you+know+Vulcan+Logic+Dumper%3F%3Cbr%3E’
3 $a=$_GET[flag1]
4 $b=$_GET[flag2]
5 $c=$_GET[flag3]
6 判断!0是否等于fvhjjihfcv，如果不等于则调转到第十七行
7 判断!1是否等于gfuyiyhioyf，如果不等于就跳转到第十四行
8 判断!2是否等于yugoiiyhi，如果不等于就跳转到第十一行
9 echo ‘the+next+step+is+xxx.zip’
10 跳转到第13行
11 echo ‘false%3Cbr%3E’
12 }
13 跳转到第16行
14 echo ‘false%3Cbr%3E’
15 }
16 跳转到第19行
17 echo ‘false%3Cbr%3E’
18 }
19 NOP
20 }
21 }
22 echo ‘%3C%21--+index.php.txt+%3F%3E%0D%0A%0D%0A’
23 ?>
主要的分析已经结束了，主要的就剩下解析那些if跳转了。
这里的就只有if，单独拉出来理一理就清晰了：
6 if($a=fvhjjihfcv){ 不等于则调转到第十七行
7 if($b=gfuyiyhioyf){ 不等于则调转到第十四行
8 if($c=yugoiiyhi){ 不等于则调转到第十一行
9 echo ‘the+next+step+is+xxx.zip’;
10 跳转第13行
11 echo ‘false%3Cbr%3E’
12 }
13 跳转到第16行
14 echo ‘false%3Cbr%3E’
15 }
16 跳转到第19行
17 echo ‘false%3Cbr%3E’
18 }
19 结束
意思是如果进行输出the+next+step+is+xxx.zip后就会直接进行NOP,也就结束了，所以完全梳理开形成php的if结构
if($a=fvhjjihfcv){
if($b=gfuyiyhioyf){
if($c=yugoiiyhi){
echo ‘the+next+step+is+xxx.zip’;
}else echo ‘false%3Cbr%3E’;
}else echo ‘false%3Cbr%3E’;
}else echo ‘false%3Cbr%3E’;
最后将所有的php代码翻译到一起形成完整的php代码
你可以试着翻译一下，看和我的是否相同，我相信，大体意思差不多，if的结构你可能有自己的想法。
扫一扫
63
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
