php 编译执行,玩转php的编译与执行-CSDN博客

曾几何时php一不小心闯入了我生活，php语法竟然和C语言那么莫名的相似，这是最初php给我的感受，当接触的php时间越来越多的时候，php也没有那般生涩难懂，但是偶尔一些的新的php 设计思想，也会思考许久，不知是从什么时候开始了php另一个世界。我想应该是从那次的类型转换开始的，"1e12"字符串类型在转化为数字类型变量时，不同的php版本下转换结果截然不同，有的就变成了数字1，有的却可以正常的识别为科学计数法10^12,在这个地方就已经悄悄的埋下了一枚种子。

到后来的使用php://filter/string.strip_tags/resource包含文件时为什么会出现SegmentFault，在HCTF2017上初识orange带来phar的metadata反序列化0day，溯源使用imap_open到底是如何绕过disable_function限制的，在WP5.0 RCE中mkdir的差异，到今年四月份在twitter看见的chdir 配合ini_set绕过open_basedir的限制。echo，eval 语法结构的分析，create_function的代码注入，各种各样的PHP内部的hook，php扩展的编写，到最近的SG的zend扩展加密....

这一路看来，我早已经陷入php的魅力无法自拔。不知道在这篇文章面前的你们，是否也曾有过像我那般想要领略php神秘内部的冲动？有些人却忘而生畏，无从下手。希望你们读完此篇，能点燃那颗微弱甚至熄灭的向往，或者是在你们的冲动上再加一把火。读完之后若有所感，便是对本文最大的肯定了。

0x01 概述

php是一门针对web的专属语言，但是随着这么长时间发展，其实已经可以用php做很多事了，甚至语法结构的复杂度在趋近于java，还有即将出来的JIT，php的未来变的很难说。

尽管如此php还是一门解释型语言。解释型语言相对于静态编译型语言最大的特点就是他有一个特殊的解释器。利用解释器去执行相应的操作，例如php代码是不会再去被翻译成机器语言再去执行的。

例如在php 中

那么在相应的解释器里面比如存在，一个与之相对应的解释过程，可能是一个函数例如

int add(int a, int b){

return a+b;

}

在这里面就仅需要调用这个add函数去解释这个加法表达式的赋值过程。那么问题来了php的解释器是怎样的一种呈现过程呢？由此引出php的核心ZendVM(虚拟机)。

如果想要弄清楚我们写的phpCode最后是如何被正确的运行的，就需要去了解Zend VM到底做了什么？也正是因为ZendVM赋予了php跨平台的能力。所以相同的phpCode可以不需要修改就运行在处于不同平台的解释器上。这一点需要知道。

其实虚拟机大多都一样，都是模拟了真实机器处理过程。不同是的运算符，数据类型的定义存在差异。在具体的语法逻辑结构上，大多都大同小异，例如if，switch，for这些流程控制，还有在函数的调用上。所以在探究一个虚拟机的内部结构时，你需要有一个明确的目标：

虚拟机内部用来描述整个执行过程的指令集。

单个指令对应的解释过程。

清楚以上两点，再来探究ZendVM。同样ZendVM有编译和执行两个模块。编译过程就是将phpCode编译为ZendVM内部定义好的一条一条的指令集合，再通过执行器去一步一步的解释指令集合。

单条的指令在php里面被称为"opline"，指令的定义内容可以结合汇编的相关知识理解。例如汇编语言中

add eax,edx

jmp 10000

其中有两个关键字add和jmp,这是汇编语言内部定义的指令集合中的两个。同样在php也有像类似的指令关键字叫做opcode，指令关键字后面是改指令处理的数据，简称为操作数。单条指令可能有两个操作数op1,op2,也可能只有一个op1，也可能存在一个操作数都没有的情况，但至多只有两个操作数。那么指令是如何使用操作数，首先必须知道它的类型和具体的数据内容。这里可以具体看一下ZendVM内部定义的单条opline结构：

Opline

struct _zend_op {

const void *handler;

znode_op op1;

znode_op op2;

znode_op result;

uint32_t extended_value;

uint32_t lineno;

zend_uchar opcode;

zend_uchar op1_type;

zend_uchar op2_type;

zend_uchar result_type;