php opcodes（vld）翻译教程

一.php opcodes的由来

目前编程语言可以分为两大类:第一类是像C/C++， .NET， Java之类的编译型语言，它们的共性是: 运行之前必须对源代码进行编译，然后运行编译后的目标文件。
第二类比如:PHP， Javascript， Ruby， Python这些解释型语言，他们都无需经过编译即可"运行"，虽然可以理解为直接运行
但它们并不是真的直接就被能被机器理解，机器只能理解机器语言，那这些语言是怎么被执行的呢，一般这些语言都需要一个解释器，由解释器来执行这些源码，实际上这些语言还是会经过编译环节，只不过它们一般会在运行的时候实时进行编译。为了效率，并不是所有语言在每次执行的时候都会重新编译一遍，比如PHP的各种opcode缓存扩展(如APC， xcache， eAccelerator等)，比如Python会将编译的中间文件保存成pyc/pyo文件，避免每次运行重新进行编译所带来的性能损失。PHP的脚本的执行也需要一个解释器，比如命令行下的php程序，或者apache的mod_php模块等等。

二.php opcodes对照解码表（php官网的，反应速度有点慢）

https://www.php.net/manual/en/internals2.opcodes.echo.php

三.步骤讲解

1.观察获取关键信息（文件名），操作数

2.解出php源码每行原内容

3.拼凑源码，提炼出跳转等操作

4.分析出最终源码

四. 实际演练

这里根据一道i春秋上的题进行实战讲解如何反编译php opcodes

原题链接：https://www.ichunqiu.com/battalion（挑战名称：vld）

根据信息我们会得到php opcodes

①反编译的第一步是读懂他的op栏中的所有op代表什么（因为php官网速度不怎么行在中国，所以可以先收集op资料再翻译）

EXT_STMT：基本上每个php opcodes都有EXT_STMT和RETURN两个op，可以暂时不用管，因为他们没有任何指向

echo的op就是ECHO，后面operands跟代码段的输出字符串

BEGIN_SILENCE的意思好像是索引变量的意思，和END_SILENCE相对应。没有实际解码翻译，可以不用管

FETCH_R的意思就是变量指向变量的操作,这里的实例就是将变量!1指向给$2,让$2相当于$!1(也就是$$a)

FETCH_DIM_R是数组变量指向特定变量的作用，这里就是让$3=$a[0],operands的前面是数组变量名后面是位置值

ASSIGN是分配变量的意思，如第一步就是将1分配给$a，第二步就是将’a’分配给$a;第六步就是将$3分配给$a；

IS_EQUAL的意思是判断是否相等，是弱等于比较，return中是返回值储存位置，operands中的两个值分别为比较的左右

JMPZ的意思是if操作，operands的左边对应的是if里面的步骤（例如这里的~0为$a!=0则JMPZ代表的if中的判断则是~0，$a!=0），右边对应的是该进行第几步，这里就是如果if里面的判断为假（$a等于0），则跳转到第四步（#4）

JMP的意思直接就是跳转，operands里面就是#步骤

NOP没有操作

②先解释下php opcodes各段分别是什么意思

Branch analysis from position 这条信息多在分析数组时使用。
Return found 是否返回，这个基本上有都有。
filename 分析的文件名
function name 函数名，针对每个函数VLD都会生成一段如上的独立的信息，这里显示当前函数的名称
number of ops 生成的操作数
compiled vars 编译期间的变量，这些变量是在PHP5后添加的，它是一个缓存优化。这样的变量在PHP源码中以IS_CV标记
op list 生成的中间代码的变量列表

line：在源码中的行号

＃： opcode 编号（每个php的php opcodes从0开始记录操作不揍）

op：操作名称

fetch：该操作的变量位置（全局或则本地）

ext: 与该opcode关联的额外数据，如跳转的目标opcode

return：返回值存储的问题

operands：操作

③分析实例：

第一行和最后一行php代码分别为<?php和?>，不进行opcodes操作，其中每行末尾的;也是去掉了的

该段op的意思是，位于源码第二行，操作只有一个，输出’do+you+know+Vulcan+Logic+Dumper%3F%3Cbr%3E’

#4是将_GET给了$1,意思是接下来用$1表示_GET

#5则是将$1的数组位置设置成了flag1的值，用$2表示，相当于$2=$1[flag1]=$_GET[flag1]

#6则是将赋值，将$2给了!0，而!0=$a,所以这里的第三行php代码是$a=$_GET[flag1]

第四行有6步操作，第1步不解释（上面的op对照表的解释有），然后第2和5不解释，看第3步，是代替指向，将$5代替_GET,第4步则是数组指向赋值，先将$5数组的位置指向flag2的值，形成$5[flag2](也就是$_GET[flag2])，然让$6等于这个值（$5[flag2]）,第6步则是赋值，将$6赋值给!1($b)

所以第四行解释成php代码则是

$b=$_GET[flag2]

第五行有六步操作去掉第一步，第二步，第五步，分析剩下的三步，第三步是让$9代替$_GET(这个挑战里面的fetch一直是global，也就是全局指向，意思是整个php opcodes中$9都是$_GET的意思)第四步是先对数组$9指向为flag3然后将这个值给$10，形成$10=$9[flag3];第六步则是将$10的值赋值给!2($c),所以第四行php代码解释为$c=$_GET[flag3]