昨天头老师扔给我一个php的加密扩展，让我看看能不能解密，我从垃圾桶里拖出我14年版的ida打开简单瞅了一眼，php扩展库的加载流程不是特别熟悉，遂想放弃刚正面用一些杂项手段来搞，看了眼被加密的php文件，文件头部是个标志，google了一发，发现某个解密 ...

我在查看您的代码时发现解密之行是通过劫持 zend_compile_file 方法，在其执行之前用明文代码替换了原本的密文字符串。为了验证这个猜测，我在compile_file（compile_file位于zend_language_scanner.c，是zend_compile_file的实体方法）这个方法中加了几行代码用于输出测试文件 ...