神盾加密解密教程（一）PHP变量可用字符

基础规则与现状

PHP变量命名有几个基本要求：以美元符号 $ 开头；首字符必须是字母或下划线（部分语境下允许其他非ASCII字符）；后续字符可以包含数字。常规认知中，允许的字符集合为 [a-zA-Z_0-9]。然而，在逆向工程和分析加密代码时，这种认知往往导致无法正确解析变量结构。

自动化测试方案

为了精确获取PHP支持的完整变量名字符集，我们采用自动化手段遍历所有可能的字节值。核心思路是尝试将每个字节构造为合法的变量名并进行赋值操作，通过捕获解析错误来判断该字符是否合法。

第一步：构建测试环境

我们需要一个PHP端点来接收字符并执行动态变量创建，同时需要一个JavaScript前端来批量发起请求并收集结果。

后端处理逻辑

PHP脚本接收POST参数中的字符码，将其转换为字符后动态构造变量赋值语句并执行。如果语法错误，会抛出异常被捕获或阻断流程；如果成功，则返回标识符。

<?php
if ($_POST) {
    $chr = chr($_POST['chr']);
    eval('$'."$chr"."=1;");
    echo 'ok';
    exit;
}
?>

前端遍历逻辑

使用jQuery发送同步请求，遍历从 0x00 到 0xFF 的所有字节。判断标准为服务器返回字符串是否为 'ok'。

<script>
for(var i = 0x00; i <= 0xFF; i++) {
    $.ajaxSettings.async = false;
    $.post( "?", {chr: i}, (function (data) {
        data === 'ok' && console.log( "\\x"+(i).toString(16) );
    })
});
</script>

第二步：解析首字符限制

将上述代码中的动态变量名仅保留首字符进行测试（即 eval('$'."$chr"."=1;")）。测试结果涵盖了大量的非常规字符。

除了标准的 A-Z、a-z 和 _ 之外，测试显示从 \x7f 到 \xff 的几乎所有字符都能作为合法的变量名首字符。这对应于ISO-8859-1（Latin-1）字符集的扩展部分。例如 À、Á、Ã 等带音标的拉丁字母均可直接使用。

第三步：解析后续字符限制

修改测试代码，固定前缀 $a，仅对第二个位置进行字符遍历（即 eval('$a'."$chr"."=1;")）。这一步用于确定变量名中除首字符外的其余部分。

结果中排除了控制字符如 \x9 (Tab)、\xa (换行)、\xd (回车) 以及 \x20 (空格)，因为这些虽然在某些宽松环境中可能不报错，但不符合标准语法规范。最终确认的有效后续字符集合为：
- 数字 0-9 (\x30-\x39)
- 字母 a-z, A-Z 及下划线 _
- 高位Latin-1字符 \x7f-\xff

结论：PHP变量字符集定义

综合上述测试，PHP变量名的完整可用字符正则表达式可概括为：

• 首字符： [\w\x7f-\xff] （注意 w 不代表word boundary，而是单词字符，等价于 [a-zA-Z0-9_]）
• 后续字符： [\w\x7f-\xff]

这意味着PHP的变量名空间实际上扩展到了整个Latin-1字符集。这也是为什么在处理经过混淆的代码时，能够遇到大量类似 ${$var} 之外的复杂单变量名结构。理解这一机制对于分析高级混淆器（如神盾）生成的Payload至关重要。