首先识别加密类型，观察文件是否包含gzinflate、base64_decode等函数；接着剥离外层编码，依次执行base64解码和gzinflate解压；然后处理异或加密，提取密钥并还原异或逻辑；再解析字符串替换与拼接，构建映射表恢复原代码；最后验证语法并保存结果。
如果您遇到一个使用混合加密方式保护的PHP文件，其内容可能结合了多种加密或编码技术，如Base64、异或运算、gzinflate压缩以及eval执行等，导致无法直接阅读源码。以下是拆分并逐步解密此类文件的操作方法：
一、识别加密类型
在开始解密前，需要判断文件使用了哪些加密或编码方式。常见的混合加密会组合使用字符串编码、压缩和动态执行。通过观察文件开头是否存在gzinflate、base64_decode、str_rot13、xor操作等函数调用，可以初步判断加密手段。
1、打开加密的PHP文件，查看其最外层是否包含 eval(gzinflate(base64_decode( 这类结构。
2、检查是否存在自定义解密函数，例如用于异或解密的 loop 或 decode 类型函数。
立即学习“PHP免费学习笔记（深入）”；
3、记录所有使用的编码或加密函数顺序，为后续逆向处理做准备。
二、剥离外层编码
多数混合加密采用多层包裹，需从最外层开始逐层解密。通常第一层是Base64编码后经gzinflate解压，再由eval执行。
1、将加密代码中的核心编码部分（如长串Base64）提取出来，保存到变量中。
2、编写临时PHP脚本，对Base64字符串执行 base64_decode 操作。
3、对解码后的数据使用 gzinflate 进行解压，得到第二层代码内容。
4、输出结果并保存为新文件，用于下一步分析。
三、处理异或或其他对称加密
若解压后的内容仍不可读，可能是经过异或（XOR）或其他简单加密算法处理。这类加密通常通过遍历字符与密钥进行位运算实现。
1、查找解密函数中是否存在类似 $c ^ $key[$i%$len] 的异或逻辑。
2、提取密钥字符串（可能是固定字符串或数组），并在独立脚本中还原该逻辑。
3、将上一步获得的数据作为输入，逐字符与其密钥进行异或运算以恢复原始内容。
4、确保密钥长度和循环方式与原代码一致，避免解密失败。
四、解析动态拼接与字符串替换
有些加密会利用变量拼接、字符串替换或数组映射隐藏真实代码，需手动还原这些表达式。
1、查找类似 str_replace、preg_replace('/.+/e') 等危险函数调用。
2、定位被替换的关键字，例如 'a' => 'echo', 'b' => 'function' 等映射关系。
3、构建映射表，并对混淆代码执行批量替换，还原可读结构。
4、对于动态拼接的字符串（如 $a.$b.$c），手动连接以查看完整函数名或语句。
五、执行最终解密输出
当所有加密层都被移除后，应能得到完整的、可读的PHP源代码。此时应验证其语法正确性并保存结果。
1、将解密后的代码写入新的PHP文件，注意添加 php 开始标签。
2、使用 php -l 命令检查语法错误，确保无 parse error。
3、如有必要，在安全环境中运行该脚本以确认功能完整性。
4、完成解密后立即删除临时测试文件，防止意外执行恶意代码。
