zlib是一个用 放气 算法压缩数据的薄包装器，并在 RFC1950 中定义。

zlib流具有以下结构:0 1+-+ +=

因此，它在原始压缩数据之后添加至少两个，可能是6个字节，加上4个字节，并使用 ADLER32 校验和。

第一个字节包含 CMF (压缩方法和标志)，分为 CM (压缩方法)(前4位)和 CINFO (压缩信息)(最后4位)。

很明显，遗憾的是，zlib流的前两个字节可能会因所使用的压缩方法和设置而有很大的不同。

幸运的是，我偶然发现了Mark的一篇文章，他是ADLER32算法的作者，在那里他 列出这两个起始字节的最常见和较不常见的组合。 。

有了这些之后，让我们看看如何使用Python来检查zlib：

>>> import zlib
>>> msg = 'foo'
>>> [hex(ord(b)) for b in zlib.compress(msg)]
['0x78', '0x9c', '0x4b', '0xcb', '0xcf', '0x7', '0x0', '0x2', '0x82', '0x1', '0x45']

因此，由Python的 78 9c .模块(使用默认选项)创建的zlib数据从 zlib 开始我们将使用它创建一个脚本，该脚本编写包含序言、一些zlib压缩数据和页脚的自定义文件格式。

然后，我们编写第二个脚本，该脚本扫描一个文件的这两个字节模式，开始解压缩所有后续的zlib流，并指出流的结束和页脚开始的位置。

create.py

import zlib
msg = 'foo'
filename = 'foo.compressed'
compressed_msg = zlib.compress(msg)
data = 'HEADER' + compressed_msg + 'FOOTER'
with open(filename, 'wb') as outfile:
    outfile.write(data)

在这里，我们使用 msg ，用zlib压缩它，并在将它写入文件之前用一个页眉和页脚包围它。

在本例中，页眉和页脚的长度是固定的，但它们当然可以具有任意的、未知的长度。

现在，对于试图在这样一个文件中找到zlib流的脚本。因为在这个例子中，我们确切地知道我只使用一个标记，但很明显，列表 ZLIB_MARKERS 可以填充上面提到的帖子中的所有标记。

ident.py

import zlib
ZLIB_MARKERS = ['\x78\x9c']
filename = 'foo.compressed'
infile = open(filename, 'r')
data = infile.read()
pos = 0
found = False
while not found:
    window = data[pos:pos+2]
    for marker in ZLIB_MARKERS:
        if window == marker:
            found = True
            start = pos
            print "Start of zlib stream found at byte %s" % pos
            break
    if pos == len(data):
        break
    pos += 1
if found:
    header = data[:start]
    rest_of_data = data[start:]
    decomp_obj = zlib.decompressobj()
    uncompressed_msg = decomp_obj.decompress(rest_of_data)
    footer = decomp_obj.unused_data
    print "Header: %s" % header
    print "Message: %s" % uncompressed_msg
    print "Footer: %s" % footer