Php 在流行的Wordpress插件中发现恶意代码？

它是一个广泛使用的插件的一部分，我试图解码它，但无法。太混乱了。它看起来不太好，到目前为止我发现它有以下特点：

函数调用gzflate 5 base64_decode 5 strrev 10 stru rot13 5 define 1

代码如下：

http://pastebin.com/QfBBJhZH

我想知道如何在wordpress社区和权威网站上报告插件

另外，我不会提及插件名称，以防这是一个错误的指控，并且该线程在SERP中达到很高的水平并损害其声誉。

解码结果：

define( 'PXSG_WPRI_PASS_KEY_1', '`Ip%z/U7GVxv;efuSJRh<@JDipw(j#b9vqa)Eu9djt{nC|n+X=&^+QVz0NiisyF' );
define( 'PXSG_WPRI_PASS_KEY_2', '3"t=5h\MCOdx_l;*]qB\TksgI{winpe),b-[_"OpO]]&...(R*N*TY3Ys@Lc4Lh' );
define( 'PXSG_WPRI_PASS_KEY_3', '4*){(oK575;ns4d*1?lo0N{nD}x-X:v3"vVz7>b;QB6X(9%[&5eW3[G^JY]B)J%' );
define( 'PXSG_WPRI_PASS_KEY_4', ':-#x0U&B37}a\8\6K)YQ1/#ss3>CzBJEGB3"SvqPTCb2Fv"F!3EV-Ur=I#w0sym' );
define( 'PXSG_WPRI_PASS_KEY_5', 'SR-5]e_]^~k(BQC.a{V16EeAV*~03wAJ6|c99oEv\OWf;3GqH:5_FuLnY8!z53x' );
define( 'PXSG_WPRI_PASS_KEY_6', 's#9]%>Xja`.]G2Ab@Dt-BKgfB1,Z~bI0na!c7zMkH\@ds64\n+zwp\F/z5rr[@z' );
define( 'PXSG_WPRI_LICENSE_UNLIMITED', 'IJUlRXqWfOOGxpZOXPtu1JWgMxC92kgGszuA1dYyCKCV4AkqeTAcp4vuAkmRqa9' );
define( 'PXSG_WPRI_LICENSE_DEVELOPER', 'NMMRUG1p3kpPZLfC6rNNuQxiDp5WM8Sw8iI9Um2ZcYooGgbtFjMYovJaqTxVk8M' );
define( 'PXSG_WPRI_ADMIN_NONCE', 'Gkk0EByKA5isMfC56M3QzvnskpJeH0MVYABj1MdHUwNOGmA1Bpq6SuHngQYs90r' );
define( 'PXSG_WPRI_ADMIN_NONCE_FIELD', '_rpnonce' );
define( 'PXSG_WPRI_ADMIN_OPTIONS_NAME', 'pxsg_wpri_admin_options' );
define( 'PXSG_WPRI_ADMIN_FORM_ACTIVATION', 'activation' );
define( 'PXSG_WPRI_ADMIN_FORM_DASHBOARD', 'dashboard' );
define( 'PXSG_WPRI_ADMIN_FORM_SETTINGS', 'settings' );
define( 'PXSG_WPRI_ADMIN_FORM_LICENSE', 'license' );
define( 'PXSG_WPRI_ENABLED_YES', 'yes' );
define( 'PXSG_WPRI_ENABLED_NO', 'no' );
define( 'PXSG_WPRI_POST_META_PING', '_pxsg_wpri_ping' );
define( 'PXSG_WPRI_POST_META_PINGS', '_pxsg_wpri_pings' );
define( 'PXSG_WPRI_POST_META_LAST_PING', '_pxsg_wpri_last_ping' );
define( 'PXSG_WPRI_HASH', 'tiger192,4' );
define( 'PXSG_WPRI_PING_PENDING', 'Pending' );
define( 'PXSG_WPRI_PING_PROCESSING', 'Processing' );
define( 'PXSG_WPRI_PING_COMPLETED', 'Completed' );
define( 'PXSG_WPRI_CRON', 'pxsg_wpri_cron' );
define( 'PXSG_WPRI_TRIGGER', 'pxsg_wpri_trigger' );
define( 'PXSG_WPRI_TRIGGER_PING', '1' );
define( 'PXSG_WPRI_TRIGGER_PING_SITE', '2' );
define( 'PXSG_WPRI_POST_ID', 'post_id' );
define( 'PXSG_WPRI_LOG_DIRECTORY', 'logs' );
define( 'PXSG_WPRI_INC_DIRECTORY', 'inc' );
define( 'PXSG_WPRI_TIME_LIMIT', 0 );
define( 'PXSG_WPRI_TRIGGER_PING_TIMEOUT', 3 );
define( 'PXSG_WPRI_PING_TIMEOUT', 10 );
define( 'PXSG_WPRI_PING_PENDING_TIMEOUT', 300 );
define( 'PXSG_WPRI_PING_PROCESSING_TIMEOUT', 600 );
define( 'PXSG_WPRI_DEFAULT_LOG', 30 );
define( 'PXSG_WPRI_DEFAULT_INTERVAL', 1000000 );

---

定义（'PXSG_WPRI_PASS_KEY_1'，'Ip%z/U7GVxv；efusjrhc联系插件供应商。停止修改可能是“合法的”障碍。我已经9天前没有回复了，这就是为什么我担心的原因。他发布的新更新导致了一个致命错误，现在我在wordpress插件列表中看不到插件，但我在ftp插件目录中看到了它。如果这是恶意代码，超过3万人已被感染。我将继续尝试解码并发回。如果插件在存储库中，请联系
plugins@wordpress.org
。模糊代码是。+1竖起大拇指，谢谢。代码似乎不是恶意的。你能简要解释一下你是如何做到这一点的吗我已经试着解码了5个多小时。只要用echo函数替换eval，直到你得到它。（在这种情况下，我做了大约10次）谢谢你的回答，所以基本上要解码任何eval类型的东西，我只需回显，不管它给出什么，只要将eval替换为echo，再重复一遍，直到最后不再进行eval？我理解正确吗？还有一个问题，你是如何通过这部分的：eval（gzflage（base64_decode（strev（$qsrgbuitdcnkkparyu））；只需打印eval（）部分，您将通过另一个评估获得结果，并将其打印，直到其最终不再评估。打印评估后，您将响亮地删除评估代码并粘贴结果。