病毒脚本

① 什么叫脚本病毒

脚本病毒通常是javaScript代码编写的恶意代码，
一般带有广告性质，会修改您的IE首页、修改注册表等信息，造成用户使用计算机不方便。

http://tech.163.com/04/1125/10/161E2F1L000915E9.html
这个上很详细。

② 脚本病毒是什么

脚本病毒的前缀是：Script。脚本病毒的公有特性是使用脚本语言编写，通过网页进行的传播的病毒，如红色代码（Script.Redlof）。脚本病毒还会有如下前缀：VBS、JS（表明是何种脚本编写的），如欢乐时光（VBS.Happytime）、十四日（Js.Fortnight.c.s）等。

③ 电脑中了脚本病毒，该怎么办

症状：只要一开IE，瑞星就弹出发现病毒的窗口，而且怎么也杀不掉，即使提示已经删除病毒文件，但是只要IE一有动作，还是没完没了的弹出发现病毒的窗口，上网速度变慢. 瑞星病毒监控报告如下： 病毒名称 路径 文件 Trojan.DL.VBS.Psyme.cf C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp 352050542296.tmp Trojan.DL.VBS.Agent.xge C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp 352050542296.tmp Trojan.DL.VBS.Agent.cog C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp 352050542296.tmp Hack.Exploit.Script.JS.RealPlayer.b C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\6FEZ6JIN 6[1].gif Trojan.DL.JS.Agent.ldc C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp 52039269848.tmp Hack.Exploit.Script.JS.RealPlayer.b C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\KD6V8XA3 6[1].gif Trojan.DL.JS.Agent.ldc C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp 358853425776.tmp 过程：思路就是找到这些病毒，将其完全删除。可是在查找病毒时遇到问题，就是在C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\目录中根本看不到Content.IE5这个文件夹，即使在“我的电脑”-“工具”菜单-“文件夹选项”-“查看”中，选中了“显示所有文件和文件夹”、取消了“隐藏受保护的操作系统文件”，还是一样看不到Content.IE5文件夹，难道这个文件夹不存在吗？不是的。 解决办法： 1、IE图标上击右键，属性，删除文件，删除所有脱机文件，确定，即清空IE的所有缓存文件。或者，进入C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\这个目录下，把所有文件都删除，可能会有1个index文件删不掉，不用管，把其他的都删了。 2、进入C:\Documents and Settings\Administrator\Local Settings\Temp\目录下，把所有文件删除，肯定会有4、5个文件删不掉，把其他的能删的都删了。 3、最后就是上面说到的看不到Content.IE5文件夹的问题，这样做：打开我的电脑，在地址栏中，把C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\这个地址粘贴进去，回车，就可以进入这个文件夹中了，把里面的所有文件夹都删除。 ok，解决，再打开IE浏览网页不再提示有病毒了。 提示：感染这种病毒，可能是由于浏览了一些带毒的网站，所以不排除再次感染该病毒的可能。因此请及时打全系统的补丁，使用realplayer播放器的用户更要注意。

④ 脚本病毒什么意思

脚本病毒，其前缀是Script，其共有特性是使用脚本语言编写，通过网页进行传播，如红色代码(Script.Redlof)。

⑤ 脚本病毒的脚本病毒举例

蠕虫病毒是自包含的程序(或是一套程序),它能传播它自身功能的拷贝或它的某些部分到其他的计算机系统中(通常是经过网络连接)。请注意，与一般病毒不同，蠕虫不需要将其自身附着到宿主程序，有两种类型的蠕虫：主机蠕虫与网络蠕虫。主计算机蠕虫完全包含在它们运行的计算机中，并且使用网络的连接仅将自身拷贝到其他的计算机中，主计算机蠕虫在将其自身的拷贝加入到另外的主机后，就会终止它自身(因此在任意给定的时刻，只有一个蠕虫的拷贝运行)，这种蠕虫有时也叫野兔，蠕虫病毒一般是通过1434端口漏洞传播。
比如近几年危害很大的“尼姆亚”病毒就是蠕虫病毒的一种，去年春天流行“熊猫烧香”以及其变种也是蠕虫病毒。这一病毒利用了微软视窗操作系统的漏洞，计算机感染这一病毒后，会不断自动拨号上网，并利用文件中的地址信息或者网络共享进行传播，最终破坏用户的大部分重要数据。蠕虫病毒的一般防治方法是：使用具有实时监控功能的杀毒软件，并且注意不要轻易打开不熟悉的邮件附件。 2000年5月4日，一种名为“我爱你”的电脑病毒开始在全球各地迅速传播。这个病毒是通过Microsoft Out ook电子邮件系统传播的，邮件的主题为“I LOVE YOU”，并包含一个附件。一旦在Microsoft Ou tlook里打开这个邮件，系统就会自动复制并向地址簿中的所有邮件电址发送这个病毒。 “我爱你”病毒，又称“爱虫”病毒，是一种蠕虫病毒，它与1999年的梅丽莎病毒非常相似。据称，这个病毒可以改写本地及网络硬盘上面的某些文件。用户机器染毒以后，邮件系统将会变慢，并可能导致整个网络系统崩溃。

⑥ 常见的脚本病毒有哪些

1、系统病毒

系统病毒的前缀为：Win32、PE、Win95、W32、W95等。这些病毒的一般公有的特性是可以感染windows操作系统的 *.exe 和 *.dll 文件，并通过这些文件进行传播。如CIH病毒。

2、蠕虫病毒

蠕虫病毒的前缀是：Worm。这种病毒的公有特性是通过网络或者系统漏洞进行传播，很大部分的蠕虫病毒都有向外发送带毒邮件，阻塞网络的特性。比如冲击波（阻塞网络），小邮差（发带毒邮件） 等。

3、木马病毒、黑客病毒

木马病毒其前缀是：Trojan，黑客病毒前缀名一般为 Hack 。木马病毒的公有特性是通过网络或者系统漏洞进入用户的系统并隐藏，然后向外界泄露用户的信息，而黑客病毒则有一个可视的界面，能对用户的电脑进行远程控制。木马、黑客病毒往往是成对出现的，即木马病毒负责侵入用户的电脑，而黑客病毒则会通过该木马病毒来进行控制。现在这两种类型都越来越趋向于整合了。一般的木马如QQ消息尾巴木马 Trojan.QQ3344 ，还有大家可能遇见比较多的针对网络游戏的木马病毒如 Trojan.LMir.PSW.60 。这里补充一点，病毒名中有PSW或者什么PWD之类的一般都表示这个病毒有盗取密码的功能（这些字母一般都为“密码”的英文“password”的缩写）一些黑客程序如：网络枭雄（Hack.Nether.Client）等。

4、脚本病毒

脚本病毒的前缀是：Script。脚本病毒的公有特性是使用脚本语言编写，通过网页进行的传播的病毒，如红色代码（Script.Redlof）——可不是我们的老大代码兄哦 ^_^。脚本病毒还会有如下前缀：VBS、JS（表明是何种脚本编写的），如欢乐时光（VBS.Happytime）、十四日（Js.Fortnight.c.s）等。

5、宏病毒

其实宏病毒是也是脚本病毒的一种，由于它的特殊性，因此在这里单独算成一类。宏病毒的前缀是：Macro，第二前缀是：Word、Word97、Excel、Excel97（也许还有别的）其中之一。凡是只感染WORD97及以前版本WORD文档的病毒采用Word97做为第二前缀，格式是：Macro.Word97；凡是只感染WORD97以后版本WORD文档的病毒采用Word做为第二前缀，格式是：Macro.Word；凡是只感染EXCEL97及以前版本EXCEL文档的病毒采用Excel97做为第二前缀，格式是：Macro.Excel97；凡是只感染EXCEL97以后版本EXCEL文档的病毒采用Excel做为第二前缀，格式是：Macro.Excel，依此类推。该类病毒的公有特性是能感染OFFICE系列文档，然后通过OFFICE通用模板进行传播，如：着名的美丽莎(Macro.Melissa)。

6、后门病毒

后门病毒的前缀是：Backdoor。该类病毒的公有特性是通过网络传播，给系统开后门，给用户电脑带来安全隐患。如54很多朋友遇到过的IRC后门Backdoor.IRCBot 。

7、病毒种植程序病毒

这类病毒的公有特性是运行时会从体内释放出一个或几个新的病毒到系统目录下，由释放出来的新病毒产生破坏。如：冰河播种者（Dropper.BingHe2.2C）、MSN射手(Dropper.Worm.Smibag)等。

8．破坏性程序病毒

破坏性程序病毒的前缀是：Harm。这类病毒的公有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒便会直接对用户计算机产生破坏。如：格式化C盘（Harm.formatC.f）、杀手命令（Harm.Command.Killer）等。

9．玩笑病毒

玩笑病毒的前缀是：Joke。也称恶作剧病毒。这类病毒的公有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒会做出各种破坏操作来吓唬用户，其实病毒并没有对用户电脑进行任何破坏。如：女鬼（Joke.Girlghost）病毒。

10．捆绑机病毒

捆绑机病毒的前缀是：Binder。这类病毒的公有特性是病毒作者会使用特定的捆绑程序将病毒与一些应用程序如QQ、IE捆绑起来，表面上看是一个正常的文件，当用户运行这些捆绑病毒时，会表面上运行这些应用程序，然后隐藏运行捆绑在一起的病毒，从而给用户造成危害。如：捆绑QQ（Binder.QQPass.QQBin）、系统杀手（Binder.killsys）等。

⑦ 关于一个病毒的脚本

这不是病毒脚本程序，而是病毒辅助伴生配置文件autorun.inf。
Autorun.inf被病毒利用一般有4种方式

1.OPEN=filename.exe

自动运行。但是对于很多XPSP2用户和Vista用户，Autorun已经变成了AutoPlay，不会自动运行它，会弹出窗口说要你干什么。

2. shellAutocommand=filename.exe

shell=Auto

修改上下文菜单。把默认项改为病毒的启动项。但此时只要用户在图标上点击右键，马上发现破绽。精明点的病毒会改默认项的名字，但如果你在非中文的系统下发现右键菜单里多出了乱码或者中文，你会认为是什么呢？

3.shellexecute=filename.exe

ShellExecute=....只要调用ShellExecuteA/W函数试图打开U盘根目录，病毒就会自动运行。这种是对付那些用Win+R输盘符开盘的人。

4.shellopen=打开(&O)

shellopenCommand=filename.EXE

shellopenDefault=1

shellexplore=资源管理器(&X)

这种迷惑性较大，是新出现的一种形式。右键菜单一眼也看不出问题，但是在非中文的系统下，原形毕露。突然出现的乱码、中文当然难逃法眼。

面对这种危险，尤其是第四种，仅仅依靠Explorer本身，已经很难判断可移动磁盘是否已经中毒。而在这种情况下，一部分人也根据自己的经验，做出了“免疫”工具。

免疫的办法（对可移动磁盘和硬盘）

1、同名目录

目录在Windows下是一种特殊的文件，而两个同一目录下的文件不能同名。于是，新建一个目录“autorun.inf"在可移动磁盘的根目录，可以防止早期未考虑这种情况存在的病毒创建autorun.inf，减少传播成功的概率。

2、autorun.inf下的非法文件名目录

有些病毒加入了容错处理代码，在生成autorun.inf之前先试图删除autorun.inf目录。

在Windows NTWin32子系统下，诸如"filename."这样的目录名是允许存在的，但是为了保持和DOS/Win9x的8.3文件系统的兼容性（.后为空非法），直接调用标准Win32API中的目录查询函数是无法查询这类目录中的内容的，会返回错误。但是，删除目录必须要逐级删除其下的整个树形结构，因此必须查询其下每个子目录的内容。因此，在“autorun.inf"目录建一个此类特殊目录，方法如"MDx:autorun.infyksoft.. "，可以防止autorun.inf目录轻易被删除。类似的还有利用NativeAPI创建使用DOS保留名的目录（如con、lpt1、prn等）也能达到相似的目的。

3、NTFS权限控制

病毒制造者也是黑客，知道Windows的这几个可算是Bug的功能。他们可以做一个程序，扫描目录时发现某目录名最后一个字节为'.'则通过访问 "dirfullname.."、或者通过利用Windows NT的Native API中的文件系统函数直接插手，删除该特殊目录。

因此，基于更低层的文件系统权限控制的办法出现了。将U盘、移动硬盘格式化为NTFS文件系统，创建Autorun.inf目录，设置该目录对任何用户都没有任何权限，病毒不仅无法删除，甚至无法列出该目录内容。

但是，该办法不适合于音乐播放器之类通常不支持NTFS的设备。

这三步可谓是一步比一步精彩。但是，最大的问题不在怎么防止生成这个autorun.inf上，而是系统本身、Explorer的脆弱性。病毒作者很快就会做出更强大的方案。这是我的预想。

1、结合ANI漏洞，在autorun.inf里将icon设成一个ANI漏洞的Exploit文件（经过我的实验，发现Windows有一种特性，就算把ani扩展名改为ico，还是可以解析出图标），这样只要一打开“我的电脑”，未打补丁、无杀软的系统就会直接遭殃。这样的东西还可以放到网上的各种资源ISO中。

2、提高病毒的整体编程水平，综合以上各种反免疫方式，另外利用多数国内windows用户常以高权限登录系统的特点，自动将没有权限的Autorun.inf目录获得所有权、加读写删除权限，击破这最坚固的堡垒。

面对如此恐怖的东西，对付的办法已经不多了。但是它们其实是一切windows安全问题的基本解决方案，

1、一定要将系统和安全软件保持在最新状态。即使是盗版用户，微软也不会不给重要级别的安全更新，也从来没有过在重要级别安全更新中加入反盗版程序的记录。

2、尽量以受限制的帐户使用系统和上网，这样可以减少病毒进入系统的概率。Vista之所以加入UAC功能，正是因为它能够使用户在尽量方便的同时，享受到受限用户的安全。

3、某种程度上，可以说QQ、IE和某些装备能换真钱、什么都要真钱的网游是导致大量病毒木马编写者出现的“万恶之源”。通过IE漏洞，制作网页木马，安装盗号程序，盗取账号，获得人民币。这条黑色产业链中，IE其实是最容易剪断的一环。珍爱系统，系统一定要更新，要有能防止网页木马的杀毒软件，用 IE不要乱上各种小型下载站、色情网站等高危站点，如果有可能，使用非IE引擎的浏览器。

4、恶意捆绑软件，现在越来越和病毒木马接近。部分恶意软件的FSD HOOK自我防御程序可能被病毒利用来保护自己（如SONY XCP事件），而一些恶意软件本身就是一个病毒木马的下载器。因此，不要让流氓接近你的机器。

Autorun.inf的攻防战还在继续，只会变得越来越精彩，网民的安全意识会在攻与防的对立与统一中获得突破性的进展。

⑧ 什么是脚本病毒

什么是恶意脚本？
恶意脚本是指一切以制造危害或者损害系统功能为目的而从软件系统中增加、改变或删除的任何脚本。传统的恶意脚本包括：病毒，蠕虫，特洛伊木马，和攻击性脚本。更新的例子包括： Java攻击小程序（Java attack applets）和危险的ActiveX控件。
防治恶意脚本，应该采取以下措施 ：
第一，上网时开启瑞星杀毒软件的八大监控。
第二，不要轻易浏览不良网站。
第三，如果怀疑自己感染了恶意脚本，可以登陆瑞星免费查毒网站，对自己的电脑进行全面扫描。

具体的原理和防范方法到这里去学习下：
http://www.yesky.com/SoftChannel/72356699872165888/20031015/1736105.shtml

⑨ 电脑中了脚本病毒

可以用腾讯电脑管家，占用内存小。而且电脑管家有自己的杀毒引擎叫做TAV自主杀毒引擎，先后满分通过了西海岸，VB100两大权威评测，算是国际领先水平了，可以跟小红伞这种国际知名引擎并肩，其实现在中国自主研发的杀毒引擎并不是很多的。查杀病毒很给力。

⑩ 什么叫脚本病毒又何危害

脚本病毒

这类病毒编写最为简单，但造成的危害非常大。我们常见的浏览了xx站点就被改了主页，在收藏夹里被添加上很多无谓的东西，就是拜这类病毒所赐。

病毒描述：这类病毒的本质是利用脚本解释器的检查漏洞和用户权限设置不当进行感染传播；病毒本身是ascii码或者加密的ascii码，通过特定的脚本解释器执行产生规定行为，因其行为对计算机用户造成伤害，因此被定性为恶意程序。最常见的行为就是修改用户主页，搜索页，修改用户收藏夹，在每个文件夹下放置自动执行文件拖慢系统速度等；比较出名的如美利莎邮件病毒、新欢乐时光病毒、office的宏病毒等都属于这类。

病毒浅析：为了完成一些自动化的任务，需要用程序方式来实现。但复杂的程序编写又不是非程序人员能够胜任的。为了提高工作效率，方便用户操作，加强系统特性，于是许多软件/操作系统都预留了接口给用户，用简单的方法编写一些完成一定功能的小程序。程序本身是ascii码的，不编译，直接解释执行，在调试/修改使用上相当简便，虽然牺牲一定效率，但是换来了易用性。这本是一个良好的愿望，但太多的时候，这没有起到积极的作用，反而为脚本病毒编写者提供了良机。

以web病毒为例，由于用户缺乏安全意识用错误的权限登陆，导致ie中的解释器使用wsh可以操作硬盘上的文件和注册表，而javascript和vbscript调用wsh是很容易的事情——于是恶意脚本的作者只需要让你访问该页面，就能在你本地写上一些恶意的脚本，在注册表里修改你的主页/搜索项了。而利用ie的activex检查漏洞，则可以在不提示地情况下从网络上下载文件并自动执行——这就成了木马攻击的前奏曲；利用mime头漏洞，则可以用一个以jpg结尾的url中，指向一个事实上的web页，然后在web页中内嵌图片+恶意代码的方式迷惑计算机用户；利用outlook自动读去eml的特性和mime头检查不严格来执行恶意2进制代码；利用本地硬盘上有执行autorun.inf的特性（这功能本来是光驱用的，我们的光盘之所以放进去就能自动读出程序，就是光盘上有个名为autorun.inf文件起的作用，它是个文本文件，各位可以看看）把一些需要加载的程序写到该文件下导致每次访问该分区的时候就会自动运行；利用windows下会优先读取folder.htt和desktop.ini的特性，将恶意代码写入其中，导致访问任何一个文件夹的时候都会启动该病毒，再配合上锁定注册表的功能，杀除起来异常麻烦——不复杂，但是相当烦琐，一不留意没杀干净一处，又导致死灰复燃，前功尽弃。

病毒自查：上面有提到，这类病毒一般以捣乱居多，所以特别容易发现。而其另一个作用是作为木马进驻系统的先遣部队，利用浏览器漏洞等达到下载木马文件到本地硬盘，并修改启动项，达到下次启机运行的目的。因此一旦发现木马的同时，也可以检查一下是不是有些可疑的脚本文件。

病毒查杀：这类病毒一般来说由于其编写灵活，源代码公开，所以衍生版本格外地多；杀毒软件/木马杀除软件对待这类病毒大多没用。而由于脚本病毒（除宏病毒外）大多是独立文件，只要将这些文件查找出来删除掉就行了。不过这里值得留意的是，利用微软的浏览器的漏洞，在点击选择某些文件的同时就自动执行了，甚至打开浏览器的同时脚本病毒就开始驻留感染——这样是无法杀除干净的。

正确的做法是使用其他第三方的资源浏览器，例如Total Command就是一个非常不错的选择。查杀大致过程如下：首先，在资源浏览器——工具——文件夹选项中，将“使用Windows传统风格的桌面”取消掉，在桌面上点右键，点“属性”——“桌面设置”，将使用活动桌面取消，接着查杀可疑对象；常见查杀对象：各个根分区下的autorun.inf，各个目录下的desktop.ini和folder.htt（有几个是系统自带的，不过删除了也无关系的），这一步最好采用第三方的资源浏览器，例如前面介绍的Total Command来完成。在这一步，最忌讳查杀不净，即使有一个病毒遗漏，很快就又遍布各个文件夹内了。关于邮件病毒的杀除使用专杀工具就行了。

病毒残留：纯粹脚本病毒在杀除后不会有任何残留，但由于目前的病毒大都采用复合形态，捆绑多种传染方式和多种特性，因此不少脚本病毒只是将用户机器的安全防线撕开的前奏——真正的破坏主力木马、蠕虫尾随其后进入系统，因此在杀除掉脚本病毒后，非常有必要连带着检查系统中是否已经有了木马和蠕虫病毒。

病毒防御：脚本病毒的特性之一就是被动触发——因此防御脚本病毒最好的方法是不访问带毒的文件/web网页，在网络时代，脚本病毒更以欺骗的方式引诱人运行居多。由于ie本身存在多个漏洞，特别是执行activex的功能存在相当大的弊端，最近爆出的重大漏洞都和它有关，包括mozilla的windows版本也未能幸免。因此个人推荐使用myie2软件代替ie作为默认浏览器，因为myie2中有个方便的功能是启用/禁用web页面的activex控件，在默认的时候，可以将页面中的activex控件全部禁用，待访问在线电影类等情况下根据自己的需要再启用。关于邮件病毒，大多以eml作为文件后缀的，如果您单机有用outlook取信的习惯，最好准备一个能检测邮件病毒的杀毒软件并及时升级。如果非必要，将word等office软件中的宏选项设置为禁用。脚本病毒是目前网络上最为常见的一类病毒，它编写容易，源代码公开，修改起来相当容易和方便，而且往往给用户造成的巨大危害。

以上4类程序的介绍，为了降低学习难度，我是单态方式来介绍的。事实上目前的病毒大多以具有上面4类程序中的2到3类的特征，因此无论感染，传播，杀除的困难都大大增加。例如发文前夕的mydoom新变种病毒的分析中：它利用系统漏洞/邮件群发/共享漏洞方式传播（具备了蠕虫、脚本病毒和新型病毒的传播特性），进驻用户系统后上载自身并运行（木马特性），获取用户本地outlook中的地址本（木马特性），通过调用google等搜索引擎获取用户email地址本中同后缀的相关选项（调用系统程序，木马功能），再主动给地址本中的每个程序发出email（木马特性）。对待这样一个病毒，无论是系统存在漏洞、共享安全设置不当、或者随意地打开了“朋友”发来的email，都可能导致中毒。关于中毒途径的分析，留待下一站《攻击防御之旅》内一并介绍。

在从第一个病毒出现到现在，已经有整整半个世纪了，病毒的发展日新月异，令查杀的困难大大增加，造成的损失也异常巨大。或许，计算机病毒这个幽灵，从计算机诞生的那一刻起就注定要如影相随的。只要还有用心险恶的人存在，那么病毒就不会消亡。病毒之战，恐怕会在今后的日子里越演越烈……