网络安全实验---VB脚本病毒

一、 实验目的和要求 了解VB脚本病毒的工作原理 了解VB脚本病毒常见的感染目标和感染方式 掌握编写VB脚本病毒专杀工具的一般 方法 快递客服问题件处理详细方法山木方法pdf计算方法pdf华与华方法下载八字理论方法下载 二、 实验内容和原理 1．脚本病毒概述 脚本程序的执行环境需要WSH（Windows Script Host，Windows脚本宿主）环境，WSH为宿主脚本创建环境。即当脚本到达计算机时，WSH充当主机的部分，它使对象和服务可用于脚本，并提供一系列脚本执行指南。 WSH是微软提供的一种基于32位Windows平台的、与语言无关的脚本解释机制，它使得脚本能够直接在Windows桌面或命令提示符下运行。利用WSH用户能够操纵WSH对象、ActiveX对象、注册表和文件系统，还可以访问活动目录服务。WSH依赖于IE提供的Visual BasicScript和JavaScript脚本引擎，所对应的程序“C:\Windows\wscript.exe”是一个脚本语言解释器。 Visual BasicScript和JavaScript作为客户端编程语言，当一个以该语言编制的程序被下载到一个兼容的浏览器中时，浏览器将自动执行该程序。 “爱虫”、“欢乐时光”、“尼姆达”、“求职信”等病毒都是属于这一类的病毒。 脚本病毒的主要特点： （1）由于脚本是直接解释执行，可以直接通过自我复制的方式感染其它同类文件，并且使异常处理变得非常容易。 （2）脚本病毒通过HTML文档、Email附件或其它方式，可以在很短的时间内传遍世界各地，通常是使用在邮件附件中安置病毒本体的方法，然后利用人们的好奇心，通过邮件主 题 快递公司问题件快递公司问题件货款处理关于圆的周长面积重点题型关于解方程组的题及答案关于南海问题 或邮件内容诱骗人们点击附件中的病毒体而被感染。 （3）新型的邮件病毒邮件正文即为病毒，用户接收到带毒邮件后，即使不将邮件打开，只要将鼠标指向邮件，通过预览功能病毒也会被自动激活。 （4）病毒源码容易被获取，变种多。由于VBS病毒解释执行，其源码可读性好，即使病毒源码经过加密处理后，其源码的获取还是比较简单。因此，这类病毒稍微改变一下病毒的结构或者特征值，很多杀毒软件可能就无能为力了。 （5）欺骗性强。脚本病毒为了得到运行机会，往往会采用各种让用户不太注意的手段，譬如，邮件的附件采用双后缀，如jpg.vbs或txt.vbs，由于系统默认不显示后缀，这样，用户看到此文件时就会认为它是一个jpg图片或文本文件。 2．爱虫病毒分析 1）． 病毒简介 “爱虫”（VBS.LoveLetter）病毒从2000年5月4日开始在欧洲大陆迅速传播，并向全世界蔓延。该病毒别名叫做LoveLetter、LoveBug、VeryFunny。它采用VBScript编写，其传播原理是通过Microsoft Outlook将名为“LOVE-LETTER-FOR-YOU.TXT.vbs”的邮件发送给用户地址薄里所有的地址。它可以产生Script.ini文件，将包括病毒的LOVE-LETTER-FOR-YOU.HTM文件通过mIRC蔓延到Internet聊天室中。该病毒还有多个发作破坏模块，查找本地驱动器和网络驱动器，在所有目录和子目录中搜索可以感染的目标如：.vbs、.vbe、.js、.jse、.css、.wsh、.sct、.hta、.jpg、.jpeg、.wav、.txt、.gif、.doc、.htm、.html、.xls、.ini、.bat、.com、.mp3、.mp2等，它用病毒代码覆盖原有的内容，并在文件名后面添加.vbs的扩展名，从而取代宿主文件。.mp2和.mp3文件被隐藏起来，并未破坏。 当病毒运行后会在系统中留下以下文件： （1）\windows\Win32DLL.vbs； （2）\system\MSKernel.vbs； （3）\system\LOVE-LETTER_FOR_YOU.TXT.vbs。 该病毒还修改注册表中的一些路径以便在启动Windows时运行。它还在\windows\system下搜索名为WINFAT32.exe的文件，如果该文件不存在，则修改IE的默认初始页面下载WIN-BUGSFIX.exe的文件，并修改注册键值为：HKLM\Software\Microsoft\Windows\CurrentVersiion\Run\WIN-BUGSFIX。 该病毒已经有很多变种，并被反病毒厂家定为高危险性病毒。所以，提醒用户在接收电子邮件之前，一定要先升级自己的杀毒软件，拦截住这种破坏性很大的病毒。另外，广大用户除了不要冒然打开不明真相的英文邮件及附件外，最好也不要浏览陌生网站和下载其中内容。 2）． 病毒的杀毒步骤 （1）在Windows下查看进程列表中是否有wscript这个文件，如有此文件说明已经感染。将该文件“结束任务”。 （2）进入C:\Windows\System中，运行MSCONFIG.EXE选择“启动”模板，将所有的后缀为“*.vbs”的文件选择为禁用状态。 （3）在保证内存中无wscript这个文件后，重启计算机。 （4）查找一个叫WIN-BUGFIX.exe的文件并删除它，如果安装了mIRC则删除script.ini文件，删除含LOVE-LETTER-FOR-YOU.TXT附件的Email。 （5）打开注册表编辑器并删除下列键值： HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\MSKernel32； HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServer\Win32DLL； HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\WIN-BUGFIX。 3）． 病毒各模块功能介绍 爱虫病毒的结构化做得很好，各个模块功能非常独立，彼此并不相互依赖，流程也非常清楚，下面对每个函数过程的功能作一简单介绍。 （1）Main 爱虫病毒的主模块，它集成调用其它各个模块。 （2）regruns 该模块主要用来修改注册表Run下面的启动项指向病毒文件、修改下载目录，并负责随机从给定的4个网址中下载WIN-BUGFIX.exe文件，并使启动项指向该文件。 （3）html 该模块主要用来生成LOVE-LETTER-FOR-YOU.HTM文件，该HTM文件执行后会执行里面的病毒代码，并在系统目录生成一个病毒副本MSKernel32.vbs文件。 （4）spreadtoemail 该模块主要用于将病毒文件作为附件发送给Outlook地址薄中的所有用户，也是破坏性最大的一个模块。 （5）listadriv 该模块主要用于搜索本地磁盘，并对磁盘文件进行感染。它调用了folderlist()函数，该函数主要用来遍历整个磁盘，对目标文件进行感染。folderlist()函数的感染功能实际上是调用了infectfile()函数。infetcfile()可以对十余种文件进行覆盖，并且还会创建script.ini文件，以便于利用IRC通道进行传播。 4）． 脚本病毒的预防和清除 脚本病毒的运行和传播有如下特点： （1）VBS代码是通过Windows Script Host来解释执行的。 （2）VBS病毒的运行需要其关联程序wscript.exe的支持。 （3）大部分vbs病毒运行的时候需要用到一个对象：FileSystemObject。 （4）通过网页传播的脚本病毒需要ActiveX的支持。 （5）通过Email传播的病毒需要OutlookExpress的自动发送邮件功能支持。 防范脚本病毒措施有： （1）卸载WindowsScriptingHost 打开“控制面板”|“添加/删除程序”|“Windows安装程序”|“附件”|取消 “WindowsScriptingHost”一项。 （2）禁用文件系统对象FileSystemObject 用regsvr32scrrun.dll/u这条命令就可以禁止文件系统对象。其中regsvr32是Windows\System下的可执行文件。或者直接查找scrrun.dll文件删除或者改名。 （3）在Windows目录中，找到WScript.exe，更改名称或者删除。 （4）设置浏览器。首先打开浏览器，单击菜单栏里“Internet选项”安全选项卡里的“自定义级别”按钮。把“ActiveX控件及插件”的一切设为禁用。 （5）禁止OutlookExpress的自动收发邮件功能。 3．svir病毒专杀设计分析 1）． svir.vbs脚本病毒特征 svir.VBS病毒具备爱虫病毒的部分功能，是以爱虫病毒为基础，减弱其破坏性，并将感染范围控制到一定的范围内的模拟病毒。使用记事本打开文件C:\ExpNIS\AntiVir-Lab\Virus\ScriptVir\svir.vbs根据爱虫病毒原理和源代码中的相关注释了解它的工作原理和感染现象。 2）． 脚本病毒专杀工具设计 VBS是一种较为常用的脚本语言，它语法简单而且功能强大，我们下面介绍如何使用VBS脚本语言编程实现脚本病毒专杀工具。 为了使程序更清晰易懂，我们应使用模块化设计，也易于为程序扩展新功能。我们将专杀工具分为四个功能模块，各模块的作用分别是删除病毒文件、删除病毒添加的自启动项、查杀指定目录下的病毒文件和结束病毒进程。 3）． 结束病毒进程 在查杀病毒时应该首先结束病毒的进程再进行其它操作，但我们现在查杀的是脚本病毒，使用的工具也是脚本语言，它们都是由Windows脚本宿主“wscript.exe”解释执行的，所以如果我们首先就将此进程结束，则专杀工具程序的其它部分就不能工作了。因此在查杀脚本病毒时要在专杀程序其它模块的工作完成后，再结束此进程。 我们可以通过下列代码结束指定的进程。 Set w=GetObject("winmgmts:") Set p=w.execquery("select * from win32_process where name='wscript.exe'") For each i in p i.terminate Next 首先通过GetObject("winmgmts:")获得WMI对象，WMI(Windows Management Instrumentation)技术是微软提供的Windows下的系统管理工具。在WMI对象下有很多的子项，在这里我们要获得系统中所有的进程列表子项中名为“wscript.exe”的进程，然后使用Terminate方法结束此进程。