怎么删除vbs病毒_vbs病毒_u盘vbs病毒杀不干净(7)

第87和91行不用解释了，第88行是一个字符串的赋值，很明显这是被加密过的病毒代码。看看89行最后的一段代码ThisText=ThisText&TempChar，再加上下面那一行，我们肯定能够猜到ThisText里面放的是病毒解密代码（熟悉vbs的兄弟当然也可以分析一下这段解密代码，too!就算完全不看代码也应该可以看得出来的)。第90行是执行刚才ThisText中的那段代码（经过解密处理后的代码）。

那么，下一步该怎么做呢？很简单，我们只要在病毒代码解密之后，将ThisText的内容输出到一个文本文件就可以解决了。由于上面几行是vbscript,于是我创建了如下一个.txt文件：

首先，copy第88、89两行到刚才建立的.txt文件，当然如果你愿意看看新欢乐时光的执行效果，你也可以在最后输入第90行。然后在下面一行输入创建文件和将ThisText写入文件vbs代码，整个文件如下所示：

ExeString="Afi...'第88行代码Execute("DimKeyAr...'第89行代码

setfso=createobject("scripting.filesystemobject")'创建一个文件系统对象

setvirusfile=fso.createtextfile("resource.log",true)'创建一个新文件resource.log，用以存放解密后的病毒代码virusfile.writeline(ThisText)'将解密后的代码写入resource.log

OK！就这么简单，保存文件，将该文件后缀名.txt改为.vbs(.vbe也可以)，双击，你会发现该文件目录下多了一个文件resource.log，打开这个文件，怎么样？是不是“新欢乐时光”的源代码啊！

2．vbs脚本病毒的弱点

vbs脚本病毒由于其编写语言为脚本，因而它不会像PE文件那样方便灵活，它的运行是需要条件的（不过这种条件默认情况下就具备了）。笔者认为，VBS脚本病毒具有如下弱点：

1）绝大部分VBS脚本病毒运行的时候需要用到一个对象：FileSystemObject

2）VBScript代码是通过WindowsScriptHost来解释执行的。

3）VBS脚本病毒的运行需要其关联程序Wscript.exe的支持。

4）通过网页传播的病毒需要ActiveX的支持

5）通过Email传播的病毒需要OE的自动发送邮件功能支持，但是绝大部分病毒都是以Email为主要传播方式的。

3．如何预防和解除vbs脚本病毒

针对以上提到的VBS脚本病毒的弱点，笔者提出如下集中防范措施：

1）禁用文件系统对象FileSystemObject

方法：用regsvr32scrrun.dll/u这条命令就可以禁止文件系统对象。其中regsvr32是WindowsSystem下的可执行文件。或者直接查找scrrun.dll文件删除或者改名。

还有一种方法就是在注册表中HKEY_CLASSES_ROOTCLSID下找到一个主键{0D43FE01-F093-11CF-8940-00A0C9054228}的项，咔嚓即可。

2）卸载WindowsScriptingHost

在Windows98中（NT4.0以上同理），打开［控制面板］→［添加/删除程序］→［Windows安装程序］→［附件］，取消“WindowsScriptingHost”一项。

和上面的方法一样，在注册表中HKEY_CLASSES_ROOTCLSID下找到一个主键{F935DC22-1CF0-11D0-ADB9-00C04FD58A0B}的项，咔嚓。vbs病毒

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-26627-7.html