病毒代码怎么用_病毒代码_qq病毒代码(5)

' 写入

Call writefile(path&ucase("autorun.inf"),autostr)

Call writefile(path&"eva.vbs",vs(scopy))

End Sub

'将content中的内容写入fpath，并设置文件属性是ReadOnly、Hidden和System

Sub writefile(fpath,content)

Execute "If fso.fileexists(fpath) Then fso.deletefile fpath,true Set fc=fso.OpenTextFile(fpath,2,true) fc.write content fc.Close Set fc=Nothing Set fa=fso.getfile(fpath) fa.attributes=7 Set fa=Nothing"

End Sub

以上的代码已经添加了很多注释，如果你能奈着性子看到这里，估计应该明白的差不多了。代码本身的编码质量一般，因为这个代码在下载病毒指令是从南师大的一个网站上下载的，所以估计是个学生所为。

在这段病毒中，作者使用了自定义的vs函数进行“变脸”以逃避防病毒检测，使用随机方式对病毒体进行大小写转换，不过实际上这种处理对真正的防病毒软件是没有任何效果的J

在这个病毒中，使用了注册表，Windows自动运行，文件操作还有WMI控制等技术，这些都是当前Windows环境中主流技术。可以发现这些技术微软都为脚本，特别是VBScrit提供了调用接口，从技术上讲是COM组件都提供了Automation接口，支持各种脚本的调用，本来是为了让Windows脚本能做更过的事，但是他们也“很好”好的为病毒服务，因此我们在这里分析病毒主要目的不是为了编写病毒，而是学习编程技术，利用其中的技术为我们的工作和学习提供方便。因此希望学习脚本编程的朋友，可以好好分析这个鲜活的例子。

以上说了那么多，其实还是没有怎么详细说道病毒，虽然我总是觉得代码就是最好的解释，但是总不能对不起标题上“分析”这两个字吧。

其实这个病毒主要还是利用的Windows的Autorun.inf文件运转的。作为病毒，必须用户去运行，无论是直接还是间接的。当“无知用户”双击带毒U盘等瞬间，Autorun.inf文件中指向的eva.vbs病毒启动了，首先通过关闭“SharedAccess”服务实现关闭Windows自带的防火墙，这主要是为了让后面的病毒能够和外部的傀儡网站进行通信做准备。

关闭防火墙后，脚本写入一个注册表文件，通过后面在代码中将之导入系统以实现病毒开机启动，其实这也是病毒的共同特征。程序在启动之后，需要判断当前是否已经被感染，通常脚本对当前系统进程的情况进行处理是比较困那的，不过还好，Windows的WMI为脚本访问系统功能提供了大量的接口，这里使用它检测系统中是否有多份病毒进程，如果有那么就会自动退出。这个病毒中其实主要的功能就是复制，这也是被定义为worm病毒的原因，但其中有个重要的特征值的让我觉得很有意思，就是这个病毒程序居然会执行从傀儡服务器发送来的病毒命令。

在这个病毒中，利用ServerXMLHTTP组件和傀儡服务器进行通讯，这个技术其实就是我们现在流行的AJAX技术中的基础。在这里和服务器通讯，并执行从服务器下载的病毒代码，这体现了现在病毒作者希望能够长期对“肉鸡”的控制，但是让我不能理解的是，病毒中有段代码是对当前计算机用户的账户进行检测的，并将用户信息发送到服务器上。众多周知，国人的操作系统中D版居多，其中这段时间被闹的沸沸扬扬的“番茄花园”之类的改版Windows居多，这类Windows均有个共同的个点，就是安装的系统都会使用他们的“品牌”作为用户名，比如“番茄花园”版的Windows中默认用户常常就是“番茄花园”。从这个病毒代码上看，难道它还要对Windwos版本进行一个“D版占有量普查”么？

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-27418-5.html