篇一：VBS病毒
貌似有点像1KB快捷方式的病毒，请不要删除文件夹，真实的文件已被隐藏，这个病毒软件用杀毒软件无法清除，有一个专杀工具，?1KB快捷方式病毒专杀工具
从网上搜索“文件夹变成1k快捷方式”，得到很多网友的解决方法，现整理如下，希望对各位有所帮助。
方法一：
1、光盘启动，格式化所有盘，重装系统。
2、关闭所有驱动器的自动运行功能，这步非常重要，如果不会，百度一下吧。
3、到这个网站：.cn/zhuansha/kill_folder.html下载这个专杀工具可恢复所有被隐藏的内容。
方法二：
1、重装系统，不动除C盘外的其它盘。完成后不要做任何其它操作。（如果C盘、桌面有重要文件，请先备份）
2、关闭所有驱动器的自动运行功能，这步非常重要，如果不会，百度一下吧。
3、显示出所有系统文件(不会的朋友先百度下)，用点击右键打开的方法，打开其它盘，就能看到快捷方式和病毒，这些可以全部删掉。(千万不要因为好奇或失误双击啊，不然系统就白装了)
4、到这个网站：.cn/zhuansha/kill_folder.html下载这个专杀工具可恢复所有被隐藏的内容。
经多台电脑使用，证明此法简单可行。
方法三：不用重装系统也能彻底清除此病毒的方法，操作比较专业。是windows PE下把所有vbs结尾的文件都删掉包括所有显示的快捷方式，病毒的问题就可以解决了！！很管用的，大家遇到这种情况可以试试！用光盘进winpe（如果硬盘上装有winpe则开机时选择进入winpe即可），搜索*.vbs（*表示任意文件名），将搜索出来的结果全部删除。
其实，这病毒是这样运行的。 通过AutoRun.inf指向*********.vbs这个脚本文件，来自动运行病毒，感染全部磁盘根目录，这些目录变成快捷方式，再指向那个vbs文件，以后要预防这种病毒 就是要禁用系统的自动运行功能。
此毒中招后的一个显著特征是：硬盘各个分区原有的正常文件夹被隐藏，代之以1KB的同名文件夹.lnk文件。误点击这些假冒文件夹后，病毒被激活。这是个.vbs＋数据流双料病毒。
此毒还有一个特点：如果仅仅删除了各分区根目录下的病毒文件.vbs、删除了system目录下的svchost.exe（实为系统程序wscript.exe）、删除了被病毒改写过的系统程序smss.exe（用备份替换）、删除了病毒创建的所有.lnk，当你双击“我的电脑”时，病毒又复活了。如果用“软件限制策略”的散列规则禁止wscript.exe运行，则双击我的电脑后系统报错，自然不能通过正常途径打开各个分区及各级目录。
用Tiny，将wscript.exe由信任组转入特殊组，设置文件访问及注册表访问规则，禁止非信任组程序的文件创建及注册表改写动作，然后，再双击“我的电脑”，此毒不能复活，且“我的电脑”以及各级目录可以顺利打开。
方法四：手工彻底杀灭此毒的流程应该是：
1、先打开C:\windows\system32\和C:\windows\system32\dllcache目录。然后在组策略中用散列规则禁止WSCRIPT.EXE运行。
2、用IceSword禁止进程创建。结束WSCRIPT.EXE和windows\system\svchost.exe进程。
3、删除所有分区根目录下的.vbs和autorun.inf。删除windows\system\svchost.exe
4、删除硬盘各个分区中所有1KB的.lnk
5、将WINDOWS目录下的EXPLORER.EXE和系统目录下的SMSS.EXE移动到U盘或FAT32分区的硬盘分区（自动脱毒）。
6、删除WINDOWS目录下以及dllcache目录下的EXPLORER.EXE、%system%目录以及dllcache目录下的smss.exe（被病毒附加了数据流）。
7、取消”禁止进程创建“。将刚才移动到FAT32分区（或U盘）的那个EXPLORER.EXE和smss.exe移回系统目录以及dllcache目录。
8、修改注册表，显示被隐藏的正常文件夹。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
"CheckedValue"=dword:00000001
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN
"CheckedValue"=dword:00000002
9、删除病毒加载项：
展开HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows 删除load键值项的数据。
中了VBS病毒、autorun.inf利用WSCRIPT.EXE传播。看你的情况像是.VBS的。
方法1：
1、重装系统，不动除C盘外的其它盘。完成后不要做任何其它操作。（如果C盘、桌面有重要文件，请先备份）
2、关闭所有驱动器的自动运行功能，这步非常重要，如果不会，百度一下吧。
3、显示出所有系统文件(不会的朋友先百度下)，用点击右键打开的方法，打开其它盘，就能看到快捷方式和病毒，这些可以全部删掉。(千万不要因为好奇或失误双击啊，不然系统就白装了)
方法2
1 运行→gpedit.msc→计算机配置→windows设置→安全设置→软件限制策略→其他规则→点“操作”→新路径规则→点“浏览”找到在
c：\windows\system32\WSCRIPT.EXE→“安全级别”设为不允许的
2 用IceSword禁止进程创建。结束WSCRIPT.EXE和windows\system\svchost.exe进程。 3 然后设置把隐藏文件放出来，把所有盘（C:D:E:F:......）下的.vbs文件和快捷方式、autorun.inf都删掉
4 修改注册表，显示被隐藏的正常文件夹。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
"CheckedValue"=dword:00000001
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN
"CheckedValue"=dword:00000002
5 删除病毒加载项：
展开HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows 删除load键值项的数据。
6 如果我的电脑还不能双击打开，需要还原下系统
这样都不行的话，那就只能格式化整个硬盘重装系统了。
篇二：vb脚本病毒
一．脚本病毒概述
脚本程序的执行环境需要WSH（Windows Script Host，Windows脚本宿主）环境，WSH为宿主脚本创建环境。即当脚本到达计算机时，WSH充当主机的部分，它使对象和服务可用于脚本，并提供一系列脚本执行指南。
WSH是微软提供的一种基于32位Windows平台的、与语言无关的脚本解释机制，它使得脚本能够直接在Windows桌面或命令提示符下运行。利用WSH用户能够操纵WSH对象、ActiveX对象、注册表和文件系统，还可以访问活动目录服务。WSH依赖于IE提供的Visual BasicScript和JavaScript脚本引擎，所对应的程序“C:\Windows\wscript.exe”是一个脚本语言解释器。 Visual BasicScript和JavaScript作为客户端编程语言，当一个以该语言编制的程序被下载到一个兼容的浏览器中时，浏览器将自动执行该程序。
“爱虫”、“欢乐时光”、“尼姆达”、“求职信”等病毒都是属于这一类的病毒。 脚本病毒的主要特点：
（1）由于脚本是直接解释执行，可以直接通过自我复制的方式感染其它同类文件，并且使异常处理变得非常容易。
（2）脚本病毒通过HTML文档、Email附件或其它方式，可以在很短的时间内传遍世界各地，通常是使用在邮件附件中安置病毒本体的方法，然后利用人们的好奇心，通过邮件主题或邮件内容诱骗人们点击附件中的病毒体而被感染。
（3）新型的邮件病毒邮件正文即为病毒，用户接收到带毒邮件后，即使不将邮件打开，只要将鼠标指向邮件，通过预览功能病毒也会被自动激活。
（4）病毒源码容易被获取，变种多。由于VBS病毒解释执行，其源码可读性好，即使病毒源码经过加密处理后，其源码的获取还是比较简单。因此，这类病毒稍微改变一下病毒的结构或者特征值，很多杀毒软件可能就无能为力了。
（5）欺骗性强。脚本病毒为了得到运行机会，往往会采用各种让用户不太注意的手段，譬如，邮件的附件采用双后缀，如jpg.vbs或txt.vbs，由于系统默认不显示后缀，这样，用户看到此文件时就会认为它是一个jpg图片或文本文件。
二．爱虫病毒分析
1．病毒简介
“爱虫”（VBS.LoveLetter）病毒从2000年5月4日开始在欧洲大陆迅速传播，并向全世界蔓延。该病毒别名叫做LoveLetter、LoveBug、VeryFunny。它采用VBScript编写，其传播原理是通过Microsoft Outlook将名为“LOVE-LETTER-FOR-YOU.TXT.vbs”的邮件发送给用户地址薄里所有的地址。它可以产生Script.ini文件，将包括病毒的LOVE-LETTER-FOR-YOU.HTM文件通过mIRC蔓延到Internet聊天室中。该病毒还有多个发作破坏模块，查找本地驱动器和网络驱动器，在所有目录和子目录中搜索可以感染的目标
如：.vbs、.vbe、.js、.jse、.css、.wsh、.sct、.hta、.jpg、.jpeg、.wav、.txt、.gif、.doc、.htm、 .html、.xls、.ini、.bat、.com、.mp3、.mp2等，它用病毒代码覆盖原有的内容，并在文件名后面添加.vbs的扩展名，从而取代宿主文件。.mp2和.mp3文件被隐藏起来，并未破坏。 当病毒运行后会在系统中留下以下文件：
（1）\windows\Win32DLL.vbs；
（2）\system\MSKernel.vbs；
（3）\system\LOVE-LETTER_FOR_YOU.TXT.vbs。
该病毒还修改注册表中的一些路径以便在启动Windows时运行。它还在\windows\system下搜索名为WINFAT32.exe的文件，如果该文件不存在，则修改IE的默认初始页面下载
WIN-BUGSFIX.exe的文件，并修改注册键值为：
HKLM\Software\Microsoft\Windows\CurrentVersiion\Run\WIN-BUGSFIX。
该病毒已经有很多变种，并被反病毒厂家定为高危险性病毒。所以，提醒用户在接收电子邮件之前，一定要先升级自己的杀毒软件，拦截住这种破坏性很大的病毒。另外，广大用户除了不要冒然打开不明真相的英文邮件及附件外，最好也不要浏览陌生网站和下载其中内容。
2．病毒的杀毒步骤
（1）在Windows下查看进程列表中是否有wscript这个文件，如有此文件说明已经感染。将该文件“结束任务”。
（2）进入C:\Windows\System中，运行MSCONFIG.EXE选择“启动”模板，将所有的后缀为“*.vbs”的文件选择为禁用状态。
（3）在保证内存中无wscript这个文件后，重启计算机。
（4）查找一个叫WIN-BUGFIX.exe的文件并删除它，如果安装了mIRC则删除script.ini文件，删除含LOVE-LETTER-FOR-YOU.TXT附件的Email。
（5）打开注册表编辑器并删除下列键值：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\MSKernel32； HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServer\Win32DLL； HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\WIN-BUGFIX。
3．病毒各模块功能介绍
爱虫病毒的结构化做得很好，各个模块功能非常独立，彼此并不相互依赖，流程也非常清楚，下面对每个函数过程的功能作一简单介绍。
（1）Main
爱虫病毒的主模块，它集成调用其它各个模块。
（2）regruns
该模块主要用来修改注册表Run下面的启动项指向病毒文件、修改下载目录，并负责随机从
给定的4个网址中下载WIN-BUGFIX.exe文件，并使启动项指向该文件。
（3）html
该模块主要用来生成LOVE-LETTER-FOR-YOU.HTM文件，该HTM文件执行后会执行里面的病毒代码，并在系统目录生成一个病毒副本MSKernel32.vbs文件。
（4）spreadtoemail
该模块主要用于将病毒文件作为附件发送给Outlook地址薄中的所有用户，也是破坏性最大的一个模块。
（5）listadriv
该模块主要用于搜索本地磁盘，并对磁盘文件进行感染。它调用了folderlist()函数，该函数主要用来遍历整个磁盘，对目标文件进行感染。folderlist()函数的感染功能实际上是调用了infectfile()函数。infetcfile()可以对十余种文件进行覆盖，并且还会创建script.ini文件，以便于利用IRC通道进行传播。
4．脚本病毒的预防和清除
脚本病毒的运行和传播有如下特点：
（1）VBS代码是通过Windows Script Host来解释执行的。
（2）VBS病毒的运行需要其关联程序Wscript.exe的支持。
（3）大部分VBS病毒运行的时候需要用到一个对象：FileSystemObject。
（4）通过网页传播的脚本病毒需要ActiveX的支持。
（5）通过Email传播的病毒需要OE的自动发送邮件功能支持。
防范脚本病毒措施有：
（1）卸载Windows Scripting Host
打开“控制面板”|“添加/删除程序”|“Windows安装程序”|“附件”|取消“Windows
Scripting Host”一项。
（2）禁用文件系统对象FileSystemObject
用regsvr32 scrrun.dll /u这条命令就可以禁止文件系统对象。其中regsvr32是Windows\System下的可执行文件。或者直接查找scrrun.dll文件删除或者改名。
（3）在Windows目录中，找到WScript.exe，更改名称或者删除。
（4）设置浏览器。首先打开浏览器，单击菜单栏里“Internet选项”安全选项卡里的“自定义级别”按钮。把“ActiveX控件及插件”的一切设为禁用。
（5）禁止OE的自动收发邮件功能。
三．svir病毒专杀设计分析
1．svir.vbs脚本病毒特征
svir.vbs病毒具备爱虫病毒的部分功能，是以爱虫病毒为基础，减弱其破坏性，并将感染范围控制到一定的范围内的模拟病毒。使用记事本打开文件
C:\ExpNIS\AntiVir-Lab\Virus\ScriptVir\svir.vbs根据爱虫病毒原理和源代码中的相关注释了解它的工作原理和感染现象。
2．脚本病毒专杀工具设计
VBS是一种较为常用的脚本语言，它语法简单而且功能强大，我们下面介绍如何使用VBS脚本语言编程实现脚本病毒专杀工具。
为了使程序更清晰易懂，我们应使用模块化设计，也易于为程序扩展新功能。我们将专杀工具分为四个功能模块，各模块的作用分别是删除病毒文件、删除病毒添加的自启动项、查杀指定目录下的病毒文件和结束病毒进程。
3．结束病毒进程
在查杀病毒时应该首先结束病毒的进程再进行其它操作，但我们现在查杀的是脚本病毒，使
篇三：实验八 脚本病毒
实验八 脚本病毒
一、 实验目的
1．了解脚本病毒的工作原理；
2．观察病毒感染现象并手工查杀病毒。
二、 实验环境
1．本练习由单人为一组进行。
2．首先使用“快照X”恢复Windows系统环境。
三、 实验原理
恶意脚本是指一切以制造危害或者损害系统功能为目的而从软件系统中增加、改变或删除的任何脚本。
VBS病毒是用VB Script编写而成，该脚本语言功能非常强大，它们利用Windows系统的开放性特点，通过调用一些现成的Windows对象、组件，可以直接对文件系统、注册表等进行控制，功能非常强大。
2000年5月4日，在欧美爆发了“爱虫”网络蠕虫病毒，造成了比“美丽莎”病毒破坏性更大的经济损失。这个病毒是通过Microsoft Outlook电子邮件系统传播的，邮件的主题为“I LOVE YOU”，并包含一个附件。一旦在Microsoft Outlook里打开这个邮件，系统就会自动复制并向地址簿中的所有邮件电址发送这个病毒。 这个病毒属于vbs脚本病毒，可以通过html，irc，email进行大量的传播。
svir.vbs病毒具备“爱虫”病毒的部分功能，是以“爱虫”病毒为基础，减弱其破坏性，并将感染范围控制到一定的范围内的模拟病毒。
四、 实验步骤
1．网页恶意代码
(1) 恶意网页1
新建记事本HostilityCode1.txt，在文本中编写如下代码，保存代码并退出，更改扩展名.txt为.html，双击HostilityCode1.html页面，观察页面效果。（如果打开页面时出现安全警告，单击右键选择“允许阻止的内容”） <HTML>
<BODY>
<SCRIPT>
var color = new Array
color[1]= " black"
color[2]= " white"
for(x=0;x<3;x++)
{document.bgColor = color[x]
if(x==2)
{ x=0
}
}
</SCRIPT>
</BODY>
</HTML>
页面效果： 。
并说明其实现原理：。
(2) 恶意网页2
新建记事本HostilityCode2.txt，在文本中编写如下代码，保存代码并退出，更改扩展名.txt为.html，双击HostilityCode2.html页面，观察页面效果。 <html>
<head>
<title>no</title>
<script language=" JavaScript" >
function openwindow()
{
for(i=0;i<1000;i++)
window.open(" http://10.0.0.50") }
</script>
</head>
<body onload=" openwindow()" >
</body>
</html>
页面效果：
并说明其实现原理： 。
2. svir.vbs病毒专杀工具设计
(1) 观察svir.vbs病毒感染现象
①查看病毒要感染和修改的目标项。
进入实验平台，点击工具栏中的“实验目录”按钮，进入脚本病毒实验目录，使用UltraEdit或记事本打开svir.vbs病毒文件查看其源码。
由病毒源码可知，病毒首先要复制自己的副本到指定目录，然后在注册表中添加启动项，再感染指定目录下的文件，最后显示发作信息。因此我们要查看这些相关项在病毒发作前的状态。根据病毒源码，查看如下项：
? 系统目录下的病毒副本
在“C:\WINDOWS”目录及其子文件夹中搜索是否有文件“MSKernel32.vbs”。 ? 注册表中的开机启动项
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\MSKernel32
? 指定感染目录下的文件
查看C:\JLCSS\TOOLS\Virus\ScriptVir\中的子目录及不同类型的文件是否都变成以“.vbs”结尾的脚本文件。
②双击“svir.vbs”运行病毒文件。
③重复查看病毒要感染和修改的目标项是否有被病毒感染的现象。
④重启计算机观察是否有病毒发作现象。
(2) 手工查杀病毒
①结束病毒进程。
打开“任务管理器”结束Windows脚本宿主进程。
“svir.vbs”是用VBS脚本语言编写的，它是通过Windows脚本宿主“wscript.exe”程序解释执行的，所以结束病毒进程就是结束“wscript.exe”进程。
②删除系统目录中的病毒副本。
在C:\WINDOWS目录及其子文件夹中搜索文件MSKernel32.vbs，并删除。
③修改注册表。
打开“注册表编辑器”找到注册表项
HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run\MSKernel32，将其删除。
④恢复被感染的文件。
在病毒发作后，指定感染目录下病毒要感染项都生成以原文件名命名，以“vbs”为扩展名的病毒副本，原来的文件被修改了文件属性，成为了隐藏文件。
? 删除病毒文件
在病毒指定感染目录及其子目录中，删除所有被病毒感染后生成的以“.vbs”为扩展名的文件。
? 恢复文件属性
打开“资源管理器”，单击“工具”| “文件夹选项”| “查看” ， 选中“显示所有文件和文件夹”，单击“确定”后显示被隐藏起来的文件。
右键单击隐藏文件选择“属性”，在“常规”选项卡 中 取消对“隐藏”的选择 ， 单击“确定”恢复文件属性。
五．思考题
1．根据实验原理编程实现针对“svir.vbs”脚本病毒的专杀工具。要求专杀工具能够实现如下功能：
(1)删除病毒在系统目录中创建的副本；
(2)删除病毒在注册表中创建的开机启动项；
(3)删除病毒在指定目录中感染的文件，并恢复被隐藏的原文件的属性；
(4)结束病毒发作时弹出的消息框进程。
提示：在IE浏览器地址栏中输入ftp://172.16.0.254（管理平台IP地址），鼠标右键菜单中选择“登录”项，在弹出的“登录身份”对话框中添加用户名（source）和密码（sourcepass），单击“登录”按钮登录。其中10-4为脚本病毒专杀工具参考源码文件。
《vbs脚本病毒》
由：免费论文网互联网用户整理提供,链接地址：
http://m.csmayi.cn/meiwen/34013.html
转载请保留,谢谢!
- 上一篇：展望未来英语演讲稿
- 下一篇：特此声明格式