Vbs脚本病毒生产机的原理介绍预防和解除

所谓病毒生产机就是指可以直接根据用户的选择产生病毒源代码的软件。在很多人看来这或许不可思议，其实对脚本病毒而言它的实现非常简单。

　　脚本语言是解释执行的、不需要编译，程序中不需要什么校验和定位，每条语句之间分隔得比较清楚。这样，先将病毒功能做成很多单独的模块，在用户做出病毒功能选择后，生产机只需要将相应的功能模块拼凑起来，最后再作相应的代码替换和优化即可。由于篇幅关系和其他原因，这里不作详细介绍。

　　vbs脚本病毒的弱点

　　vbs脚本病毒由于其编写语言为脚本，因而它不会像PE文件那样方便灵活，它的运行是需要条件的(不过这种条件默认情况下就具备了)。笔者认为，VBS脚本病毒具有如下弱点：

　　1)绝大部分VBS脚本病毒运行的时候需要用到一个对象：FileSystemObject

　　2)VBScript代码是通过Windows Script Host来解释执行的。

　　3)VBS脚本病毒的运行需要其关联程序Wscript.exe的支持。

　　4)通过网页传播的病毒需要ActiveX的支持

　　5)通过Email传播的病毒需要OE的自动发送邮件功能支持，但是绝大部分病毒都是以Email为主要传播方式的。

　　如何预防和解除vbs脚本病毒

　　针对以上提到的VBS脚本病毒的弱点，笔者提出如下集中防范措施：

　　1)禁用文件系统对象FileSystemObject

　　方法：用regsvr32 scrrun.dll /u这条命令就可以禁止文件系统对象。其中regsvr32是Windows\System下的可执行文件。或者直接查找scrrun.dll文件删除或者改名。

　　还有一种方法就是在注册表中HKEY_CLASSES_ROOT\CLSID\下找到一个主键{0D43FE01-F093-11CF-8940-00A0C9054228}的项，咔嚓即可。

　　2)卸载Windows Scripting Host

　　在Windows 98中(NT 4.0以上同理)，打开[控制面板]→[添加/删除程序]→[Windows安装程序]→[附件]，取消“Windows Scripting Host”一项。

　　和上面的方法一样，在注册表中HKEY_CLASSES_ROOT\CLSID\下找到一个主键{F935DC22-1CF0-11D0-ADB9-00C04FD58A0B}的项，咔嚓。

　　3)删除VBS、VBE、JS、JSE文件后缀名与应用程序的映射

　　点击[我的电脑]→[查看]→[文件夹选项]→[文件类型]，然后删除VBS、VBE、JS、JSE文件后缀名与应用程序的映射。

　　4)在Windows目录中，找到WScript.exe，更改名称或者删除，如果你觉得以后有机会用到的话，最好更改名称好了，当然以后也可以重新装上。

　　5)要彻底防治VBS网络蠕虫病毒，还需设置一下你的浏览器。我们首先打开浏览器，单击菜单栏里“Internet 选项”安全选项卡里的[自定义级别]按钮。把“ActiveX控件及插件”的一切设为禁用，这样就不怕了。呵呵，譬如新欢乐时光的那个ActiveX组件如果不能运行，网络传播这项功能就玩完了。

　　6)禁止OE的自动收发邮件功能

　　7)由于蠕虫病毒大多利用文件扩展名作文章，所以要防范它就不要隐藏系统中已知文件类型的扩展名。Windows默认的是“隐藏已知文件类型的扩展名称”，将其修改为显示所有文件类型的扩展名称。

　　8)将系统的网络连接的安全级别设置至少为“中等”，它可以在一定程度上预防某些有害的Java程序或者某些ActiveX组件对计算机的侵害。

　　9)呵呵，最后一项不说大家也应该知道了，杀毒软件确实很必要。在这个病毒横飞的网络，如果您的机器没有装上杀毒软件我觉得确实挺不可思议的。