怎样检测清除脚本病毒？

现如今计算机已经普及到千家万户，网络运用当然越来越广，同时伴随网络病毒的产生，危害性颇大，本文佰佰安全网将着重为您讲述有关怎样检测清除脚本病毒的网络病毒小知识，供您学习和参考。

脚本病毒是主要采用脚本语言设计的计算机病毒。现在流行的脚本病毒大都是利用JavaScript和VbScript脚本语言编写。实际上在早期的系统中，病毒就己经开始利用脚本进行传播和破坏，不过专门的脚本型病毒并不常见。

但是在脚本应用无所不在的今天，脚本病毒却成为危害最大、最为广泛的病毒，特别是当它们和一些传统的进行恶性破坏的病毒如CIH相结合时其危害就更为严重了。

脚本病毒的前缀是：Script。脚本病毒的公有特性是使用脚本语言编写，通过网页进行的传播的病毒，如红色代码（Script.Redlof）脚本病毒通常有如下前缀：VBS、JS（表明是何种脚本编写的），如欢乐时光（VBS.Happytime）、十四日（Js.Fortnight.c.s）等。

VBS病毒是用VB Script编写而成，该脚本语言功能非常强大，它们利用Windows系统的开放性特点，通过调用一些现成的Windows对象、组件，可以直接对文件系统、注册表等进行控制，功能非常强大。应该说病毒就是一种思想，但是这种思想在用VBS实现时变得极其容易。VBS脚本病毒具有如下几个特点：

1.编写简单，一个以前对病毒一无所知的病毒爱好者可以在很短的时间里编出一个新型病毒来。

2.破坏力大。其破坏力不仅表现在对用户系统文件及性能的破坏。他还可以使邮件服务器崩溃，网络发生严重阻塞。

3.传播范围大。这类病毒通过htm文档，Email附件或其它方式，可以在很短时间内传遍世界各地。

4.感染力强。由于脚本是直接解释执行，并且它不需要像PE病毒那样，需要做复杂的PE文件格式处理，因此这类病毒可以直接通过自我复制的方式感染其他同类文件，并且自我的异常处理变得非常容易。 5.欺骗性强。脚本病毒为了得到运行机会，往往会采用各种让用户不大注意的手段，譬如，邮件的附件名采用双后缀，如.jpg.vbs，由于系统默认不显示后缀，这样，用户看到这个文件的时候，就会认为它是一个jpg图片文件。

6.病毒源码容易被获取，变种多。由于VBS病毒解释执行，其源代码可读性非常强，即使病毒源码经过加密处理后，其源代码的获取还是比较简单。因此，这类病毒变种比较多，稍微改变一下病毒的结构，或者修改一下特征值，很多杀毒软件可能就无能为力。

7.使得病毒生产机实现起来非常容易。所谓病毒生产机，就是可以按照用户的意愿，生产病毒的机器(当然，这里指的是程序)，目前的病毒生产机，之所以大多数都为脚本病毒生产机，其中最重要的一点还是因为脚本是解释执行的，实现起来非常容易，具体将在我们后面谈及。

正因为以上几个特点，脚本病毒发展异常迅猛，特别是病毒生产机的出现，使得生成新型脚本病毒变得非常容易。

这类病毒编写最为简单，但造成的危害非常大。我们常见的浏览了xx站点就被改了主页，在收藏夹里被添加上很多无谓的东西，就是拜这类病毒所赐。

这类病毒的本质是利用脚本解释器的检查漏洞和用户权限设置不当进行感染传播；病毒本身是ascii码或者加密的ascii码，通过特定的脚本解释器执行产生规定行为，因其行为对计算机用户造成伤害，因此被定性为恶意程序。最常见的行为就是修改用户主页，搜索页，修改用户收藏夹，在每个文件夹下放置自动执行文件拖慢系统速度等；比较出名的如美利莎邮件病毒、新欢乐时光病毒、office的宏病毒等都属于这类。

这类病毒一般来说由于其编写灵活，源代码公开，所以衍生版本格外地多；杀毒软件/木马杀除软件对待这类病毒大多没用。而由于脚本病毒（除宏病毒外）大多是独立文件，只要将这些文件查找出来删除掉就行了。具体步骤如下:

第①步:限制wscript.exe进程的运行。“开始——运行”,输入gpedit.msc,然后依次打开“计算机配置——Windows设置——安全设置——软件限制策略”,右键,选择“创建新策略”,选择“其他规则”,在右侧窗格空白处右击,在菜单中选择“新建路径规则”项,浏览选择C:\Windows\System32文件夹下的wscript.exe,将其安全级别设为“不允许”。这样我们就成功的限制了wscript.exe的运行。

第②步:通过任务管理器或者其他的工具,结束进程wscript.exe。

第③步:借助工具冰刃,删除各个盘符下面的.VBS、.vbe、.js、.autorun等后缀名的文件。

第④步:搜索一下全盘(包括中毒的U盘),看看是否还有.VBS、.vbe、js等文件存在,如果有,删除掉。在看看系统的启动项中有没有不明的启动项,如果有,也要删除掉!

第⑤步:重新启动电脑,看到各个盘符下面就没有.VBS等类型的文件了,系统也恢复到正常。

到这里,就已经成功的清除了VBS病毒!总结一下,重点是要限制VBS病毒的运行,只有先限制了它的运行,我们后面的删除工作才能正常的进行。

纯粹脚本病毒在杀除后不会有任何残留，但由于目前的病毒大都采用复合形态，捆绑多种传染方式和多种特性，因此不少脚本病毒只是将用户机器的安全防线撕开的前奏——真正的破坏主力木马、蠕虫尾随其后进入系统，因此在杀除掉脚本病毒后，非常有必要连带着检查系统中是否已经有了木马和蠕虫病毒。

VBS等脚本病毒虽然功能强大，但是仍然有很多弱点。正是因为弱点比较明显，使得近几年来脚本病毒不是很流行。下面我们介绍脚本病毒的防范方法：

(1)禁用文件系统对象FileSystemObject。用regsvr32 scrrun.dll /u这条命令就可以禁止文件系统对象。

(2) 删除VBS、VBE、JS、JSE文件后缀名与应用程序的映射,同时取消隐藏系统中已知文件类型的扩展名。这两项可在文件夹选项中设置。

(3) 在Windows\system32目录中，找到WScript.exe，更改名称或者删除。

(4)要彻底防治VBS网络蠕虫病毒，还需设置一下浏览器。把“ActiveX控件及插件”的一切设为禁用，同时将系统的网络连接的安全级别设置至少为“中等”。

(5)禁止Outlook Express的自动收发邮件功能，这样将阻止蠕虫通过邮件的传播。

(6) 最后一项也是最简单的，就是安装杀毒软件。目前国内杀毒软件已经做得比较好了。只要你安装了可更新病毒库的杀毒软件，还是可以查杀大部分病毒的。

如今虽然我们已经不经常提到脚本病毒，但不得不说的是，还是多多学习如何清除与防范对于使用计算机的安全是有好处的。

( 责任编辑: 陈淼琪 )