中国DOS联盟

-- 联合DOS 推动DOS 发展DOS --

联盟域名：www.cn-dos.net 论坛域名：www.cn-dos.net/forum
DOS，代表着自由开放与发展，我们努力起来，学习FreeDOS和Linux的自由开放与GNU精神，共同创造和发展美好的自由与GNU GPL世界吧！

游客: 注册 | 登录 | 命令行 | 搜索 | 上传 | 帮助 »

中国DOS联盟论坛 » DOS批处理 & 脚本技术（批处理室） » [求助]帮忙解密一个VBS

English/Chinese Fix Translation

作者:

标题: [求助]帮忙解密一个VBS

上一主题 | 下一主题

uhnmki
初级用户

积分 73
发帖 11
注册 2008-1-8
状态离线

『第 16 楼』: 一个加密vbs的解密过程－－第五次揭锅使用 LLM 解释/回答一下

【续四】打开decode_5.txt看看，都什么玩意，太让各位失望了，怎么就这点儿内容，没有搞错吧？

for ii=1 to len(b):a=asc(mid(b,ii,1))
if a=d then a=13
if a=f then a=10
if a=j then
a=34
elseif a>=h and a<=m then
a=a+r
elseif a>=k and a<=n then
a=a+s
elseif a>=53 and a<=57 then
a=a+u
elseif a>=48 and a<=52 then
a=a+v
end if
uc=uc+chr(a)
next
uc=rn+c+uc

各位看官，我检讨，我让大家高兴的太早了，其实在上一篇里虽然加入了b＝lO+qO，但实际运行中经过一系列if的筛选，最后还是跟decode_4.txt差不多的一个玩意，不过显得整齐了些，也算是收获，为什么会这样，别忘了咱们是用Intercept(code)替代execute(code)，否则execute看到有这么多可执行代码会迫不及待的去执行，那时你即使再手疾眼快的话也比不上惨剧发生的快了，假如你过于手疾眼快按冷启的话，没准坏的就不是瘟痘屎系统了，你得拿着某（几）个硬件在奸商的跪台前哭求：大叔大姨行行好，修理费能不能再降点儿，可怜可怜穷人吧，5555……
唉，够累的了，没办法，接着来吧，小车不倒只管推，继续，把第四锅里的
lO=……
qO＝……
b=lO+qO
再放进锅里，外加差不多由a到v的变量，然后加上前面的拦截程序，不过怎么加得考虑下，因为目前的代码相当于execute解出一层密文后看到的新指令，它将继续执行这些代码，所以目前的代码实际仍然还处在第一锅execute（y）的运行期内，而执行目前的代码，最后是给uc(b)函数返回值，作为还给当初第一锅execute（uc(lO+qO)）括号内的结果，但是如果这个返回值里还有可执行的指令的话，execute（uc(lO+qO)）会继续执行，所以现在我们得看看uc这个值到底是个什么东西，所以Intercept必须去截获uc的值，所以代码应改写成这样子的：



lO="   ==|4|:=255:=|.|:=|.|:=|%% / |:=|/#/|:=|UT |&:=|\.|}{ =(|.|): =(|:\\.\\7|)}{ =(|.|): =.(| *  87_|)}{ =.:=.:=.(5)&:=.(6)&}{=.(7)&:=&|\|:=(,()-(.))}{=|(||.||).|:=|\|:=|HKLM\\\|&&&}{=(,5): =||  =}{=|HKLM\\|&&:=|\\\\\\|}{=| \|:=(|HKLM|&&&| |,5)&&:=(|HKCU|&&&||,5)&}{=(|HKCU|&&&||,5)&:=:=(|?01|):=(|:;4::<04|):=|5EE|:=(||+)}{=|HKLM\\\\\\\\|: =  =}{    :=.:=.:=.:=.:=.:}{=|HKCU|&&|\|:=|6<=121|&(679)&|;|}{ (,|0.7|)<>5 }{=||+}{ <>31  =||+: =|$|+: :==(||,6):=(||,6):  ()   ()   ||,6: ||,:=(||,6)}{ ||,+6:=(|.|,6)=6  (|.|,6)=6  (|.|,6)=6}{ -()>9  =:. |  || |||,5,}{ ((||,6)>355       )  (||,6)<>() }{=(||,6):   =6:=6:=5}{  <>|<>|}{ =7  =9 }{7=(&,++()&,5,655):=(&,6)}{ =6  =8  6=(&,+()+()&&|&=|&,5,655):=(&,6)}{ :=+6:=6=6  7=6: >9 }{   =6}{ }{ }{    -6}{}{ (&,6) }{ =.(&,6)}{=.:=.:=.:=.:=.:=.}{=.:=.:=.:=.:=.:=.}{.: &: =|<>| }{ ||,6: ||,: ||,: ||,: ||,: ||,: ||,}{ ->=6   (&,6)   &,&&&,,7555:.}{ =6   }{ <>   (&,6)   &: &,&&&,6,6555}{ }{ }{ }{ }{ (6)    =6:= .()  =6  =}{ .()  =7  =:= ,5}{ (,6)  .()}{ (,7)  .():=: := : =.(,):. :.}{ =6   ,2}{  (5)  =6:= : =.(,):=}{. &&||&&|=. .\|&&&|\\=. .\|&&&|\\=6|}{.: ,2:  (5)  =6:= <5  =}{ (,6) }{ .().=5 }{=5}{}{ =.(,6)}{ =.(,6)}{.}{=.}{.}{ >5  <= }{=5 }{  <}{=+6}{  . }{=.}{}{=5}{ }{}{=}{ <=5 }{=.}{}{=5}{ }{.}{ }{}{=5}{ := =-6  .   . &,,|REG_SZ|:= =6  =&}{=.()}{ (5)  =5:= (,6) : =.():.=: =}{ (,7) : =.():.=: =:=)): := ,5:  = (|.|):. ||,,5:.()}{ <>5 }{  (5) }{=6: =(|.|) }{.=8:.=6:.():.(.):. ,7}{ ,2}{ (,6)  =.().  =5}{ > }{ =6  . }{}{=5: }{ }{ }{ := =.(| "

qO="*  87_  ='|&&|'|):=6}{    :=+6}{ >()  =6}{ <5   .=7  =6  . &| |&(.,(.)-9),5,}{}{ (5)  =7:= =6  ():=+(((,,6))-)::==670:=678:=679:=42:=654:=68:=665:=677:=-68:=5:=5::=    }{ =&  . | |&,8,}{}{=(,-6): ()  (|H N!|): 6}{  }{ 6}{ (||,6)<> }{ ||,}{ ||,}{ ||,}{ ||,5}{ }{ (||,6)=6  . | / /|,5,: ||,5}{ (&,5)=   -6}{=(||,6): (&,6)  . &}{ 5}{: 6}{. 6555}{ (||,6)<>()  . }{}{. 0555}{ (|.|,7)=7 }{ (||,6)=() :.:: ||,}{ }{ (|.|,7)=6  .}{ ,2: &: &: 6:. &}{ :=&:= : =.(,):. :.: ,2:= :=\:   := =6  (&,5)<> }{. &,,|REG_SZ|}{ (5)   (,6)   ,&| |||&&||||,5}{ =-6 : }{ =5 : : &,-6: ,-6}{ := =6  . ,|5|,|REG_DWORD|}{ =5  =(,5):==(||,6)}{  <=:=&|,|&:=+6:}{=&:=(,|,|)}{ =5  ()}{ =()    (&,6)   &,&,5,7555}{}{ (&,6)  . &}{=6:= (||,6)<>  (,6)=6 }{ (&,&,5,7555)=6  =6}{ (&,6)  =6 }{ =6   ,-6}{. &}{  (5)   ||,: 5,+()++,5,5: =7   ,-6: 6}{ }{=6}{ }{. 655:=    }{ .=8  (.=6  <>|A:|  <> |B:|) }{ =6 }{ (&,7)   &}{ (&&,6)  (&,6) }{ (&,6)<>   &}{}{ 6: &: &&}{ }{ =-6 : &: &&}{: &&,&|((.,8)),8|&(65555,|'|),6: &}{ }{ }{:==(||,6)<>9}{}{=(||,6)<>()}{ (()  8)=5 }{      6}{=(): (  7)=5  <>  <>6  =:=: 5}{ (||,6)=6  (((||,6)))}{ }{. 455}{ (5)=6     ||,: -6}{ (|.|,6)=6 :. | |&+5.558&| / |&,5,: ||,6: 6:.}{:=:((:= =6 }{ 5: -6: : &: &: &:.}{}{ 6}{ (&)   &}{ (&)   &}{ := (,6)<>|'|&  =:(&))&&))&&()&&&&(,)&&&&()&&&&(,,)&&&&()&&&&(,)&&&&(,)&&&&(,)&&&&(,)&&&&(,,,)&&&&(,)&&&&()&&&&()&&&&()&&&&()&&&&(,,,,)&&&&(,,,)&&&&()&&&&()&&&&()&&&&()&&&) () .<>5  <5 .= <>5  (,6)<>()  ,(,6)+() (,6)>655   ,: ,5   "

b=lO+qO  

'++++++++++以上添加内容b为下面解码用++++++++++

'++++另外，前面Decoding_4th出现的变量也要补上++++

c=vbcrlf:d=127:f=11:j=12:h=14:m=31:r=83:k=1:n=8:s=114:u=-5:v=5  

i="if a=":t=" then ":e="elseif a>=":a=" and a<=":g="a=a+":o=t&c&g:p=c&e:q=c&i

'======解码所需变量补充完毕，以下开始解码=======



for ii=1 to len(b):a=asc(mid(b,ii,1))

if a=d then a=13

if a=f then a=10

if a=j then 

a=34

elseif a>=h and a<=m then 

a=a+r

elseif a>=k and a<=n then 

a=a+s

elseif a>=53 and a<=57 then 

a=a+u

elseif a>=48 and a<=52 then 

a=a+v

end if

uc=uc+chr(a)

next

uc=rn+c+uc



'**************拦截uc函数返回值的代码，开始

Intercept uc

WScript.Quit



Sub Intercept (code)

WScript.Echo code

OutPutFile="decode_6.txt"

Set objFSO=CreateObject("Scripting.FileSystemObject")

Set objTXT=objFSO.CreateTextFile(OutPutFile,True,False)

objTXT.Write code

objTXT.Close

Set objWSH=CreateObject("WScript.Shell")

objWSH.Run OutPutFile

End Sub

'**************拦截uc函数返回值的代码，结束

将上面的代码保存为Decoding_5th.vbs，运行后uc的值就放在decode_6.txt，这回我保您可以看到有明确含意的东东，您就瞧好吧【待续】

Last edited by uhnmki on 2008-1-17 at 05:31 PM ]

2008-1-16 12:56