umm...ASEC

@demon_blog
我好像中了一个跟ASEC有关的脚本病毒，demon大侠知道这发面的知识么？

http://demon.tw/copy-paste/vbs-wmi-trojan-3.html

@demon_blog
嗯我想它肯定是利用ASEC加载了部分脚本我现在想知道怎么样才能取消它的运行呢？

http://demon.tw/programming/remove-wmi-permanent-event.html

做个备忘：
'comments:remove WMI's ASEC
'code by coo_boi with demon's assistant
const wmipath="winmgmts:\\.\root\subscription:"
set colFTCB=getobject(wmipath & "__FilterToConsumerBinding").instances_
for each item in colFTCB
if instr(item.consumer,"ActiveScriptEventConsumer") then
set objASEC=getobject("winmgmts:" & item.consumer)
if typename(objASEC)="SWbemObjectEx" then
'if you wanna see the script,plz visit the property: ScriptFilename or ScriptText
'wscript.echo objASEC.scripttext
objASEC.delete_
end if

set objEF=getobject("winmgmts:" & item.filter)
if typename(objEF)="SWbemObjectEx" then
query=objEF.query
timerid=mid(query,instr(query,"timerid")+11,len(query)-instr(query,"timerid")-11)
set objITI=getobject(wmipath & "__IntervalTimerInstruction.timerid='" & timerid & "'")
if typename(objITI)="SWbemObjectEx" then
objITI.delete_
end if
objEF.delete_
end if
item.delete_
end if
next

win7都木有ASEC鸟

扫二维码下载贴吧客户端

下载贴吧APP
看高清直播、视频！

16回复贴，共1页

<<返回vbs吧

分享到:

日	一	二	三	四	五	六