VBS整人代码三档杀伤力拆解与隔离复现清理指南

简介《VBS整人代码大全》面向想了解 VBS 脚本趣味用法与基础系统交互的入门读者以恶作剧小程序为线索串起 MsgBox 弹窗、WScript.Shell 调用系统命令、Do...Loop 循环、InputBox 条件判断、SendKeys 模拟按键及 WMPlayer 媒体播放等知识点。压缩包共 1 个 docx 文件大小约 192KB内容以代码片段和效果说明为主便于在记事本中另存为 .vbs 后对照试验。已有 11805 人学习说明这类轻量脚本案例具有较高关注度。读者可从中理解 VBS 与 Windows 命令行、文件系统及输入输出的基本配合方式也能看到关机、重启、无限弹窗等整人效果的实现思路同时需注意相关代码可能干扰他人用机建议仅在虚拟机或受控环境中研究把技术用于自动化与问题解决而非恶作剧。1. 一批 VBS 整人代码杀伤力其实分三档某实验室的群里有人发过一个压缩包标题就叫 VBS 整人代码大全说双击就能让对方满屏弹窗。A 同学手快当场点开一个半分钟内屏幕被 MsgBox 铺满任务管理器点不出来最后靠 CtrlAltDel 结束掉 wscript.exe 才缓过来。那次之后我把这批脚本一条条拆了一遍发现它们的杀伤力根本不是一回事粗略能分三档第一档只是烦人弹窗、模拟按键、弹光驱第二档动系统状态改关机倒计时、强制重启第三档会自我复制、写 autorun.inf、把文件搬到隐藏目录一旦离开测试机就收不回来。这篇就按这三档往下拆讲清每个套路的技术内核、怎么在隔离环境里安全复现、中招之后按什么顺序清理以及真要写一个不越界的整人脚本底线该划在哪儿。2. 前两档套路拆解MsgBox 循环与 shutdown 借刀2.1 弹窗循环两行代码为什么能把人锁在桌面外最简单的一条就是do msgbox hi loop。它之所以是整人脚本里的常客是因为成本和效果完全不成比例不需要任何文件系统权限不需要管理员从很老的系统到现在的版本都能跑而且MsgBox本身是阻塞式模态窗口弹出来之后不点掉就不还你焦点用户点掉一个循环立刻再弹一个视觉上就是屏幕被一层层盖住。很多人第一次遇到会本能地去点右上角的叉点十几次才意识到这玩意儿不会停。要读懂后面那些更花哨的变种先把MsgBox的三个参数位置记牢第一个是正文第二个是按钮与图标的组合常量第三个是标题栏文字。按钮常量里vbOKCancel是 1、vbYesNo是 4、vbRetryCancel是 5图标常量里vbInformation是 64两组常量相加就能同时指定按钮和图标所以在代码里看到vbOKCancelvbInformation这种写法意思只是「给我确定取消两个按钮配一个信息图标」。正文里的chr(10)是换行符用来把一句话拆成两行模仿系统提示那种排版——这是整人脚本最常用的伪装手法用一个像系统弹窗的排版去骗用户点按钮。判断这类脚本危不危险看两个地方就够了。第一看循环有没有出口do ... loop中间有没有exit do或者有没有do while的条件能被打断第二看循环体内是不是只有MsgBox如果只有它那基本属于第一档杀了wscript.exe就完事不会留下任何持久化痕迹。反过来如果循环里出现了CreateObject、Run、文件写入那就得往上归一档了因为它开始接触脚本之外的东西。提示遇到弹窗刷屏先别急着一个个点。直接用另一台机器远程或者在本机按 CtrlShiftEsc 呼出任务管理器结束wscript.exe进程wscript.exe是所有 VBS 脚本的宿主进程杀掉它等于一次性掐断全部正在跑的脚本。2.2 借刀关机shutdown 的参数表和它的软肋第二档的典型代表是「假装系统提示骗你点确定然后关机」。原始脚本的思路很直接先弹一个MsgBox文案写成「您灌水太多需要重新启动计算机确定要重启吗」按钮给vbOKCancel用户点取消反而触发objShell.Run shutdown -s -t 5点确定则什么都不做。这种把「正确选项」和「错误后果」对调的写法是整人脚本里最经典的诱导结构本质上是拿用户的惯性反应当触发器。shutdown这个命令本身没什么神秘的关键在参数组合。-s是关机、-r是重启、-a是撤销已经排定的关机、-t后面跟秒数表示延迟、-c后面跟一段注释文字会显示在系统关机提示里、-f表示强制关闭还卡着的程序。所以shutdown -s -t 5是「五秒后关机」shutdown -r -t 6 -c ...是「六秒后重启并显示一段话」而shutdown -a是唯一能把倒计时掐掉的命令。多数整人脚本的收尾动作就是发一条shutdown -a让用户以为自己「得救了」这种先制造恐慌再给解药的设计是它让人觉得「整到了」的核心。再看WScript.Shell的Run方法它有三个常用参数命令字符串、窗口样式、是否等待返回。窗口样式 0 表示隐藏、1 表示正常显示第三个参数给True表示脚本要等到这条命令执行完才往下走。原文里那些Run cmd.exe /c shutdown ..., 0, True的写法第一个参数套一层cmd /c是为了让命令行解释器去解析后面的命令和引号第二个 0 是藏窗口第三个True是等结果。理解这三个位置之后你看到任何一条Run都能立刻判断出它是不是在偷偷执行、会不会阻塞脚本。这类脚本的软肋也很明显倒计时窗口期内用户随时可以开一个命令行敲shutdown -a撤销只要抢在秒数走完之前。真正麻烦的是-t 0或者-t 5这种几乎不给反应时间的配置那就只能眼睁睁看它重启。所以拆解这档脚本时我一般会先找-t后面的数字数字越小说明作者越不打算给人留活路也说明这段代码更适合放在隔离环境里看行为而不是拿去给同事「开个玩笑」。2.3 键盘模拟与媒体对象SendKeys 是最不可控的一类ws.SendKeys {F5}放在一个死循环里效果是疯狂往当前前台窗口发 F5。这条代码的危险程度取决于它运行的那一瞬间用户正在用什么软件在浏览器里是刷新页面在编辑器里可能是弹出一个对话框在某个带快捷键的客户端里可能是触发一个不可逆操作。SendKeys没有「目标窗口」的概念它只认当前焦点这意味着同一段代码在不同机器上表现完全不同这也是我说它「不可控」的原因——作者自己也预测不了会发生什么。比它更依赖硬件的是CreateObject(wmplayer.ocx)拿到 CD 驱动器集合再调eject。这段代码在老式带光驱的台式机上能让托盘反复进出在现在的轻薄本上则什么都不会发生因为根本没有光驱设备可枚举。同一份脚本一个机器上是「哇好神奇」另一个机器上是「你发我的东西没反应啊」——判断这类脚本的价值不在于它能不能跑起来而在于你能不能提前说出它在什么硬件条件下会生效、什么条件下静默失败。还有一种容易忽略的写法是InputBox。它的完整参数是提示文字、标题、默认值、横向位置、纵向位置原文里出现inputbox(..., 8000, 7000)这种把窗口坐标设到屏幕之外的写法效果是输入框跑到看不见的地方用户以为程序卡死了。配合do while a 我是猪这种字符串相等判断只要用户输错一个标点或者多打一个空格循环就永远退不出去。这类「靠输入匹配才能解锁」的设计本质上是在用循环条件控制用户行为拆的时候重点看判断用的是全等还是包含、有没有做去空格处理就能知道它到底能不能被正常解开。3. 第三档autorun.inf、自我复制与回不来的那部分3.1 FileSystemObject盘符遍历和 attributes7 到底在做什么第三档脚本开头几乎都有一个CreateObject(Scripting.FileSystemObject)这个东西是 VBS 操作文件和目录的总入口。它能做的四件事决定了这类脚本的上限枚举驱动器、读写文本文件、复制和删除、改文件属性。原文里fso.drives拿到所有盘符d.isready过滤掉没插介质的空驱动器d.driveletter取盘符字母d.drivetype判断类型2 是可移动盘、3 是本地硬盘这套组合的作用就是「把所有能写的盘都找出来」是自传播脚本的第一步。属性的部分特别值得说清楚。attributes是几个标志位相加的结果1 是只读、2 是隐藏、4 是系统所以attributes 7就是只读加隐藏加系统三个全开效果是文件在资源管理器里看不见除非开了「显示隐藏文件」并关掉「隐藏受保护的操作系统文件」并且普通删除会失败。原文里反复出现的add_attrib和del_attrib就是在 7 和 0 之间来回切写文件前先降到 0 才能覆盖写完再升回 7 藏起来。看懂这一层你就明白为什么很多人中招后「找不到文件」——不是文件不存在是被属性藏了。opentextfile的第二个参数也要记1 是只读打开、2 是覆盖写、8 是追加写第三个参数给True表示文件不存在就创建。原文里自我复制的套路是以只读方式打开自己的脚本文件readall把全文读进变量再新建一个文本文件把内容写进去最后用copy复制到目标路径、delete(True)删掉中间文件。这套「读自己、写别人」的流程是所有脚本自我复制的通用骨架跟具体用什么语言写没关系看到scriptfullname这个属性出现在读取位置基本就能判定这段代码打算复制自己。3.2 autorun.inf 的两个段落和它为什么现在跑不起来autorun.inf是那段代码里最有「蠕虫味」的部分。它的写法是固定段落加键值[autorun]段下写open指定插入介质时自动执行什么再往下用shell\open\command和shell\explore\command指定右键菜单里「打开」和「资源管理器」分别调用什么。原文里这几个键值统统指向wscript.exe ftgfolder.vbs意思是「不管你是双击盘符还是右键选打开都去跑那个 vbs」。配套的还有一个desktop.ini里面写[.shellclassinfo]和clsid{645ff040-5081-101b-9f08-00aa002f954e}这个 CLSID 对应的是回收站图标作用是让一个普通文件夹在资源管理器里显示成回收站的样子诱导用户当成垃圾去点或者去清空。这里必须说清楚一件事这套机制在今天的系统上基本失效了。新版本系统对可移动介质的自动运行做了严格限制open这一项默认不会被执行只剩下卷标、图标这类不影响执行的部分还可能生效。所以你在很多「整人代码大全」里看到的 autorun 套路实际效果是「写进去了但什么也没发生」。判断一份这类资源值不值得研究我一般会先问它依赖的机制在当前系统版本上还在不在如果答案是不在那它的价值就只剩「读代码学思路」而不是「拿去跑」。3.3 不可控点一个分支写错恶作剧就变成永久破坏这段代码最该被警惕的不是它做了什么而是它有多少地方「没想清楚」。举几个具体的回收目录被硬编码成d:\recyc1ed\注意那个是数字 1 不是字母 L这种拼写细节在原脚本里到处都是一旦某台机器上恰好存在同名目录脚本的行为就不再是作者预期的那样文件复制用的是copyfolder ... , true第三个参数是「目标已存在就覆盖」覆盖是不可逆的删除用的是delete(true)强制删除不进回收站noisejoke那段用sapi.spvoice语音对象在死循环里反复朗读既占 CPU 又没法从界面上关掉只能杀进程。把这些点串起来看结论很清楚第三档不是「整人」是自传播加数据搬迁。它不区分目标目录里放的是什么不判断覆盖会不会造成损失也不提供任何回退路径。我见过有人把这类脚本放在自己的测试机上「试试效果」结果脚本扫到了挂载的移动硬盘把里面的东西搬进了隐藏目录人还以为硬盘坏了。所以对这一段我的态度很明确只在断网的虚拟机、快照就绪、共享目录全关的前提下看它的流程任何情况下都不该在真机上跑哪怕那台机器是你自己的。4. 安全复现在隔离环境里跑一遍盯住进程和文件落地4.1 环境准备快照、断网、关共享三件事一件都不能省复现这类脚本虚拟机是底线但光有虚拟机不够。第一件事是打快照跑之前打一个跑崩了直接回滚比手工清理快十倍第二件事是断网尤其第三档那种会遍历盘符的脚本一旦它认到了网络位置传播范围就不在你控制之内了第三件事是关掉共享文件夹和剪贴板共享这一步最容易被忽略——很多人习惯开着共享目录往虚拟机里拖文件结果脚本顺着共享目录写回宿主机虚拟机的隔离就白做了。准备阶段还有一个细节把虚拟机的光驱设备状态确认一下。前面提到wmplayer.ocx那套是枚举 CD 驱动器的如果虚拟机挂了虚拟光驱你能看到托盘反复进出如果没挂就是静默无反应。同一个脚本两种表现正好可以用来验证「代码效果依赖硬件条件」这个判断比看文字描述直观得多。4.2 观测三个窗口同时开看进程、看命令行、看文件跑之前先把观测手段准备好不然脚本一跑起来你只能干看着。第一个窗口开任务管理器或者资源监视器盯 CPU 和进程列表第二个窗口开命令行用tasklist按镜像名过滤确认wscript.exe起了几个实例第三个窗口开文件管理器把「显示隐藏文件」和「显示受保护的操作系统文件」都打开盯着盘符根目录。:: 按镜像名过滤只看脚本宿主进程/v 显示窗口标题等详细信息 tasklist /v /fi imagename eq wscript.exe :: 取进程号和完整命令行用来判断它到底在跑哪个脚本文件 wmic process where namewscript.exe get processid,commandline :: 列出所有进程里命令行包含 vbs 的覆盖面更广 wmic process get processid,name,commandline | findstr /i vbs三行命令的分工是这样的第一行回答「有几个脚本在跑」第二行回答「跑的是哪个文件」第三行是兜底因为有些脚本会通过cmd /c wscript xxx.vbs这种方式间接启动父进程是cmd.exe只过滤wscript.exe会漏掉。参数上/v只是多给几列信息不影响过滤结果/fi后面跟的是过滤表达式格式是「字段 eq 值」写错引号会直接报错这是新手最常卡住的地方。文件落地这边重点看两个位置所有盘符的根目录以及每个盘符下有没有新出现的、名字奇怪或者图标不对的文件夹。根目录下如果冒出autorun.inf用记事本打开看它的open和shell\段指向什么就能反推出脚本想让你执行什么。如果某个文件夹的图标变成了回收站那就是desktop.ini里的 CLSID 生效了用attrib把系统属性去掉就能看到它的真实内容。4.3 清理顺序先掐进程再清启动项最后处理文件清理这件事顺序错了会反复中招。正确的顺序是先杀进程再查持久化最后删文件。原因很简单只要wscript.exe还在跑你删掉的文件可能被立刻重新写回来只要启动项还在你重启之后它又活了。# 第一步掐断所有脚本宿主/f 强制 /im 按镜像名 taskkill /f /im wscript.exe # 第二步查三个常见持久化位置 reg query HKCU\Software\Microsoft\Windows\CurrentVersion\Run reg query HKLM\Software\Microsoft\Windows\CurrentVersion\Run dir %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup # 第三步去掉隐藏和系统属性后再列目录看真实内容 attrib -h -s -r D:\* /s /d第一段是杀进程/f表示强制结束不加这个参数遇到忙等状态的进程会杀不掉。第二段三个位置分别对应当前用户的开机启动项、全机器的开机启动项、当前用户的启动文件夹整人脚本想「重启后还能整你」基本只能往这三处写。第三段attrib的-h -s -r是把隐藏、系统、只读三个属性去掉/s递归子目录、/d连目录一起处理这一步做完你才能在资源管理器里看见那些被藏起来的文件。手工清完之后最省事的收尾还是回滚快照。我一般会留一个「干净基线」快照每次测完直接退回去比一条条核对文件有没有删干净可靠得多。如果是真机中招、没有快照可用那就按上面三步走完再额外检查一遍所有盘符根目录的autorun.inf和异常文件夹确认没有残留的自启动配置再重启。4.4 用一个无害版本验证机制比读十遍代码管用理解MsgBox的阻塞特性和循环结构最快的办法是自己写一个可控版本跑一遍观察它什么时候占焦点、什么时候释放、外部杀进程能不能中断。 受控演示最多弹三次每次间隔一秒可被外部进程结束 Dim i For i 1 To 3 MsgBox 第 i 次提示, vbOKOnly vbInformation, 演示 Next MsgBox 循环已结束, vbOKOnly, 演示这段代码的重点不在效果在于它能让你亲眼确认三件事MsgBox弹出期间脚本是停在这一行的不点掉就不往下走For循环有明确的次数上限所以它一定会结束进程结束之后循环立刻中断不会有残留。把这三条记住回头再看原素材里那些Do ... Loop你就能一眼分辨出哪个有出口、哪个是死循环判断依据是从跑一遍里长出来的不是背下来的。5. 避坑五条踩过的记录每条都有人栽过5.1 双击之后任务管理器打不开现象是弹窗刷屏的瞬间按 CtrlAltDel 出来的界面被压在弹窗下面鼠标点不到任何东西感觉整台机器卡死了。原因是MsgBox是模态窗口每次弹出都会抢焦点弹窗速度只要够快焦点就一直在新窗口上其他界面永远拿不到点击。解决办法不是硬点是用键盘CtrlShiftEsc 直接呼任务管理器用方向键选中wscript.exe按 Delete 结束进程。如果连键盘都没反应就断开远程连接或者长按电源键——这也是为什么复现必须在虚拟机里做。5.2 弹窗关了重启之后又冒出来现象是杀完进程、清完桌面以为没事了第二天开机又弹出同样的窗口。原因是脚本在第一次运行时把自己复制进了启动文件夹或者在注册表Run项里加了一条指向自己的命令杀进程只能停掉当前实例停不掉下次启动。解决办法是按 4.3 那三步把三个持久化位置都查一遍注册表里的键值用reg delete删掉启动文件夹里的文件直接删删之前记得先去掉隐藏属性否则在资源管理器里根本看不见。5.3 光驱托盘反复进出停不下来现象是虚拟机里光驱每隔一秒弹出又收回任务管理器里没看到明显的异常进程。原因是脚本调了WMPlayer.ocx的 CD 驱动器集合eject方法直接操作硬件不走文件系统所以文件层面查不到痕迹。解决办法仍然是杀wscript.exe因为循环体跑在脚本宿主里如果杀了还在动说明另有进程在调用资源监视器按句柄搜索光驱设备就能定位。顺便说一句这个效果在没挂虚拟光驱的机器上完全不会出现别以为是脚本坏了。5.4 虚拟机里测试宿主机中招现象是在虚拟机里跑完脚本宿主机某个盘符根目录多了autorun.inf和一个陌生文件夹。原因是虚拟机开着共享文件夹脚本遍历盘符时把共享目录当成了可写磁盘照着 3.1 那套流程把文件复制了过去。解决办法是复现前把共享文件夹、剪贴板共享、拖拽传文件全部关掉需要往虚拟机里送文件就用快照或挂载只读镜像。这条坑最难自查因为中招的是宿主机而你的注意力全在虚拟机窗口里。5.5 shutdown -a 撤销不掉现象是看到关机倒计时赶紧开命令行敲shutdown -a结果提示「无法中止系统关闭」或者干脆没反应。原因通常有三个一是倒计时已经走完进程进入不可中断阶段二是当前账户权限不够撤销关机需要相应权限三是脚本在Run里用了等待模式反复重新发起新的关机请求你撤销一个它起一个。解决办法是先杀脚本进程再撤销顺序反了就等于在跟脚本抢时序抢不过很正常。6. 收尾要整人就把出口留在明面上把这批脚本拆完我对「整人代码」这件事的看法变了一次。以前觉得只要不删文件、不搞破坏就算安全现在判断标准换成了三条能不能被一键中断、会不会留下持久化、有没有可能写到别人机器上。前两条决定它是不是「玩笑」第三条决定它是不是「事故」。按这三条回头看素材里那些代码绝大多数第一档脚本其实合格——杀个进程就结束了第二档勉强算擦边因为改了系统状态第三档直接越线因为它自带传播能力作者自己都控制不住它跑到哪儿去。如果你确实想写一个「整到但不越界」的版本我给个模板核心是把出口放在明面上次数固定、倒计时可见、随时能取消。 可控整人三次提示每次都有明确出口不写文件、不改系统状态 Dim n, ans n 0 Do n n 1 ans MsgBox(这是第 n 次提示点取消就结束, _ vbOKCancel vbExclamation, 提示 n /3) If ans vbCancel Then MsgBox 已退出什么都没发生, vbOKOnly, 结束 Exit Do End If Loop While n 3这段东西没有一行碰文件系统没有一行调shutdown没有一行写注册表循环有次数上限用户点取消立刻Exit Do。它满足整人的全部乐趣——让人一脸懵地点几下——同时满足我上面那三条判断标准一键可中断、零持久化、不可能传播。参数上唯一需要留意的是vbOKCancel vbExclamationvbExclamation是 48配的是感叹号图标换成vbInformation64就是信息图标视觉上更「像系统提示」但意思完全一样。回过头看我踩过最大的坑不是某段代码多难拆而是早期图省事在真机上直接双击了一个「看起来只是弹窗」的脚本结果它偷偷把自己复制到了启动目录我清了半小时才彻底干净。从那以后我每次碰这类东西都强制走一遍固定流程先打快照、再断网、关共享、开三个观测窗口然后才双击。这个习惯听起来慢实际上省下的时间远超它花掉的。希望帮到你。本文还有配套的精品资源点击获取