核心技術鏈：WSH + VBScript + 註冊表

WSH (Windows Scripting Host)：獨立於語言的腳本執行環境（wscript.exe/cscript.exe），Win98 內建，Win95/NT 需安裝。呼叫 IE 的 VBScript/JScript 引擎解析腳本。

VBScript 操作註冊表四大核心方法

' 1. 建立 Shell 物件
Set RegWsh = WScript.CreateObject("WScript.Shell")

' 2. 讀取鍵值
value = RegWsh.RegRead("HKCU\MyRegKey\")

' 3. 建立/修改鍵值
RegWsh.RegWrite "HKCU\MyRegKey\", "值", "REG_SZ"

' 4. 刪除鍵值
RegWsh.RegDelete "HKCU\MyRegKey\"

路徑參數結構

根鍵\主鍵路徑\鍵值

• 根鍵縮寫：HKCU、HKLM、HKCR
• 主鍵路徑用 \ 分隔
• 以 \ 結尾表示操作整個主鍵

惡意腳本典型特徵

• 修改 HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools 禁用 Regedit
• 修改 IE 首頁：HKCU\Software\Microsoft\Internet Explorer\Main\Start Page
• 建立啟動項：HKLM\Software\Microsoft\Windows\CurrentVersion\Run
• 竄改檔案關聯、安全策略等

防範與修復三部曲

1. 移除/升級 WSH

• Win98：控制台 → 新增移除程式 → Windows 元件 → 取消 WSH
• Win2000：資料夾選項 → 檔案類型 → 刪除 VBScript Script File
• 升級 WSH 5.6 修補漏洞

2. 限制腳本執行權限

• IE 安全等級設「高」，停用 ActiveX/腳本
• 檔案類型關聯：將 .vbs/.js 關聯到記事本而非 WSH

3. 註冊表修復腳本範例

' 解除 Regedit 封鎖
Set WshShell = WScript.CreateObject("WScript.Shell")
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools"
WshShell.RegDelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools"
' 恢復 IE 首頁
WshShell.RegWrite "HKCU\Software\Microsoft\Internet Explorer\Main\Start Page", "about:blank", "REG_SZ"

給使用者的建議

1. 不隨意雙擊 .vbs/.js/.wsf 等腳本檔
2. 郵件附件先存檔掃毒再開啟
3. 定期匯出註冊表備份（Regedit → 檔案 → 匯出）
4. 懷疑中毒時，安全模式下執行修復腳本

結語

腳本門檻低、威力大、難防範。理解 WSH/VBScript 操作註冊表機制，才能從根本識別並中和惡意代碼。