简介：《VBS整人代码大全》是一份面向VBScript初学者与脚本爱好者的恶作剧代码合集，围绕消息框、系统警告、关机命令、无限循环、输入框判断、按键模拟与媒体播放等典型用法展开，可用于理解Windows脚本的基本对象调用与简单自动化原理。包内共1个docx文件，压缩包约192KB，以文档形式集中整理多段示例代码，便于对照阅读和摘录实验。目前已有11805人学习下载，说明该主题在脚本入门与趣味练习中有较高关注度。读者可从中了解MsgBox参数组合、WScript.Shell执行shutdown、Do...Loop制造循环、InputBox条件判断以及SendKeys模拟按键等写法，并借示例认识脚本可能带来的干扰与风险。文档以短小示例串联关键语法点，也可作为教学中的风险提示与安全讨论素材，提醒读者在虚拟机或隔离环境中验证，避免随意运行未知脚本。
1. VBS 整人脚本的另一面：一份老代码集里藏着的六类攻击面
前几年某公司的同事插了个 U 盘到办公机，桌面立刻蹦出一个对话框，写着“此文件无毒，请放心使用”，点掉一个又来一个，鼠标都快点冒烟了。我上去看了十分钟，问题不在杀软，而在 U 盘根目录一个几百字节的 .vbs 文件加一个 autorun.inf。顺着文件里的注释往回找，出处是流传很广的“VBS 整人代码大全”——一份把 Visual Basic Script 那点小能力攒成集子的老帖。
这类合集在网上流传十几年，多数人只当笑话看，但它其实是一份极好的安全入门教材：弹窗轰炸、假重启、模拟按键、光驱弹仓、U 盘自复制、进程终止，六类手法基本覆盖了脚本能碰到的全部系统面。这篇不去教谁害人，而是把这六类手法逐条拆开，讲清每一行动了系统哪根筋、在什么系统版本上还有效、防御方又该怎么一条条掐死，中间给一套虚拟机里的隔离实验流程。想搞明白 VBS 边界的人、被这类脚本坑过的运维、刚入安全门的新手，都能照着自己的位置取一段用。
2. 六类手法逐条拆：每一行脚本到底动了系统的哪根筋
2.1 弹窗与输入框：最轻的一档，也是传播最广的一档
MsgBox 是 VBS 里最容易上手的函数，参数结构就三段：提示文本、按钮与图标常量、标题。原文里出现的4、64、vbOKCancel、vbInformation这些，全是按钮和图标常量的不同写法——vbOKOnly是 0，vbYesNo是 4，vbInformation是 64，混着写只是作者随手。真正让它变成“整人”的不是参数，而是外面套的那层Do ... Loop：循环体里反复调用 MsgBox，进程不退出，用户点多少次都没用。
单次弹窗本身没有危害，理解参数结构是必要的：
' 单次弹窗示例：参数顺序为 提示文本, 按钮与图标常量, 标题 ' vbOKOnly = 0，vbInformation = 64，两者相加即 64 MsgBox "这是一条普通提示", vbOKOnly + vbInformation, "示例"InputBox 更有意思，完整签名是InputBox(prompt, title, default, xpos, ypos)。原帖里出现过8000, 7000这种坐标参数，作用是把这个输入框扔到屏幕右下角，让用户第一眼找不到；再加上超时和默认值，就形成了“必须输入某个词才放行”的胁迫感。从技术上看这毫无难度，但从社会工程角度看，它踩中了人面对未知对话框时的服从心理——这也是所有恶作剧脚本的共同底座。
判断一档弹窗脚本是“烦人”还是“有害”，我一般看三点：循环体有没有退出条件、循环里有没有 Sleep 之类的节流、外层有没有伴随文件或进程操作。没有退出条件又没有节流的纯弹窗，危害等级只到“骚扰”，处置方式是任务管理器结束wscript.exe或cscript.exe，不需要重装系统。带文件写入、带自启动注册的，才需要往上一档处理。
2.2 shutdown 参数被借用：为什么普通账户也能把机器关掉
原文里最抓眼的一段，是伪装成系统提示，然后调objShell.Run "shutdown -s -t 5"。这里的关键不是 VBS，而是 Windows 自带的 shutdown 命令本身参数就很全：-s关机、-r重启、-t倒计时秒数、-c关机对话框里显示的注释、-a中止。脚本只是把这条命令包了一层好看的壳，让用户以为点了“取消”其实点了“确定”。
这条命令可以自己验证参数含义，倒计时给足，随时能撤：
:: -s 关机，-t 60 表示 60 秒后执行，-c 是关机提示里显示的文字 shutdown -s -t 60 -c "演示：60 秒后关机" :: 反悔用 -a，中止当前挂起的关机任务 shutdown -a很多人以为关机是高权限操作，其实默认情况下普通用户组就持有“关闭系统”这项特权，这是为了让用户能正常关机。所以整人脚本根本不需要管理员权限，一个受限账户双击就能把机器关掉。真正需要管理员权限的是后面那些改注册表、写系统目录、终止受保护进程的动作，这也是区分“轻度恶作剧”和“需要提权处置”的分水岭。
从应急角度看，shutdown -a是第一反应，但如果脚本外层是循环，中止后几秒内又被重新发起，单靠-a是追不上的——这一点放到第 5 章细说。真正的止损是先把wscript.exe进程结束掉，再执行中止，顺序不能反。
2.3 SendKeys 与光驱对象：输入模拟和硬件控制在恶作剧里的用法
WScript.Shell对象提供SendKeys方法，可以把字符串当成键盘输入发给当前前台窗口。原文里那句循环发送{F5}，效果取决于当时哪个窗口在前台：浏览器里就是无限刷新，记事本里就是打不出东西，资源管理器里就是反复刷新视图。它的能力边界很明确——只能发到前台窗口，后台进程收不到，所以脚本通常会配合弹窗或强制激活窗口来提高命中率。
另一个是WMPlayer.ocx暴露的cdromcollection集合，取第 0 个设备调eject()，就是让光驱弹仓反复进出。这个手法在当年很有画面感，现在基本失效了：大量机器没有光驱，cdrom.count直接为 0，脚本会因为取不到对象而报错退出。写这类脚本的人往往靠On Error Resume Next把错误吞掉，所以你在现场看到的现象可能是“什么都没发生”，而不是“脚本没跑”。
这一类的识别特征很集中：SendKeys、cdromcollection、WMPlayer.ocx、sapi.spvoice（语音合成，原文里用来循环念一句话）。做静态排查时把这几个关键字列进特征表，命中之后再看它被放在什么循环里、有没有条件分支，基本能判断出影响范围——是只影响当前交互会话，还是会持续占用设备。
2.4 自复制与 autorun 链条：从 U 盘根目录到全盘蔓延
原文后半段那个带“警告：请不要运行”注释的版本，是整份合集里唯一真正具备蠕虫特征的代码。它的骨架并不复杂：枚举所有驱动器，判断驱动器类型是不是可移动盘或固定盘，然后把自己复制到目标盘根目录、改属性为隐藏加系统、再写一个 autorun.inf 指向自己。这套动作在 Windows 98 到 XP 时代几乎无往不利，插盘即执行。
传播链条的核心在 autorun.inf 的两个字段：open=指定双击盘符时执行什么，shell\open\command=指定右键“打开”时执行什么。老系统插入介质后会自动读取并执行，用户什么都不用做就中招了。现在这条链基本被掐断——较新的系统不再对可移动介质执行 autorun，只对光盘类介质保留，加上 U 盘默认策略的变化，插盘自动运行已经很难复现。
但风险没有归零，只是换了形态：隐藏属性的目录、伪装成快捷方式的 lnk、根目录里跟文件夹同名的 exe，这些替代手法至今活跃。所以防御上不能只盯着 autorun.inf 一个文件名，得看“根目录 + 隐藏属性 + 可执行脚本”这个组合。日常排查可以扫一遍各盘根目录里不该出现的东西：
# 只列举，不执行任何文件；-Force 用于把隐藏项也带出来 Get-PSDrive -PSProvider FileSystem | ForEach-Object { Get-ChildItem -Path $_.Root -Force -ErrorAction SilentlyContinue | Where-Object { $_.Name -match '^(autorun\.inf|.*\.(vbs|lnk|exe))$' } }排除掉系统盘的正常项，剩下的就值得逐个看签名和属性了。这段代码的价值在于它能覆盖“已经改名的 autorun”这类变体——名字变了，位置和属性的规律没变。
2.5 进程终止与自我派生：ntsd 蓝屏和 fork 炸弹的失效与残留
原文里标注“最厉害的一个”，反而是最短的一段：do createobject("wscript.shell").run chr(34) & wscript.scriptname & chr(34) loop。翻译过来就是“无限启动自己”。每一次循环都拉起一个新进程，进程数呈指数增长，几十秒内就能把内存和进程表吃干净，机器卡死到只能硬断。这在恶意代码分类里叫 fork 炸弹，原理简单粗暴，防不住是因为它没利用任何漏洞，纯粹在消耗合法资源。
另一个是ntsd -c q -pn winlogon.exe。ntsd 是调试器，-pn按进程名附加，-c q表示附加后立即退出。把调试器挂到会话管理器进程上再让它退出，会导致该进程异常终止，系统失去关键进程后直接蓝屏重启。这个手法只对 NT、2000、XP 那一代有效，Vista 之后 winlogon 受保护进程机制约束，普通权限附加不上，脚本会直接失败。
这两类东西的意义不在于“现在还能不能用”，而在于它们划出了脚本能力的边界：不碰漏洞也能让系统不可用，靠的是合法功能被滥用。所以评估一份脚本的危害等级时，我会专门看两处——有没有run自己、有没有指向系统关键进程的调试器或 taskkill 调用。命中任何一处，就不该在实体机上试，必须进虚拟机。
3. 拆完还要会看：虚拟机里的隔离实验流程
3.1 开跑之前：快照、断网、独立账户三件事
准备工作比实验本身重要。第一步是建快照，干净系统装完就拍一张，后续无论跑出什么结果，回滚点一下，五分钟回到原点。第二步是断网，把虚拟机网卡设成“仅主机”或者干脆断开，避免任何脚本往外发东西、也避免它去碰局域网里的共享。第三步是建一个独立的本地标准账户，不用管理员账户跑，这样能同时观察“受限权限下哪些动作会失败”，这个信息对判断危害等级很有用。
还需要关掉宿主机的共享通道：共享文件夹、剪贴板共享、拖放，全关。这三个是虚拟机逃逸类事故的高发入口，脚本往共享目录里写一个自启动项，快照回滚了也清不掉宿主机上的残留。我在实验机上还会额外禁用宿主机到虚拟机的磁盘映射，宁可传文件用只读的 ISO 挂载。
环境就绪的判断标准很简单：拍完快照、断网、关共享、标准账户登进去，桌面上除了系统图标什么都没有。这套流程每次实验前都走一遍，看起来啰嗦，但能省掉后面所有“到底哪一步污染了”的扯皮。
3.2 静态判级：不运行也能给脚本定危险等级
拿到一份 VBS，先别双击。用记事本或者任意编辑器打开，做关键字匹配，这一步能过滤掉八成“看着吓人其实无害”的样本。我常用的特征分三组：执行类（WScript.Shell、Run、Exec、SendKeys）、破坏类（shutdown、taskkill、ntsd、delete、copyfile、copyfolder）、持久化类（autorun、CurrentVersion\Run、CreateTextFile写启动项）。
手工看太慢，用一段只读的扫描脚本把命中行列出来，人只看命中的部分：
# 纯文本匹配，不执行目标脚本；-AllMatches 抓一行里的多个命中 $patterns = 'shutdown\s+[-/][sr]', 'sendkeys', 'autorun\.inf', 'ntsd', 'cdromcollection', 'sapi\.spvoice', '\.run\b', 'copyfile', 'copyfolder' Get-ChildItem -Path "C:\Samples" -Filter *.vbs -Recurse | Select-String -Pattern $patterns -AllMatches | Select-Object Path, LineNumber, Line看到Run和shutdown同时出现，基本可以定性为“会关机”；看到copyfile加上驱动器枚举，就要按传播型处理；看到cdromcollection单独出现，多半是老帖子里抄来的、现在跑不动。这套判级不看作者意图，只看能力，比凭感觉靠谱得多。
3.3 动态观察：盯住进程、文件、注册表三类事件
静态判完级，进虚拟机跑，同时把三类事件盯住。进程维度看wscript.exe的数量变化——短时间从 1 个涨到几十个，就是自我派生的信号，这时候直接断电源比等它卡死强。文件维度看根目录和临时目录的新增，尤其是带隐藏属性的。注册表维度看Run、RunOnce和文件关联位置有没有被改写。
工具上不需要多花哨，系统自带的资源监视器加一个文件监控就够。真想看得细，把进程树拉出来，看wscript.exe派生出的子进程是cmd.exe、shutdown.exe还是它自己，三种情况对应三种不同的处置思路。观察期间不要在前台开着重要文档，脚本的SendKeys是发给前台窗口的，容易误伤。
有个细节值得留意：带On Error Resume Next的脚本会吞掉大量错误，导致现场看起来“什么都没发生”。所以观察时不能只看屏幕，必须看进程和文件的实际变化。屏幕安静不代表脚本没动作，这种“黑匣子”式的样本最容易骗过初次接触的人。
3.4 收尾：回滚快照和清理宿主机残留
实验结束，先在虚拟机里做一次观察记录，把命中的行为、生成的文件、改动的注册表项列清楚，再回滚快照。顺序不能反，回滚了就看不到现场了。记录里我习惯附上关键代码片段的行号，方便回头跟静态扫描的结果对齐。
回滚之后检查宿主机：共享目录、下载目录、挂载的 ISO 目录，逐个确认没有新增文件。这一步经常被跳过，但恰恰是最容易出事的地方——脚本往共享目录里扔一个自启动项，你以为快照回滚了就干净了，其实宿主机上还留着。
整套流程走下来，一份样本从接触到出结论大概半小时。比起“双击看看会怎样”，半小时换来的是一份可以复用的判级记录，下次遇到同类样本，对照特征表就能直接定性。
4. 防御侧的封堵清单：把六条能力一条条掐死
4.1 关掉脚本宿主与文件关联，断了执行入口
最彻底的一刀是关掉 Windows Script Host。VBS 和 JS 都靠它执行，关掉之后双击 .vbs 只会弹一个“脚本宿主被禁用”的提示，脚本内容一行都跑不起来。这对绝大多数办公机没有副作用，毕竟真正需要跑 VBS 的业务脚本很少，真有也可以走cscript白名单放行。
:: 关闭 Windows Script Host（管理员权限执行） reg add "HKLM\SOFTWARE\Microsoft\Windows Script Host\Settings" /v Enabled /t REG_DWORD /d 0 /f :: 需要恢复时把值改回 1，或直接删除该键值 :: reg add "HKLM\SOFTWARE\Microsoft\Windows Script Host\Settings" /v Enabled /t REG_DWORD /d 1 /f企业环境里用组策略下发更规范，路径在“计算机配置 - 管理模板 - Windows 组件 - Windows Script Host”，把“已启用”关掉即可，终端用户改不回来。这一条对 2.1 到 2.5 的所有手法都有效，因为它们的入口全都是脚本宿主。
如果业务上不能一刀切，退一步改文件关联，把 .vbs 的默认打开方式从wscript.exe改成记事本。用户双击看到的是代码而不是执行结果，误触的概率大幅下降。这一招不影响cscript命令行调用，兼容性更好。
4.2 关自动运行、收回关机权限，断了效果出口
autorun 那条链要单独堵。可移动介质的自动运行策略早就默认收紧了，但内网里跑着老系统的机器仍有残留，统一关掉更省心：
:: 关闭所有驱动器的自动运行，255 表示全部类型 reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveTypeAutoRun /t REG_DWORD /d 255 /f关机权限是另一条线。默认普通用户能关机是为了方便，但如果一台机器承担着不能随便重启的职责，就该把“关闭系统”这项特权从普通用户组里摘掉，只留给管理员。这样即使有人误跑了带shutdown的脚本，命令也会因为权限不足而失败，屏幕上留下一条错误提示，反而成了告警。
这两条加在一起，等于把“持久化入口”和“即时效果出口”都关上了。脚本还能被写出来、还能被打开看，但跑不出效果，危害从“系统不可用”降到“一段没人执行的文本”。
4.3 白名单与日志：让“跑起来了”这件事有痕迹
前面两条是预防，这一条是发现。脚本执行天然适合做白名单——正常业务里谁需要跑 VBS、跑哪个路径、什么签名，列得出来。应用控制策略按路径和哈希放行，白名单之外的 .vbs 一律拦截，拦截日志就是最好的告警源。
脚本块日志也值得开。它记录脚本内容片段和执行上下文，事后追溯时能直接看到跑了什么，不用靠猜。开启方式是组策略里的“打开 PowerShell 脚本块日志记录”，VBS 侧则依赖进程创建日志配合命令行参数记录。日志量会涨，所以只对关键几台机器开，或者按需临时开。
最后补一条低成本的习惯：在文件服务器和共享目录上做写入审计。整人脚本的传播靠复制，复制就要写文件，写入审计能第一时间发现“某个共享目录突然多了几个 .vbs”。这一条我在几个环境里都推过，误报极少，因为正常业务往共享目录扔 VBS 的场景本来就少。
5. 踩过的坑：五条排查记录和它们的真实原因
5.1 现象：双击没反应。原因：WSH 早就被禁了
有一台机器用户报“中了病毒但没发作”，我过去一看，桌面上的 .vbs 双击之后弹了个“脚本宿主被禁用”的框就没了。用户以为杀软挡住了，其实是半年前做过一次安全加固，注册表里Windows Script Host\Settings\Enabled被设成 0。解决方式很简单，把文件挪到隔离目录，确认没有其他残留就行，不用重装也不用全盘杀毒。
这个坑的教训是：排查前先确认环境状态，别默认“脚本跑起来了”。判断方法一眼就能看——双击试一下，或者直接查那个注册表值。如果机器上 WSH 是关的，那么所有 VBS 类样本的危害等级都要往下调一档，因为它们根本执行不了。
5.2 现象：快照回滚了还中招。原因：共享目录和剪贴板没关
一次实验里，脚本在虚拟机里跑完，我回滚了快照，结果第二天宿主机桌面上多了一个 .vbs 文件。查了半天，问题出在虚拟机的共享文件夹是开着的，脚本枚举驱动器的时候把共享目录当成了可写盘，直接复制了一份过去。快照只回滚虚拟机的磁盘，宿主机上的文件它管不着。
解决办法是实验前把共享文件夹、剪贴板共享、拖放全关掉，需要传样本就用只读 ISO。已经污染的宿主机，按 2.4 里那段扫描脚本扫一遍根目录和共享目录，把带隐藏属性的可疑文件清掉，再检查启动项。这个坑我踩过一次之后就写进了流程清单，现在每次开虚拟机第一件事就是确认这三个开关是关的。
5.3 现象：shutdown /a 停不住。原因：脚本在循环里重新发起
用户打电话说电脑一直弹“即将关机”，我远程上去执行shutdown -a，提示中止成功，两秒后又弹出来。原因是脚本外层套了循环，每次Run之后有延时，-a中止的是当前那一个挂起任务，循环下一轮又发起一个新的。光靠-a追不上，得先把发起者干掉。
正确顺序是先结束wscript.exe进程，确认进程列表里没有新的脚本宿主在跑，再执行shutdown -a。如果脚本还派生了子进程，把子进程一起结束。这一步做完，关机提示才会真正消失。后来我在应急手册里把顺序写死了：先断源，再中止，不能反。
5.4 现象：Autoruns 里查不到。原因：隐藏加系统属性把条目藏了
有个样本明明写了 autorun.inf，用启动项查看工具却看不到。原因是脚本在复制之后把文件属性改成了隐藏加系统（属性值 7），而部分查看工具默认过滤系统属性项。在资源管理器里也是同样的情况——默认不显示受保护的系统文件，用户看着是个空 U 盘，其实根目录躺着东西。
解决方式是查看时强制显示隐藏和系统文件，命令行用-Force参数列目录，图形界面在“查看”里把两个勾都打上。排查 U 盘类样本，我现在的习惯是命令行直接列，不信任图形界面的默认过滤。这个小细节漏掉，很容易得出“盘是干净的”这个错误结论。
5.5 现象：重装系统白折腾。原因：没做行为分级就下了结论
早期遇到过一次，用户说电脑被病毒搞坏了，我图省事直接重装。装完复盘才发现，原始样本只是一个无限弹窗脚本，结束进程就完事，数据一条没丢，重装纯属浪费半天。这件事之后我给自己定了规矩：任何样本先做行为分级，再决定处置动作，绝不上来就重装。
分级标准就是第 3 章那套——看它有没有写文件、有没有改启动项、有没有碰系统关键进程。三样都没有的，结束进程加清理文件就够；有其中一样的，按对应流程处理；三样都占的，才考虑重装并做数据备份。这套判断依据比“感觉严重”可靠得多，也省下了大量不必要的工作量。
6. 把好奇心放在可控的地方：从一份老代码集出发的三条练习路径
那份合集里最值钱的东西不是代码，是它把脚本能碰到的系统面挨个点了一遍。真想从里面学到东西，我建议按三条路径走，每条都落在可控范围内。
第一条是能力边界练习。把每个手法单独拎出来，在虚拟机里跑一遍，记录它在当前系统版本上是否还生效，为什么不生效。比如ntsd附加 winlogon 在新系统上会失败，失败原因是什么，查一下保护进程机制就明白了。这种“验证失效”的练习比“验证有效”更有价值，因为它逼你去理解机制，而不是记住一行代码。
第二条是检测规则练习。拿第 3 章那段静态扫描脚本当起点，自己扩充特征表，然后找一些正常业务的 VBS 脚本来跑，看误报有多少。误报高的特征就删掉或者加限定条件，反复几轮，你会对“什么样的特征才叫好特征”有直觉。这套功夫在真实的应急响应里天天用得上。
第三条是防御验证练习。在虚拟机里先按第 4 章把 WSH 关掉、autorun 关掉、关机权限收掉，然后再跑一遍样本，看它卡在哪一步、报什么错。这个反向验证能让你清楚每条防御措施到底挡住了什么，而不是背一条“关闭脚本宿主可提升安全性”的空话。做安全的人最怕的就是只知道要关，不知道关了之后挡住的是哪一类行为。
三条路径走完，你对 VBS 的理解就不会停在“能整人”这个层面了。它会变成一个具体的、有边界的执行环境，你知道它能做什么、不能做什么、在什么条件下失效、防御方从哪几个位置掐它。这个认知迁移到 PowerShell、批处理、甚至宏文档上，逻辑是通的。
最后说个自己的习惯。从那以后我每次碰到来路不明的脚本文件，不管它看起来多无害，都强制走一遍流程：先看扩展名和属性，再静态扫关键字，判完级才决定要不要进虚拟机，进虚拟机之前必拍快照、必断网、必关共享。这套动作现在做得比系安全带还自然，前后也就多花几分钟，但省掉的麻烦是实打实的。希望帮到你。
本文还有配套的精品资源，点击获取
