传统vbscript通过`msxml2.xmlhttp`和`adodb.stream`下载文件时，常因其与恶意软件的关联模式而被杀毒软件误报。本文将介绍一种优化方案，利用系统内置的`curl`命令行工具进行文件下载，并直接执行，从而有效减少vbscript代码被杀毒软件检测的风险，同时简化代码逻辑，提升执行效率。
VBScript文件下载与杀毒软件检测的挑战
在VBScript中，使用MSXML2.XMLHTTP对象进行网络请求，结合ADODB.Stream对象将响应体写入本地文件，是一种常见的远程文件下载方式。然而，由于这种模式经常被恶意软件利用来下载并执行载荷，许多杀毒软件会将其视为高风险行为，即使是合法的脚本也可能因此被误报或拦截。这给开发者带来了困扰，尤其是在需要分发和运行合法应用程序时。
原有的VBScript代码示例，通过创建MSXML2.XMLHTTP和ADODB.Stream对象来下载PuTTY可执行文件，并随后创建快捷方式并运行。这种方法虽然功能上可行，但其内部实现机制容易触发杀毒软件的启发式检测。
Set objShell = CreateObject("WScript.Shell")
strTempPath = objShell.ExpandEnvironmentStrings("%TEMP%")
strShortcutPath = strTempPath & "\PuTTY.lnk"
strTargetPath = "https://the.earth.li/~sgtatham/putty/latest/w64/putty.exe"
' 下载PuTTY可执行文件
strDownloadURL = strTargetPath
strDownloadPath = strTempPath & "\putty.exe"
Set objXMLHTTP = CreateObject("MSXML2.XMLHTTP")
objXMLHTTP.open "GET", strDownloadURL, False
objXMLHTTP.send()
If objXMLHTTP.Status = 200 Then
Set objADOStream = CreateObject("ADODB.Stream")
objADOStream.Open
objADOStream.Type = 1
objADOStream.Write objXMLHTTP.ResponseBody
objADOStream.Position = 0
objADOStream.SaveToFile strDownloadPath
objADOStream.Close
End If
' 创建快捷方式
Set objShellLink = objShell.CreateShortcut(strShortcutPath)
objShellLink.TargetPath = strDownloadPath
objShellLink.Save
' 执行PuTTY
objShell.Run strShortcutPath这段代码的问题在于，MSXML2.XMLHTTP和ADODB.Stream的组合在安全产品眼中，往往与“下载恶意载荷”的行为模式高度吻合，导致即使下载的是合法软件，也可能被标记为可疑。
采用Curl规避检测的优化方案
为了解决这一问题，我们可以利用Windows 10及更高版本操作系统中内置的curl命令行工具。curl是一个功能强大的数据传输工具，支持多种协议，常用于命令行环境下的文件下载。由于curl本身是一个合法的系统工具，通过WScript.Shell调用它来执行下载操作，可以有效降低VBScript脚本本身的“可疑度”。
优化后的VBScript代码如下，它将下载和执行逻辑精简至六行，显著提升了代码的简洁性和规避检测的能力：
Set oWSH = CreateObject("WScript.Shell")
Temp = oWSH.ExpandEnvironmentStrings("%TEMP%")
URL = "https://the.earth.li/~sgtatham/putty/latest/w64/putty.exe"
Exe = Temp & "\putty.exe"
oWSH.Run "curl -L -X GET """ & URL & """ -o """ & Exe & """",0,True
oWSH.Run """" & Exe & """"代码解析
- Set oWSH = CreateObject("WScript.Shell"): 创建WScript.Shell对象，用于执行外部命令和访问系统环境变量。
- Temp = oWSH.ExpandEnvironmentStrings("%TEMP%"): 获取当前用户的临时文件夹路径。这是下载文件常用的安全位置。
- URL = "https://the.earth.li/~sgtatham/putty/latest/w64/putty.exe": 定义要下载的目标文件的URL。
- Exe = Temp & "\putty.exe": 定义下载文件在本地临时文件夹中的完整路径和文件名。
- oWSH.Run "curl -L -X GET """ & URL & """ -o """ & Exe & """",0,True: 这是核心下载命令。
- curl: 调用系统内置的curl工具。
- -L: 允许curl跟随HTTP重定向。这对于下载链接可能发生跳转的情况非常有用。
- -X GET: 明确指定使用GET方法进行HTTP请求。
- """ & URL & """: 将URL变量插入到curl命令中，使用双引号包裹以处理可能包含特殊字符的URL。
- -o """ & Exe & """: 指定将下载的内容保存到Exe变量指定的本地路径。同样，使用双引号包裹路径。
- 0: WScript.Shell.Run方法的第二个参数，表示窗口样式。0表示隐藏窗口运行curl命令，使其在后台静默执行。
- True: WScript.Shell.Run方法的第三个参数，表示是否等待程序执行完毕。True表示VBScript将等待curl下载完成后再继续执行后续代码，确保文件下载完成才能执行。
- oWSH.Run """" & Exe & """": 直接运行下载到本地的PuTTY可执行文件。这里不再创建快捷方式，而是直接执行可执行文件，进一步简化了流程并减少了潜在的复杂性。
优势与注意事项
- 规避检测：通过调用系统合法的curl工具进行下载，而不是使用VBScript内部的下载对象，可以有效降低脚本被杀毒软件误报的风险。杀毒软件更倾向于信任系统工具的行为。
- 代码精简：优化后的代码行数更少，逻辑更清晰，易于维护。
- 效率提升：curl通常在下载大文件时表现出更高的效率和稳定性。
- 直接执行：省去了创建快捷方式的步骤，直接执行下载的程序，减少了不必要的中间环节。
注意事项：
- curl可用性：此方法依赖于目标系统上curl命令的可用性。Windows 10版本1803及更高版本，以及Windows Server 2019及更高版本默认内置了curl。在旧版Windows系统上，可能需要手动安装curl或寻找其他下载方案。
- 合法用途：此教程旨在提供一种技术解决方案，以应对合法脚本被误报的问题。请务必确保您的代码和下载内容是合法且安全的，任何恶意用途都将受到法律制裁，并且最终仍会被行为分析或其他安全机制检测到。
- 文件信誉：即使下载过程本身不易被检测，但下载的文件本身的信誉（例如，是否是已知恶意软件）仍会被杀毒软件扫描和检测。
总结
通过将VBScript中的文件下载任务委托给系统内置的curl工具，我们可以有效地规避传统VBScript下载方式容易触发杀毒软件误报的问题。这种方法不仅使代码更简洁、更高效，而且在合法应用场景下提供了更强的隐蔽性。开发者在编写VBScript脚本时，应优先考虑利用系统工具来执行敏感操作，以提高脚本的稳定性和兼容性，同时减少不必要的安全警报。
