使用 WScript.exe 運行腳本
WScript.exe 是 Windows 腳本宿主的一個版本，用來在 Windows 中運行腳本。WScript.exe 提供了基於 Windows 的對話框，用於設置腳本屬性。 使用 WScript.exe，可以通過下列方式在 Windows 下運行腳本：
- 雙擊文件或圖標。包括：“我的計算機”、“Windows 資源管理器”、“查找 ”窗口、“開始 ”菜單或桌面上的文件或圖標。
- 在開始 菜單的運行 命令中輸入腳本的名字。按開始 按鈕， 選擇運行 ，然后輸入希望運行的腳本的完整名稱，包括其擴展名和必要的路徑信息。
- 在運行 命令中輸入 WScript.exe ，然后寫上腳本的名字。按下開始 按鈕，選擇運行 ，然后輸入WScript， 后面寫上要運行的腳本的完整名稱和路徑。
如果被雙擊的腳本文件的擴展名尚未與 WScript.exe 關聯， 出現的將是“打開方式 ”對話框，詢問使用什么程序將文件打開。 選擇 WScript，然后選中“始終使用該程序打開這種類型的文件 ”選擇框，將 WScript 注冊具有相同擴展名的所有文件的缺省應用程序。 例如，如果在運行 Chart.vbs 時選中了此選擇框，則 WScript.exe 將成為具有 .vbs 擴展名的所有文件的缺省應用程序。
WScript.exe 屬性對話框提供了下列選項：
| 屬性 | 描述 | 對應的 CSCRIPT 表示 |
|---|---|---|
| 在指定的秒數后停止腳本。 | 指定腳本能夠運行的最長秒數。缺省值是無限制。 | //T:nn |
| 當腳本在命令控制台中執行時顯示徽標。 | 在運行腳本之前顯示標題。這是缺省設置。與此相反的是 //nologo。 | //logo 或 //nologo |
使用 WScript.exe 屬性 對話框，可以為 WScript 在本地計算機上運行的所有腳本設置全局腳本選項。 此外，還可以使用 .whf 文件為單獨的腳本設置選項。有關細節，請參閱 設置腳本屬性 。
如果 Windows 腳本宿主是隨 Windows NT(R)2000 帶來的， 則不需要提供腳本的文件擴展名。只需要 鍵入腳本的名稱，或者在 Windows 資源管理器中雙擊腳本即可。
一些惡意文件案例：
https://any.run/report/3aed3315e667eddd7fedb3aa2c65af9c56f9b360d4bc1f5381ed2b0fec28ad7b/bbea9b57-a52f-4e71-a7c5-cb2709da75e5
payload：
- "C:\Windows\System32\WScript.exe" "C:\Users\admin\AppData\Local\Temp\CPUUsage.vbs"
- "C:\Windows\System32\WScript.exe" "C:\Users\admin\AppData\Local\Temp\Launcher.vbs"
- "C:\Windows\System32\WScript.exe" "C:\Users\admin\AppData\Local\Temp\mrsmajorlauncher.vbs"
https://any.run/report/df6d6820ec2e91ba46c3cf68415b7c9775c6284544f0ba5e2e22126e0dbf16cc/174858b8-cf9f-4465-b202-19c2cc8cea9a
payload:
- "C:\Windows\System32\WScript.exe" "C:\Users\admin\AppData\Local\Temp\compile.vbs"
https://any.run/report/674aec9cc16f05ca5294086be783e1adc164597910b470dd5ce60238772819bd/f362a793-e7c1-4fc8-8365-9426388ea9d1
payload:
- "C:\Windows\System32\WScript.exe" "C:\Users\admin\AppData\Local\fSWGZUPoWDfHoEisLI.vbe"
https://any.run/report/77ba7bba82eabb82fd6d35ce24bf45150da2461cb0e6f794960b7ca0cb52e08e/e16695a5-03c3-41bf-977a-a3dcdd88c461
payload:
- "C:\Windows\System32\WScript.exe" "C:\Users\admin\AppData\Roaming\crack.vbs"
- "C:\Windows\System32\wscript.exe" //B "C:\Users\admin\AppData\Local\Temp\crack.vbs"
使用cscript的案例：
https://any.run/report/3d5d9bc94be3d1b7566a652155b0b37006583868311f20ef00283c30314b5c61/5a31d443-b580-473e-a0d0-a505cec704c3
payload：
- cscript x.js
https://any.run/report/628e54fd63a30da509b1e6006639bfbb457c753d5e029ca0eda32197b06ebb58/7e9bbe25-d396-472b-a288-9bf7d3d611b8
payload：
- "C:\Windows\System32\cscript.exe" "shell_scripts/check_if_cscript_is_working.js"
- "C:\Windows\System32\cscript.exe" shell_scripts/shell_ping_after_close.js "http://i-50.b-000.XYZ.bench.utorrent.com/e?i=50&e=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"
- "C:\Windows\System32\cscript.exe" shell_scripts/shell_ping_after_close.js "http://i-50.b-000.XYZ.bench.utorrent.com/e?i=50&e=eyJldmVudE5hbWUiOiJoeWRyYTEiLCJhY3Rpb24iOiJodGFDYW5jZWxsZWQiLCJwaWQiOiI5NDgiLCJoIjoiRFdoOGRpZ1R5X3lkTlhqMSIsInYiOiIxMTE5MTYwNDIiLCJiIjo0NjA5MCwiY2wiOiJ1VG9ycmVudCIsIm9zYSI6IjMyIiwic2xuZyI6ImVuIiwiZGIiOiJJbnRlcm5ldCBFeHBsb3JlciIsImRidiI6IjExLjAiLCJpYnIiOlt7Im5hbWUiOiJGaXJlZm94IiwidmVyc2lvbiI6IjkxLjAiLCJleGVOYW1lIjoiZmlyZWZveCJ9LHsibmFtZSI6Ikdvb2dsZSBDaHJvbWUiLCJ2ZXJzaW9uIjoiODYuMCIsImV4ZU5hbWUiOiJjaHJvbWUifSx7Im5hbWUiOiJJbnRlcm5ldCBFeHBsb3JlciIsInZlcnNpb24iOiIxMS4wIiwiZXhlTmFtZSI6ImlleHBsb3JlIn0seyJuYW1lIjoiT3BlcmEgSW50ZXJuZXQgQnJvd3NlciIsInZlcnNpb24iOiIxMi4xNSIsImV4ZU5hbWUiOiJvcGVyYSJ9XSwiaXAiOiIxNTcuOTcuMTIwLjEzIiwiY24iOiJEZW5tYXJrIiwicGFja2lkIjoibGF2YXNvZnRfYmluZyJ9"
https://any.run/report/4d5fe2e9d4b3efb5ae132268bfe1695598867391a08edf5495e476aa6dc39c0d/72c19bff-db25-428c-ada0-686d96c68182
payload：
- cscript "C:\Users\admin\AppData\Local\Temp\IofcTcf.vbs"