5 月 18 日消息，当地时间 5 月 17 日，微软发布技术公告，旨在帮助企业在 VBScript 全面弃用之前检测并迁移现有环境中的 VBScript 依赖。
注：VBScript 将在未来的 Windows 版本中默认禁用，目前微软已启动分阶段弃用计划并在Win11 24H2中将 VBScript 转为 FOD 可选功能。
Sysmon（System Monitor）是 Sysinternals 提供的监控工具，支持对.dll加载行为进行细致跟踪。借助其 Event ID 7（Image Load）功能，管理员可以捕捉 vbscript.dll 何时、由哪个进程被加载。
配置 Sysmon 以追踪 vbscript.dll，配置示例如下：
<Sysmonschemaversion="4.50"><EventFiltering><ImageLoadonmatch="include"><ImageLoadedcondition="contains">vbscript.dll</ImageLoaded></ImageLoad></EventFiltering></Sysmon>要应用此配置，首先需要编辑您的 Sysmon 配置文件（通常是 sysmon-config.xml）。
使用 Sysinternals Sysmon 实用程序重新加载。
以管理员权限打开命令提示符并运行：Sysmon64.exe -c sysmon-config.xml
通过运行以下命令验证当前配置：Sysmon64.exe -c
策略二：审查 VBScript 依赖项检查以下集中管理位置中的脚本文件：
组策略脚本：扫描 //<domain>/SYSVOL 中的.vbs 文件及对 wscript.exe、cscript.exe 的调用。
计划任务：检查任务命令行的.vbs 执行痕迹。
Intune 部署的 PowerShell 脚本：排查间接调用 VBScript 的情况。
策略三：全系统扫描.vbs 文件通过 PowerScript 脚本扫描用户及脚本相关目录：
C:/Users/
C:/ProgramData/
C:/Program Files/
C:/Scripts/
C:/Windows/（可选，可能包含干扰文件）
示例 PowerShell 脚本：
$pathsToScan=@("C:/Users","C:/ProgramData","C:/Scripts")$logPath="C:/VBSScriptScan/VbsFiles_$(hostname).csv"$results=foreach($pathin$pathsToScan){if(Test-Path$path){Get-ChildItem-Path$path-Filter*.vbs-Recurse-ErrorActionSilentlyContinue|Select-ObjectFullName,LastWriteTime,Length}}$pathsToScan=@("C:/Users","C:/ProgramData","C:/Scripts")$logPath="C:/VBSScriptScan/VbsFiles_$(hostname).csv"$results=foreach($pathin$pathsToScan){if(Test-Path$path){Get-ChildItem-Path$path-Filter*.vbs-Recurse-ErrorActionSilentlyContinue|Select-ObjectFullName,LastWriteTime,Length}}策略四：扫描自定义 MSI 安装包例如以下 PowerShell 脚本可分析 MSI 包中嵌入的 VBScript 自定义动作（Action Type 6、38、50）：
Get-ChildItem-Path"C:/MSIRepo"-Recurse-Filter*.msi|ForEach-Object{$msiPath=$_.FullName$sql="SELECT*FROMCustomAction"$installer=New-Object-ComObjectWindowsInstaller.Installer$database=$installer.GetType().InvokeMember("OpenDatabase","InvokeMethod",$null,$installer,@($msiPath,0))$view=$database.OpenView($sql)$view.Execute()$record=$view.Fetch()while($record-ne$null){$actionName=$record.StringData(1)$actionType=[int]$record.StringData(2)if($actionType-eq6-or$actionType-eq38-or$actionType-eq50){Write-Output"⚠VBScriptCustomAction:$actionNamein$msiPath"}$record=$view.Fetch()}}后续行动建议
迁移替代方案：参考微软官方文档《VBScript 弃用：时间线与后续步骤》选择现代技术。
主动禁用 VBScript：在确认无依赖后，通过命令禁用：
Dism/Online/Remove-Capability/CapabilityName:VBSCRIPT~~~~影响：禁用后，依赖 VBScript 的进程（如 cscript.exe）将静默失败或报错。
微软强调，当前阶段企业应尽快完成检测与迁移，避免未来操作系统默认禁用导致业务中断。
参考资料：
《VBScript deprecation: Detection strategies for Windows - Windows IT Pro Blog》
《VBScript deprecation: Timelines and next steps | Windows IT Pro Blog》
本文链接：http://www.28at.com/showinfo-119-151321-0.html微软宣布 VBScript 弃用计划，企业需提前部署检测策略
声明：本网页内容旨在传播知识，若有侵权等问题请及时与本网联系，我们将在第一时间删除处理。邮件：2376512515@qq.com
Copyright © 2016-2023 天津谷骐科技有限公司 版权所有 sitemap.xml
违法及侵权请联系：2376512515@qq.com 津ICP备18001702号
津公网安备 12010102000574号
