服务器如何防范ASP木马进一步的侵蚀(页 1) - 原创专区 - 【3.A.S.T】网络安全爱好者 -- 网络安全，势在必行

柔肠寸断 发表于 2008-11-3 21:38

服务器如何防范ASP木马进一步的侵蚀

[quote]很多网站被上传了webshell，自然就危害到了服务器的安全，现在我就来谈谈怎么防止ASP木马的进一步侵蚀，阿呆发布了一篇关于服务器安全的文章，大家可以去看看[/quote] D%?7Qb$BR

[b]原创作者：柔肠寸断【3.A.S.T】([/b][url=http://www.3ast.com.cn][b]http://www.3ast.com.cn[/b][/url][b])[/b]fE_:s6gX
[b]信息来源：3.A.S.T网络安全技术团队[/b]
防止ASP木马,主要通过修改三个组件来达到防asp木马攻击.
FileSystemObject组件---对文件进行常规操作.r P5nJrr qY
WScript.Shell组件---可以调用系统内核运行DOS基本命令.
Shell.Application组件--可以调用系统内核运行DOS基本命令.&Wx C%L2V d
6i)Sfn8q eY0MY[
[b]一.使用FileSystemObject组件[/b]
[quote]
1.可以通过修改注册表，将此组件改名，来防止此类木马的危害.
HKEY_CLASSES_ROOT\Scripting.FileSystemObject\4n7]2XlV*H`6K6m/ju#O
改名为其它的名字，如：改为FileSystemObject_3800
自己以后调用的时候使用这个就可以正常调用此组件了.
2.也要将clsid值也改一下
HKEY_CLASSES_ROOT\Scripting.FileSystemObject\CLSID\项目的值
可以将其删除，来防止此类木马的危害.
3.注销此组件命令:RegSrv32 /u C:\WINNT\SYSTEM\scrrun.dll _e3U!Wg1Z#p5`w
如果想恢复的话只需要去掉 /U 即可重新再注册以上相关ASP组件
4.禁止Guest用户使用scrrun.dll来防止调用此组件命令:
cacls C:\WINNT\system32\scrrun.dll /e /d guestsO G7h%T;V;Z
[/quote]| ^O(Or8u,FH9v

[b]二.使用WScript.Shell组件[/b]
[quote] bGLr)K(R(gS#Y7b
1.可以通过修改注册表，将此组件改名，来防止此类木马的危害..P'me.~-b.jG d D&L

HKEY_CLASSES_ROOT\WScript.Shell\)VA1lrq0e'r
及
HKEY_CLASSES_ROOT\WScript.Shell.1\
改名为其它的名字，如：改为WScript.Shell_3800cc或WScript.Shell.1_3800cc6f:MTG4Xq
自己以后调用的时候使用这个就可以正常调用此组件了
%py MTK oCE"x6u
2.也要将clsid值也改一下*_#|pRTz
HKEY_CLASSES_ROOT\WScript.Shell\CLSID\项目的值(l5`cMf ]2P'{
HKEY_CLASSES_ROOT\WScript.Shell.1\CLSID\项目的值
也可以将其删除，来防止此类木马的危害。Q |i|g ? b
[/quote]
[b]三.使用Shell.Application组件[/b]ltm|5le
[quote] +Sd:am1Z
1.可以通过修改注册表，将此组件改名，来防止此类木马的危害。
HKEY_CLASSES_ROOT\Shell.Application\
及I? ]Mt!D6\)|6]
HKEY_CLASSES_ROOT\Shell.Application.1\;^~\jZN*mV:BG
改名为其它的名字，如：改为Shell.Application_ChangeName或Shell.Application.1_ChangeName
自己以后调用的时候使用这个就可以正常调用此组件了
2.也要将clsid值也改一下
HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值
HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值
也可以将其删除，来防止此类木马的危害。[/Q!O(BS)YP

3.禁止Guest用户使用shell32.dll来防止调用此组件命令:
cacls C:\WINNT\system32\shell32.dll /e /d guests
[/quote]
[b]四.调用cmd.exe[/b] EZ(X)Fty
[quote]
禁用Guests组用户调用cmd.exe命令:)]!ge4x jh{
cacls C:\WINNT\system32\Cmd.exe /e /d guestsox6{m0U s4Bz
[/quote]
0_:w;?ii7In
[b]五.其它危险组件处理[/b]:-d)i;m't |3?Q
[quote]
Adodb.stream (classid:{00000566-0000-0010-8000-00AA006D2EA4})
WScript.Network(classid:093FF999-1EA0-4079-9525-9614C3504B74)}YK*sSkD"N*F
WScript.Network.1 (classid:093FF999-1EA0-4079-9525-9614C3504B74)&H'HYl5Cw&\;_8\P
[/quote]
Wi y8Ur9W8A;Yi`[
按常规一般来说是不会做到以上这些组件的。直接删除掉.如果有部分网页ASP程序利用了上面的组件的话呢，只需在将写ASP代码的时候用我们更改后的组件名称即可正常使用。当然如果你确信你的ASP程序中没有用到以上组件，还是直接删除心中踏实一些.b\s^fm(R

PS:有时间把图加上去，或者作个教程

saitojie 发表于 2008-11-3 21:43

我只是知道这三个组件，但是具体怎么用，还真不知道- -！

柔肠寸断 发表于 2008-11-3 22:08

我本机测试了下5Fzq.y"F$v\ x2r*pR

如果更改了相应的组件之后，ASP木马就完全打不开了

saitojie 发表于 2008-11-3 22:10

有控发点图上来对比下

猪猪发表于 2008-11-4 08:39

哦学习了知己知彼方能。。。。:)

paomo86 发表于 2008-11-4 11:26

学习了……:D

小雄发表于 2008-12-9 20:31

发点图比较容易吸收。。:lol 不过这样也行。

在意z 发表于 2012-5-16 00:23

谢谢楼主分享技术。。

页: [1]

【3.A.S.T】网络安全爱好者's Archiver

服务器如何防范ASP木马进一步的侵蚀