[原创文章] 服务器如何防范ASP木马进一步的侵蚀

木马, 服务器, ASP, 侵蚀

很多网站被上传了webshell，自然就危害到了服务器的安全，现在我就来谈谈怎么防止ASP木马的进一步侵蚀，阿呆发布了一篇关于服务器安全的文章，大家可以去看看

原创作者：柔肠寸断【3.A.S.T】(http://www.3ast.com.cn)$ q/ P- `/ f. X9 X
信息来源：3.A.S.T网络安全技术团队
防止ASP木马,主要通过修改三个组件来达到防asp木马攻击.
FileSystemObject组件---对文件进行常规操作.! a& p: V6 `* l- y9 n
WScript.Shell组件---可以调用系统内核运行DOS基本命令.1 m' {: V8 g! A X" E" W
Shell.Application组件--可以调用系统内核运行DOS基本命令. V7 @% F( E3 k) R

一.使用FileSystemObject组件

* X/ I2 x4 R( U* w" J/ f
1.可以通过修改注册表，将此组件改名，来防止此类木马的危害.; I. H3 e4 |$ }
HKEY_CLASSES_ROOT\Scripting.FileSystemObject\, K. S# h+ ~1 `1 n+ P7 {( ^
改名为其它的名字，如：改为FileSystemObject_3800
1 o5 u( S8 n6 ^. r自己以后调用的时候使用这个就可以正常调用此组件了.
# t' m2 h" V0 X8 P0 J" l2.也要将clsid值也改一下/ C9 m; w1 k2 P
HKEY_CLASSES_ROOT\Scripting.FileSystemObject\CLSID\项目的值
; x7 S7 j5 @% W可以将其删除，来防止此类木马的危害.
1 R1 }) g" T9 K7 H3.注销此组件命令:RegSrv32 /u C:\WINNT\SYSTEM\scrrun.dll % H% Q, M4 J: Z/ K% ^, h
如果想恢复的话只需要去掉 /U 即可重新再注册以上相关ASP组件: F3 P9 Y3 F0 D, ?, s$ m9 v: X
4.禁止Guest用户使用scrrun.dll来防止调用此组件命令:1 _! [) t: X0 e9 W4 X, Z, n) B6 e
cacls C:\WINNT\system32\scrrun.dll /e /d guests
3 w% K9 |! Q+ w+ |' U

6 ?/ L _. p5 t: X! W$ [

二.使用WScript.Shell组件0 `# K, @( L/ ^3 E3 O" o0 D

8 u- x8 @0 _  O) L; @$ i# A: V
1.可以通过修改注册表，将此组件改名，来防止此类木马的危害.& b6 ]7 `+ ^- y- u7 K# x- A, Y
% _- t" n$ \' u, F+ P8 o- m  E' m- W
HKEY_CLASSES_ROOT\WScript.Shell\
& ~' x  c7 J, ]3 [' }/ S: U; j及
$ o5 E+ p" h% sHKEY_CLASSES_ROOT\WScript.Shell.1\
. q- x$ Y) P% K. I# ~改名为其它的名字，如：改为WScript.Shell_3800cc或WScript.Shell.1_3800cc) m8 \- }3 n  E% S3 Z3 C
自己以后调用的时候使用这个就可以正常调用此组件了2 L8 V1 b1 j: R6 I
1 S6 u  I/ u. C1 R; P! R6 J
2.也要将clsid值也改一下8 d* K, h- c( k5 n  Y4 V
HKEY_CLASSES_ROOT\WScript.Shell\CLSID\项目的值- ^- F: b/ x3 b( d
HKEY_CLASSES_ROOT\WScript.Shell.1\CLSID\项目的值
- o" m& k6 ]7 R也可以将其删除，来防止此类木马的危害。1 I" Y; J9 o1 ]; W

三.使用Shell.Application组件

0 u% W& N6 K9 ?
1.可以通过修改注册表，将此组件改名，来防止此类木马的危害。
5 w! ?' t  W$ b9 ?: qHKEY_CLASSES_ROOT\Shell.Application\1 S3 b2 A" q- M8 C1 B4 L
及
" \$ j2 q* ~" ]+ _  R* RHKEY_CLASSES_ROOT\Shell.Application.1\" |1 d3 {' J+ J3 X) Q
改名为其它的名字，如：改为Shell.Application_ChangeName或Shell.Application.1_ChangeName: |- `, q# A7 N9 P3 u* ?
自己以后调用的时候使用这个就可以正常调用此组件了* ?, D9 f; z: X
2.也要将clsid值也改一下
+ s( G0 x1 D( ^: T; Y2 u4 {HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值5 x4 g# I$ \4 P! R2 N, J
HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值% }4 c% N1 R" d; u! |
也可以将其删除，来防止此类木马的危害。. s2 c+ i" l- {9 u1 `1 X* X

" [" h; D! c  k3.禁止Guest用户使用shell32.dll来防止调用此组件命令:1 {, _4 [1 W+ |
cacls C:\WINNT\system32\shell32.dll /e /d guests
  b! `2 j1 n, f7 {" y

四.调用cmd.exe

" h4 F5 `& V0 [% F: F; N
禁用Guests组用户调用cmd.exe命令:+ F9 g+ b4 ] ~9 W P
cacls C:\WINNT\system32\Cmd.exe /e /d guests4 p, O1 b, G; `9 a

五.其它危险组件处理:

, l6 I( {2 r2 K; k; e# dAdodb.stream (classid:{00000566-0000-0010-8000-00AA006D2EA4})
0 |1 W& n1 G/ W1 L+ C, d3 sWScript.Network(classid:093FF999-1EA0-4079-9525-9614C3504B74)
' C6 I3 g7 W/ L9 O6 b! g! xWScript.Network.1 (classid:093FF999-1EA0-4079-9525-9614C3504B74)9 E; n, d% G. F. B* Q

( J" ~" n; ?' s8 H

按常规一般来说是不会做到以上这些组件的。直接删除掉.如果有部分网页ASP程序利用了上面的组件的话呢，只需在将写ASP代码的时候用我们更改后的组件名称即可正常使用。当然如果你确信你的ASP程序中没有用到以上组件，还是直接删除心中踏实一些.

PS:有时间把图加上去，或者作个教程