[原创文章] 服务器如何防范ASP木马进一步的侵蚀

木马, 服务器, ASP, 侵蚀

很多网站被上传了webshell，自然就危害到了服务器的安全，现在我就来谈谈怎么防止ASP木马的进一步侵蚀，阿呆发布了一篇关于服务器安全的文章，大家可以去看看

原创作者：柔肠寸断【3.A.S.T】(http://www.3ast.com.cn)0 l+ R0 e3 b, `# a \1 h, \5 t
信息来源：3.A.S.T网络安全技术团队
防止ASP木马,主要通过修改三个组件来达到防asp木马攻击.
FileSystemObject组件---对文件进行常规操作.1 z6 ^/ ~2 X# R+ p, d
WScript.Shell组件---可以调用系统内核运行DOS基本命令.- t1 ]8 W+ s0 t; e7 m
Shell.Application组件--可以调用系统内核运行DOS基本命令.' X1 k! ^! X/ _' x6 g: b1 }
1 I$ [* }$ O/ G4 s6 k1 J; g
一.使用FileSystemObject组件+ {; c$ w" O3 r, q9 M: g" Z

5 X. w; k$ n  e/ Y- t. `
1.可以通过修改注册表，将此组件改名，来防止此类木马的危害.
: N$ V. i; Z5 u' @; j% dHKEY_CLASSES_ROOT\Scripting.FileSystemObject\, z# g8 x, K$ i+ b2 I
改名为其它的名字，如：改为FileSystemObject_3800) j8 s! s/ L+ b5 e
自己以后调用的时候使用这个就可以正常调用此组件了.
' B( Z8 W) z; y+ Y) s* S. k. n2.也要将clsid值也改一下
( g# w  _3 U& k5 @' ~& u: tHKEY_CLASSES_ROOT\Scripting.FileSystemObject\CLSID\项目的值  N2 [5 m) t1 `# z1 m# k/ ]1 L  Q
可以将其删除，来防止此类木马的危害.
+ X1 J  n, }$ n. B. F" F3.注销此组件命令:RegSrv32 /u C:\WINNT\SYSTEM\scrrun.dll  ' c$ L2 d4 t; k5 w  `' e7 j
如果想恢复的话只需要去掉 /U 即可重新再注册以上相关ASP组件
. i9 ^" H. W2 y4 }4.禁止Guest用户使用scrrun.dll来防止调用此组件命令:
6 h& t7 r+ D% P0 k7 P# X! g+ ]8 Acacls C:\WINNT\system32\scrrun.dll /e /d guests
, a' S" X' l" y

二.使用WScript.Shell组件

, p. b5 v" H9 L5 C; G5 Y  x& ?1.可以通过修改注册表，将此组件改名，来防止此类木马的危害.2 Q+ b5 \: H7 W6 `

8 P: k& j# ?, n: \' ]HKEY_CLASSES_ROOT\WScript.Shell\
9 ^" h6 J4 l9 ~3 v. I及& z: _+ J7 E$ r
HKEY_CLASSES_ROOT\WScript.Shell.1\
7 I6 `! ^" N6 Y& ^# X改名为其它的名字，如：改为WScript.Shell_3800cc或WScript.Shell.1_3800cc/ Y* X/ M* J1 u; h
自己以后调用的时候使用这个就可以正常调用此组件了0 {* O  k1 P' d  p3 `
# I' E/ v" e/ y9 m+ m" Q
2.也要将clsid值也改一下- n$ z" f: i+ w  _0 {( ?5 B6 h
HKEY_CLASSES_ROOT\WScript.Shell\CLSID\项目的值
# f' J' m$ X( \& f4 Q" s5 eHKEY_CLASSES_ROOT\WScript.Shell.1\CLSID\项目的值) o1 x* h9 [# C8 D  e
也可以将其删除，来防止此类木马的危害。- w- u! ?; h0 s. M

三.使用Shell.Application组件

; t* G2 p# w' X8 H0 y9 b: L5 M1.可以通过修改注册表，将此组件改名，来防止此类木马的危害。
. W/ S) ~. U9 C* K% y4 I/ wHKEY_CLASSES_ROOT\Shell.Application\0 f5 s; Q2 _2 v) Q* M8 c. L. K
及8 u1 ?1 l5 q" r4 t5 i- m9 u; O
HKEY_CLASSES_ROOT\Shell.Application.1\
8 o( L, K) A8 }$ X$ m" }改名为其它的名字，如：改为Shell.Application_ChangeName或Shell.Application.1_ChangeName
) r, d# z9 k5 N1 V: ~# ~6 R自己以后调用的时候使用这个就可以正常调用此组件了
5 |5 ?: S! a' ~6 d+ b2.也要将clsid值也改一下5 P' j8 s7 Z* v' w% I7 s
HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值) @- t! y9 p8 Y6 T* p1 H. S
HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值 ]8 ~/ _7 p0 f' E6 y5 S: `
也可以将其删除，来防止此类木马的危害。7 |7 w, \8 q: _& Z/ V, J7 x

' f. `* R3 k5 @# t3.禁止Guest用户使用shell32.dll来防止调用此组件命令:4 R- a3 j6 B5 O
cacls C:\WINNT\system32\shell32.dll /e /d guests- b/ T4 a) ]4 F$ i( n3 A2 ^2 ~

四.调用cmd.exe

/ v6 W* }# F3 ]# O( h$ T& e( E禁用Guests组用户调用cmd.exe命令:
% M9 C, p7 s/ W/ o+ M7 e( zcacls C:\WINNT\system32\Cmd.exe /e /d guests
7 U+ u( d+ F! r9 @+ H+ e+ W9 {

/ l% i( v% s# C& d! W1 R

五.其它危险组件处理:

+ s b3 s+ R6 K/ J( _! l3 B+ \Adodb.stream (classid:{00000566-0000-0010-8000-00AA006D2EA4}) # f+ a5 ^$ R6 @. C: `
WScript.Network(classid:093FF999-1EA0-4079-9525-9614C3504B74)
3 K3 d2 a# y" s$ [7 jWScript.Network.1 (classid:093FF999-1EA0-4079-9525-9614C3504B74)5 O( [0 n4 S, s. S/ @6 f9 D

, y0 C _2 o# v3 D& t
按常规一般来说是不会做到以上这些组件的。直接删除掉.如果有部分网页ASP程序利用了上面的组件的话呢，只需在将写ASP代码的时候用我们更改后的组件名称即可正常使用。当然如果你确信你的ASP程序中没有用到以上组件，还是直接删除心中踏实一些.

PS:有时间把图加上去，或者作个教程