[原创文章] 服务器如何防范ASP木马进一步的侵蚀

木马, 服务器, ASP, 侵蚀

很多网站被上传了webshell，自然就危害到了服务器的安全，现在我就来谈谈怎么防止ASP木马的进一步侵蚀，阿呆发布了一篇关于服务器安全的文章，大家可以去看看

; r4 B& R( m" r' }' m4 Y
9 ]' I' V0 s7 K
原创作者：柔肠寸断【3.A.S.T】(http://www.3ast.com.cn)
信息来源：3.A.S.T网络安全技术团队
防止ASP木马,主要通过修改三个组件来达到防asp木马攻击.
FileSystemObject组件---对文件进行常规操作.
WScript.Shell组件---可以调用系统内核运行DOS基本命令.
Shell.Application组件--可以调用系统内核运行DOS基本命令.
$ m: P, y( P1 n p( r( y
一.使用FileSystemObject组件3 o* [1 F$ w5 O( T) g7 ` V

+ ~" a: @1 o( e% G1.可以通过修改注册表，将此组件改名，来防止此类木马的危害.1 a8 c$ c$ _8 i
HKEY_CLASSES_ROOT\Scripting.FileSystemObject\% X0 ~. `+ F% Y! }
改名为其它的名字，如：改为FileSystemObject_3800( Q1 E! v) {; X$ M" e0 r
自己以后调用的时候使用这个就可以正常调用此组件了.
+ L+ I+ I0 B% M2.也要将clsid值也改一下
6 s: D3 z  A. I5 ]+ T' ]" Z; v# S' yHKEY_CLASSES_ROOT\Scripting.FileSystemObject\CLSID\项目的值  g% y0 l) S% C6 C
可以将其删除，来防止此类木马的危害.
4 M6 |( ~, j, M& B0 N4 N* L( [3.注销此组件命令:RegSrv32 /u C:\WINNT\SYSTEM\scrrun.dll
. }1 U$ k, V# B& l) z如果想恢复的话只需要去掉 /U 即可重新再注册以上相关ASP组件
/ o+ R1 \% N9 H& \  [( @9 r  F; T4.禁止Guest用户使用scrrun.dll来防止调用此组件命令:" C" f: d4 R# y0 G0 \' ?  @
cacls C:\WINNT\system32\scrrun.dll /e /d guests
: M, q* a: b" `) d. o/ a

2 I: u. Z% Z0 E' I
5 @; U- p9 s8 R5 Y/ v' W
二.使用WScript.Shell组件+ C0 `) o' e3 X8 }' _

2 F, W& G5 C/ B& C1.可以通过修改注册表，将此组件改名，来防止此类木马的危害., h: d, f. G! v

1 K  p# {- o$ P8 \% cHKEY_CLASSES_ROOT\WScript.Shell\
$ a/ A6 ~' r3 P  m4 G0 u# X及
' y5 d6 y2 u0 r9 N3 j8 C  C; R" `HKEY_CLASSES_ROOT\WScript.Shell.1\9 ~& C5 j; y- g" d3 k
改名为其它的名字，如：改为WScript.Shell_3800cc或WScript.Shell.1_3800cc# s: T! b9 p' w3 N2 L
自己以后调用的时候使用这个就可以正常调用此组件了
8 Q: a/ m. H  @$ M# L  ^/ A( ]! W6 C9 t
2.也要将clsid值也改一下
) v7 n6 Y/ |( b. wHKEY_CLASSES_ROOT\WScript.Shell\CLSID\项目的值
4 N0 F+ q% C/ p* s- t" VHKEY_CLASSES_ROOT\WScript.Shell.1\CLSID\项目的值1 L3 D1 t+ |) |& [' N- ?0 X
也可以将其删除，来防止此类木马的危害。5 y3 V8 R4 Q5 l. K

三.使用Shell.Application组件

  T/ [) ~. u2 h; R
1.可以通过修改注册表，将此组件改名，来防止此类木马的危害。7 u: R. z& v0 e; v3 b+ H
HKEY_CLASSES_ROOT\Shell.Application\' u. [) I! L" U# M
及
2 o3 v* U( u" r8 C- f0 c4 k- ~) E2 tHKEY_CLASSES_ROOT\Shell.Application.1\# r2 P  k" J  g" H: G0 \  L; E
改名为其它的名字，如：改为Shell.Application_ChangeName或Shell.Application.1_ChangeName
0 s% f# f0 x% q* ~自己以后调用的时候使用这个就可以正常调用此组件了' ^6 v6 ^# z: l$ N* Z/ F9 W
2.也要将clsid值也改一下+ ]3 D8 ]8 l1 l$ b# g/ g
HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值( d" M4 \+ h3 z, p) V
HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值4 x: F4 ]9 f( |5 y: U
也可以将其删除，来防止此类木马的危害。1 T) A( x7 b% @3 U) {' k

  S3 S5 |0 R" x3.禁止Guest用户使用shell32.dll来防止调用此组件命令:
8 Q" l( `$ q) m; _cacls C:\WINNT\system32\shell32.dll /e /d guests7 Z& j6 q* q" G* U5 g

! h3 e2 r {" S- ]3 r
四.调用cmd.exe8 B A& d5 [; |# }

5 Q: m& V6 X6 _% U! @
禁用Guests组用户调用cmd.exe命令:
( d O& }# B! P: e# ~2 z2 f6 F' `cacls C:\WINNT\system32\Cmd.exe /e /d guests
8 F0 E- K" g) y8 D; q

. n' S! @( z7 M( a5 B
+ c5 n8 a' R7 g* A7 Y$ ~
五.其它危险组件处理:

6 y! e: ~, l2 dAdodb.stream (classid:{00000566-0000-0010-8000-00AA006D2EA4}) 2 u2 w/ J' B" c
WScript.Network(classid:093FF999-1EA0-4079-9525-9614C3504B74)/ m" [. w; j& X7 l5 x+ S
WScript.Network.1 (classid:093FF999-1EA0-4079-9525-9614C3504B74)
/ b0 {( d4 h! R! H; F

, L1 T5 b/ F, K3 ]/ a1 j$ w
按常规一般来说是不会做到以上这些组件的。直接删除掉.如果有部分网页ASP程序利用了上面的组件的话呢，只需在将写ASP代码的时候用我们更改后的组件名称即可正常使用。当然如果你确信你的ASP程序中没有用到以上组件，还是直接删除心中踏实一些.
( u8 x3 H. T2 {- ]$ c
PS:有时间把图加上去，或者作个教程