[转载]如何防止ASP 木马在服务器上运行
信息来源：hackbase.com目前比较流行的ASP木马主要通过三种技术来进行对服务器的相关操作。
一、使用FileSystemObject组件
FileSystemObject可以对文件进行常规操作
可以通过修改注册表，将此组件改名，来防止此类木马的危害。
HKEY_CLASSES_ROOT\Scripting.FileSystemObject\
改名为其它的名字，如：改为FileSystemObject_ChangeName
自己以后调用的时候使用这个就可以正常调用此组件了
也要将clsid值也改一下
HKEY_CLASSES_ROOT\Scripting.FileSystemObject\CLSID\项目的值
也可以将其删除，来防止此类木马的危害。
注销此组件命令：RegSrv32 /u C:\WINNT\SYSTEM\scrrun.dll
禁止Guest用户使用scrrun.dll来防止调用此组件。
使用命令：cacls C:\WINNT\system32\scrrun.dll /e /d guests
二、使用WScript.Shell组件
WScript.Shell可以调用系统内核运行DOS基本命令
可以通过修改注册表，将此组件改名，来防止此类木马的危害。
HKEY_CLASSES_ROOT\WScript.Shell\
及
HKEY_CLASSES_ROOT\WScript.Shell.1\
改名为其它的名字，如：改为WScript.Shell_ChangeName或WScript.Shell.1_ChangeName
自己以后调用的时候使用这个就可以正常调用此组件了
也要将clsid值也改一下
HKEY_CLASSES_ROOT\WScript.Shell\CLSID\项目的值
HKEY_CLASSES_ROOT\WScript.Shell.1\CLSID\项目的值
也可以将其删除，来防止此类木马的危害。
三、使用Shell.Application组件
Shell.Application可以调用系统内核运行DOS基本命令
可以通过修改注册表，将此组件改名，来防止此类木马的危害。
HKEY_CLASSES_ROOT\Shell.Application\
及
HKEY_CLASSES_ROOT\Shell.Application.1\
改名为其它的名字，如：改为Shell.Application_ChangeName或Shell.Application.1_ChangeName
自己以后调用的时候使用这个就可以正常调用此组件了
也要将clsid值也改一下
HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值
HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值
也可以将其删除，来防止此类木马的危害。
禁止Guest用户使用shell32.dll来防止调用此组件。
使用命令：cacls C:\WINNT\system32\shell32.dll /e /d guests
注：操作均需要重新启动WEB服务后才会生效。
四、调用Cmd.exe
禁用Guests组用户调用cmd.exe
cacls C:\WINNT\system32\Cmd.exe /e /d guests
通过以上四步的设置基本可以防范目前比较流行的几种木马，但最有效的办法还是通过综合安全设置，将服务器、程序安全都达到一定标准，才可能将安全等级设置较高，防范更多非法入侵。 其实用改名字和clsid值的办法只适用于网站建设的初期，设想我们的网站是一台虚拟主机的话 需要给客户提供FSO服务，那服务器到最后还是要使用FSO组件 即使改了名字也需要告诉给客户改后的名字 不然没法调用fso，这也不是个很好的办法 我觉得最好的办法是定期对服务器上的文件采用比对的方法，使用lake2写的ASP文件安全检查就很不错，先把现今流行的asp木马的关键字总结出来 然后使用服务器扫马工具对服务器进行全面的检查 另外如果服务器本身使用fso组件很少或者几乎不使用的话可以把Scripting.FileSystemObject作为关键字进行搜索 找到可疑文件后逐个处理 确保服务器上没有webshell文件后 用ASP文件安全检查对服务器当前的文件进行一次快照 过一段时间再进行一次 这样就可以发现在快照之后进入服务器的webshell文件了 其实webshell进入服务器不外乎利用漏洞进来的 平时对自己网站的脚本进行加固 这个小东西估计会离你远去的。
页:
[1]