信息来源：邪恶八进制信息安全团队（www.eviloctal.com）
文章作者：lake2

ASP写的查ASP木马的小东东，在肉鸡上使用，拿来把其他同行的webshell给接管掉～
邪八的朋友测试下，要是有这东东查不到的ASP木马欢迎交流哦

默认密码是eviloctal，记事本打开改掉～

说明：查asp、cer、cdx、asa及其嵌套调用的任意格式文件（图片asp木马之类格查无论）

引用:

这里是引用第[2 楼]的huniao于2006-02-16 21:56发表的：
因为等级不够，借用楼主帖发个问题！
关于MS06-005生成的crafted.bmp如何利用的问题！请教各位大哥，不胜感激！

Microsoft TechNet 主页有详细的介绍。如何触发漏洞wmp
请你遵守论坛的规定，以后请你不要在原创里面乱发贴子，你可以到技术讨论版去讨论。
谢谢你的合作！

东西不错，不过这东西还要手动选择目录，不方便，来个自动的：
Set objWMIService = GetObject("winmgmts:\\.\root\MicrosoftIISv2")
Set colItems = objWMIService.ExecQuery("Select * from IIsWebVirtualDirSetting")
For Each o In colItems
  response.write o.path &"<br>"
Next
o.path 是历遍服务器上所有WEB目录的绝对路径的变量，本人较懒，楼主有时间可以改动以下，也许有商业价值。

文件中只定义查找:asp,cer,asa,cdx四种文件类型,不由另我想到如果使用以下方法,是绝对杀不了.
1.jpg中写asp木马代码
1.asp中<!--#include file="1.jpg"-->

neeao：fso用于遍历目录

勇敢的风：之所以弄成手动选目录是因为怕web上文件太多一下子搜用户没耐心～可以填/就搜整个web；至于虚拟目录，呵呵，看来还得借用仁兄的思路

xiao2004：“绝对杀不了”？哈哈，你有试过么？你有看过代码么？少谈些主义，多做些实事吧:)

上次测试雷客图好像访问记录那里需要改进一下～发现疯狂提交访问数据过去页面的话可能会导致日志撑爆

嘻嘻,的确杀掉了,看错代码了,因为下面的代码查找了include file

虽然用include会杀掉,但用js的src可以逃过,刚用冰狐的木马搞定.

吃完饭给测试环境.我是在自己站上测试的.

h4k_b4n: 那个日志记录那里设的1000，多了就不记录了。那个功能没啥意义，准备下个版本取消之～

xiao2004: 呵呵，你说的我搞不懂，向你请教！

引用:

这里是引用第[11 楼]的lake2于2006-02-17 11:57发表的：
h4k_b4n: 那个日志记录那里设的1000，多了就不记录了。那个功能没啥意义，准备下个版本取消之～

其实那个也没有什么意义～是需要删除的。当初我以为你会不注意日志的方面的安全，想测试是否能跨站，所以就试试了！谁知道。。。。。

你自己可以测试一下,我刚开了个测试站点.

你的查asp木马文件
http://hack.hhuai.cn/x.asp
我的asp木马
http://hack.hhuai.cn/z.asp
马是冰狐浪子的马,自己测试一下,可以连接上,一些文件操作也可以,我没禁fso什么的,不过别搞破坏,怕怕.

当然,忘了说一句.如果你怕我改了你的杀马文件,可以自己再用那个冰狐马上传一个再测测...

:)
明白了，呵呵，不仅是javascript，vbscript也可以你那样子包含之～
又学到新东东，感谢ing

s. 这样的目录 不晓得测试过没
好象fso 不可以得到s.目录下的东西的

还有变形&可以用+替代？？

superhei:
设计的时候考虑了s.那个目录的，但是FSO读不到没办法处理；
&可以用+替代的情况是考虑了的

首先非常感谢lake2给们提供这么个好东西
但是对于关键字“execute ” 在SQL语句中也可能用到
因此当站点文件很多时  查出来的文件也成千上百 就失去了此文件功能的意义

引用:

这里是引用第[5 楼]的lake2于2006-02-17 11:14发表的：
neeao：fso用于遍历目录

勇敢的风：之所以弄成手动选目录是因为怕web上文件太多一下子搜用户没耐心～可以填/就搜整个web；至于虚拟目录，呵呵，看来还得借用仁兄的思路

xiao2004：“绝对杀不了”？哈哈，你有试过么？你有看过代码么？少谈些主义，多做些实事吧:)

楼主有所不知啊,对于站点的主目录实际上也是虚拟目录,可并不单单只有虚拟目录才是你认为的虚拟目录,看来我给的代码你没有用啊,列出的可是所有IIS中的站点目录和虚拟目录.
既然是ASP木马就肯定要运行在WEB可见的地方，所以关于FSO搜索目录的方法可以不用的。

好象放eval版的海洋查不到的哦！？。。。。

lanker兄，呵呵，谢谢支持，程序在检测的时候排除了.execute的情况的（SQL查询多半是conn.execute），而且又检测了Server.Execute的形式，具体你可试试

勇敢的风，感谢提意见，感谢再次提意见，我试了你的方法。可以出现未知错误，错误类型：(0x8004100E)。偶是IIS5.1

winfyd，eval应该可以查到的哦……

哦，win2000对wmi的支持太少了。

据我测试应该还有好几个后门检测不出来  大家也可以动动手 找找哦
lake2 老弟有时间Q我  有几个问题想和你单独讨论一下

把特征那个地方提出来,写成一个数组,方便加

可是别人把后缀改成了aspx,或者把一句话插入aspx页面里面，就没有办法查了，
这里希望lake2考虑一下！

k2k，反正asp的特征就那几个，就快列完了……
风尘浪子，aspx里面可以用eval？不是哦。

eval还真奇怪，我公司的服务器是2003的，支持asp.net,上面有个统计系统叫
COCOON ， Copyright

顺便说下，如果一个asp用unicode格式保存，平时FSO都是ansi打开的，就查不到了，这个东西我之前就写过了，不过用了lcx不少代码，不敢发。