扼杀asp木马---禁用ADODB.STREAM的讨论

韩冰

编者注：本文自幻影旅团转载而来，希望不会侵犯到版权：）

问：

我看有很多网页木马用到了这个用来列举出文件目录,有的ASP木马是用CLASSID来创建脚本对象的, 懂的朋友麻烦说说怎么禁掉这个对象,如果可以禁这个脚本对象应该就可以完全的阻止ASP木马了吧, 8 u" p; s8 y4 i* k* _* ]; z3 z9 J像SHELL执行已经禁掉了.

9 z5 D) C7 A: x- y

答：

& v; a$ I# F ?" j8 j1 @

１．根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID， 我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。 再根据HKEY_CLASSES_ROOT\CLSID\{00000566-0000-0010-8000-00AA006D2EA4}\InprocServer32的值，找到这个ActiveX对应的dll。 & H0 U' E) }8 d1 H5 e" Q8 M3 e我的XP上是C:\Program Files\Common Files\System\ado\msado15.dll 0 q- g9 L( N; @7 b) F% R$ L1 k + x8 `/ }! ?5 M J: C# K" Z3 F然后regsvr32 /s /u "C:\Program Files\Common Files\System\ado\msado15.dll" \& n) V) K" Z6 T 于是就把ADODB.STREAM给卸载了。

２．查查ADODB.STREAM 用来干什么的~~~呵呵

0 M6 A t6 Y# ?% Y

３．最简单的办法 ：去金山网站 找那个ADODB软件 把它卸载了！

４．

引用:

9 c2 k& h7 S) f8 @最初由 zzzevazzz 发布 8 u8 i2 z$ d2 u3 @0 [: C4 M根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID， 我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。 A, `" d5 S' |1 H0 x9 d& A, @, {3 J 再根据HKEY_CLASSES_ROOT\C.. 1 [+ b9 O7 O+ B6 R- A6 j) B ' X- F% T6 E6 d8 m以下省略......

! v- G v/ x" C- d

1 y n# K7 C l7 `2 H 7 Z8 \: c1 l$ `/ _5 C2 K J* Z" N你的方法显然是可行的,但这样会把整个ado都卸载了(估计会这样). 如果本机还有一些ado的应用,那么可能会出问题啊 - o2 h q8 F4 s: ]; ~- q( C, z) Y直接删除了 HKEY_CLASSES_ROOT\ADODB.Stream\CLSID 应该就ok了吧???? 那个dll还是保留好一点

５．只要asp可用 asp木马就会存在 你认为删除了就 有用吗 我觉得并非如此

６．

8 ?6 p0 t( t8 m1 M+ B& e& a

卸载了ADO 或者把adodb.stream改名 : U3 `) i/ D a7 i8 X% _ 都不是好办法 因噎废食的作法 ' [0 r% ^. \ O' H- z / p+ O3 {0 {- t: u没有了ADO ASP还剩下什么呢，还能作什么应用呢？

７．打IE的补丁

８．ASP木马在服务器上运行的跟打IE补丁有什么关系呢? ASP木马用到了FSO,ADODB.STREAM,还有一个DICTIONARY的脚本对象,我想最主要的还是前两个没了前两个对象难道ASP木马还有办法运行起来吗?

９．由于ADODB.STREAM有很多问题，微软在今年6月份出了个补丁，把ADODB.STREAM给禁用了，这个补丁好像就是修改了注册表。

1 F1 ^; M4 k8 y$ {

１０．禁用了？？ # ~; R2 Y! w1 L, t我的2000sp4，xp sp1，xp sp2都可以用adodb.stream。 ; n* y3 ]( w' Y4 g9 g9 @( l0 s可能只是不让IE调用吧，即使安全级别降低。