扼杀asp木马---禁用ADODB.STREAM的讨论

韩冰

编者注：本文自幻影旅团转载而来，希望不会侵犯到版权：）

问：

7 i0 L6 n" ]% }3 @9 @

我看有很多网页木马用到了这个用来列举出文件目录,有的ASP木马是用CLASSID来创建脚本对象的, 懂的朋友麻烦说说怎么禁掉这个对象,如果可以禁这个脚本对象应该就可以完全的阻止ASP木马了吧, 像SHELL执行已经禁掉了.

答：

１．根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID， 我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。 , W2 F; J, X) l, ~" ]3 x 再根据HKEY_CLASSES_ROOT\CLSID\{00000566-0000-0010-8000-00AA006D2EA4}\InprocServer32的值，找到这个ActiveX对应的dll。 + C# t$ r5 ^/ T8 B3 H& m+ Q( ~5 e我的XP上是C:\Program Files\Common Files\System\ado\msado15.dll . H6 o9 ^! _3 ~1 h7 ^然后regsvr32 /s /u "C:\Program Files\Common Files\System\ado\msado15.dll" 9 ^1 ~: d3 Z9 k / D9 Q; Z H0 B. T% _5 w: \于是就把ADODB.STREAM给卸载了。

２．查查ADODB.STREAM 用来干什么的~~~呵呵

% j0 u6 G$ I/ M5 n( K

３．最简单的办法 ：去金山网站 找那个ADODB软件 把它卸载了！

! `# W6 T' j9 N/ I7 Y/ H" m0 u& x

４．

- C2 {6 |0 a4 A0 I* q7 H

引用:

最初由 zzzevazzz 发布 根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID， ) F- l0 x; ]. F+ W3 c# B6 O% ~$ @我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。 再根据HKEY_CLASSES_ROOT\C.. / _; l, @' a. u; J$ R1 P: {+ o 以下省略......

你的方法显然是可行的,但这样会把整个ado都卸载了(估计会这样). / @* l2 t" K; A; ~( o( A如果本机还有一些ado的应用,那么可能会出问题啊 直接删除了 HKEY_CLASSES_ROOT\ADODB.Stream\CLSID 应该就ok了吧???? 那个dll还是保留好一点

. H( C8 N& B0 X2 Y" r# \9 k t! ^4 V

５．只要asp可用 asp木马就会存在 你认为删除了就 有用吗 我觉得并非如此

６．

i' t3 n$ }* z# Y& ~4 h. C, I

卸载了ADO 或者把adodb.stream改名 8 C. I2 X. h! C0 T1 N' \ % K( }: ]3 N$ i* T8 ~' d都不是好办法 因噎废食的作法 没有了ADO ASP还剩下什么呢，还能作什么应用呢？

+ j4 A( B+ L1 R; p, ^$ ]

７．打IE的补丁

- L7 F$ ?" }8 r: l f

８．ASP木马在服务器上运行的跟打IE补丁有什么关系呢? ASP木马用到了FSO,ADODB.STREAM,还有一个DICTIONARY的脚本对象,我想最主要的还是前两个没了前两个对象难道ASP木马还有办法运行起来吗?

９．由于ADODB.STREAM有很多问题，微软在今年6月份出了个补丁，把ADODB.STREAM给禁用了，这个补丁好像就是修改了注册表。

: r) p6 _) k9 o9 x

１０．禁用了？？ * p! j1 V9 M' ~; n, _我的2000sp4，xp sp1，xp sp2都可以用adodb.stream。 / c/ N; B" v% l* K" W" A可能只是不让IE调用吧，即使安全级别降低。