扼杀asp木马---禁用ADODB.STREAM的讨论

韩冰

编者注：本文自幻影旅团转载而来，希望不会侵犯到版权：）

问：

{9 {) @$ o+ B2 f- V

我看有很多网页木马用到了这个用来列举出文件目录,有的ASP木马是用CLASSID来创建脚本对象的, ( z% m$ E- d* k6 W懂的朋友麻烦说说怎么禁掉这个对象,如果可以禁这个脚本对象应该就可以完全的阻止ASP木马了吧, 6 B- O; I* q, `7 s* ]. m0 g) e像SHELL执行已经禁掉了.

: U. L7 D$ n; k7 N! w! k4 ]4 |

答：

, n+ i5 `- I) M

１．根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID， 我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。 ' ~1 W- b; c z v 3 m8 b5 _& V2 H9 L6 o, W再根据HKEY_CLASSES_ROOT\CLSID\{00000566-0000-0010-8000-00AA006D2EA4}\InprocServer32的值，找到这个ActiveX对应的dll。 我的XP上是C:\Program Files\Common Files\System\ado\msado15.dll 然后regsvr32 /s /u "C:\Program Files\Common Files\System\ado\msado15.dll" , K- @- E1 N7 H ]1 _3 l/ v, N 于是就把ADODB.STREAM给卸载了。

* b9 b# w4 }+ D8 H( C

２．查查ADODB.STREAM 用来干什么的~~~呵呵

３．最简单的办法 ：去金山网站 找那个ADODB软件 把它卸载了！

４．

& O2 ]' x" x0 H" U; O

引用:

5 L: Y% [& w% Y' Z

; o6 x5 T: S% } x! x3 l最初由 zzzevazzz 发布 根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID， , Z: H! C* u9 S; O* Q我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。 ( {* O( L/ n2 Z4 f4 ^) d 再根据HKEY_CLASSES_ROOT\C.. , D# q9 Y/ g& W5 o1 p6 k2 M1 v 4 ]7 i( L# f$ t H以下省略......

你的方法显然是可行的,但这样会把整个ado都卸载了(估计会这样). 如果本机还有一些ado的应用,那么可能会出问题啊 直接删除了 HKEY_CLASSES_ROOT\ADODB.Stream\CLSID 应该就ok了吧???? D2 M. v$ @& u1 P, w- H( b那个dll还是保留好一点

8 x6 O; r' c2 ~; B3 N- }

５．只要asp可用 asp木马就会存在 你认为删除了就 有用吗 我觉得并非如此

; C& M0 _1 J! Z" Q4 r# S

６．

, [# j( B5 v$ G4 B9 R

卸载了ADO 或者把adodb.stream改名 1 c7 j" d6 i4 y - |2 X+ p5 j/ u) ?! R( n, |, k) i都不是好办法 因噎废食的作法 3 {/ P3 ]' `2 t9 K2 S 没有了ADO ASP还剩下什么呢，还能作什么应用呢？

+ L* Z5 M% k- q8 q9 X( U7 U

７．打IE的补丁

' e: k$ K9 q% _

８．ASP木马在服务器上运行的跟打IE补丁有什么关系呢? 9 ? y5 U/ h W+ iASP木马用到了FSO,ADODB.STREAM,还有一个DICTIONARY的脚本对象,我想最主要的还是前两个没了前两个对象难道ASP木马还有办法运行起来吗?

2 K2 y' T; D3 K3 I# F( y' [; S

９．由于ADODB.STREAM有很多问题，微软在今年6月份出了个补丁，把ADODB.STREAM给禁用了，这个补丁好像就是修改了注册表。

/ z+ D# M, p6 O$ H' I$ n

１０．禁用了？？ 我的2000sp4，xp sp1，xp sp2都可以用adodb.stream。 2 F7 K8 u# T0 `. X# W可能只是不让IE调用吧，即使安全级别降低。