查看: 2636|回复: 0

扼杀asp木马---禁用ADODB.STREAM的讨论

字体大小: 正常放大

韩冰

823 主题	3 听众	4048 积分

我的地盘我做主

该用户从未签到

电梯直达

1^#

发表于 2004-11-22 23:55 |只看该作者 |倒序浏览

|招呼Ta 关注Ta

编者注：本文自幻影旅团转载而来，希望不会侵犯到版权：）

问：

我看有很多网页木马用到了这个用来列举出文件目录,有的ASP木马是用CLASSID来创建脚本对象的,2 f* M" e# j4 J# { 懂的朋友麻烦说说怎么禁掉这个对象,如果可以禁这个脚本对象应该就可以完全的阻止ASP木马了吧,2 F& e# Q6 ^. O% ]1 Y$ v* ^ 像SHELL执行已经禁掉了.

答：

１．根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID，# H0 l* ]4 c# z: c9 T1 r8 w7 H* S5 G 我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。4 ?) Q5 ?' V. e" a7 S" o( w/ T ' e* c( R8 I* `2 I y4 j8 V 再根据HKEY_CLASSES_ROOT\CLSID\{00000566-0000-0010-8000-00AA006D2EA4}\InprocServer32的值，找到这个ActiveX对应的dll。 p" m; t8 O7 O3 b我的XP上是C:\Program Files\Common Files\System\ado\msado15.dll& O; N* t& f0 |/ C5 i/ n$ G- j & h: ]. }, b% I) R9 B' ~然后regsvr32 /s /u "C:\Program Files\Common Files\System\ado\msado15.dll"& m) e* O+ u5 d I+ p ! b; @* d4 |: F6 P9 u于是就把ADODB.STREAM给卸载了。

２．查查ADODB.STREAM 用来干什么的~~~呵呵

３．最简单的办法：去金山网站找那个ADODB软件把它卸载了！

４．

引用:

. Z& I# m( G% o7 A+ a! P3 ? 最初由 zzzevazzz 发布0 E/ N) G& o8 {8 d8 @! h, b8 w2 t 根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID，) Z% f. T7 G2 \; M 我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。* Z9 X7 v9 z0 _; l 4 @0 N( u3 k$ U9 Y8 B, m2 k 再根据HKEY_CLASSES_ROOT\C..2 b8 C! d M3 j/ ` ) X V; t$ i3 O: H以下省略......

; M; m# H0 C! ]7 A$ @3 |$ ~/ c ' p8 }, y) ~0 F) \$ V7 D你的方法显然是可行的,但这样会把整个ado都卸载了(估计会这样). ( x) \9 e7 ]( M7 q: }如果本机还有一些ado的应用,那么可能会出问题啊# S+ O) x: E6 t! H+ A: z. ]& E 5 h, U( b* f" g$ ]7 W( `$ P4 P 直接删除了 HKEY_CLASSES_ROOT\ADODB.Stream\CLSID 应该就ok了吧???? * g9 a2 [5 O8 V7 j那个dll还是保留好一点

５．只要asp可用 asp木马就会存在你认为删除了就有用吗我觉得并非如此

６．

卸载了ADO 或者把adodb.stream改名 ( Q; U" S( U0 i1 h# F: \8 E' B+ ^% @; p. Z/ S( r, }; q6 q) _. g 都不是好办法因噎废食的作法 8 `' y/ Y& [8 a" \9 N, T) X+ \" k& M) ^( V8 w 没有了ADO ASP还剩下什么呢，还能作什么应用呢？

７．打IE的补丁

８．ASP木马在服务器上运行的跟打IE补丁有什么关系呢? n4 y0 S( b) Z- x9 X ASP木马用到了FSO,ADODB.STREAM,还有一个DICTIONARY的脚本对象,我想最主要的还是前两个没了前两个对象难道ASP木马还有办法运行起来吗?

９．由于ADODB.STREAM有很多问题，微软在今年6月份出了个补丁，把ADODB.STREAM给禁用了，这个补丁好像就是修改了注册表。

１０．禁用了？？ 0 ]$ U! H I* Z# N8 F) F我的2000sp4，xp sp1，xp sp2都可以用adodb.stream。6 K1 `4 [0 }: P/ v3 s4 v 可能只是不让IE调用吧，即使安全级别降低。

zan