扼杀asp木马---禁用ADODB.STREAM的讨论

韩冰

编者注：本文自幻影旅团转载而来，希望不会侵犯到版权：）

6 |) \" d- A8 _" D

问：

我看有很多网页木马用到了这个用来列举出文件目录,有的ASP木马是用CLASSID来创建脚本对象的, 懂的朋友麻烦说说怎么禁掉这个对象,如果可以禁这个脚本对象应该就可以完全的阻止ASP木马了吧, 像SHELL执行已经禁掉了.

3 u3 Z, H& c2 h

答：

１．根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID， 我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。 再根据HKEY_CLASSES_ROOT\CLSID\{00000566-0000-0010-8000-00AA006D2EA4}\InprocServer32的值，找到这个ActiveX对应的dll。 我的XP上是C:\Program Files\Common Files\System\ado\msado15.dll / L+ j% e, z" H% p9 B) G# l / E, ]* H9 M( g8 p然后regsvr32 /s /u "C:\Program Files\Common Files\System\ado\msado15.dll" - W# m) }8 V1 }. J 于是就把ADODB.STREAM给卸载了。

２．查查ADODB.STREAM 用来干什么的~~~呵呵

３．最简单的办法 ：去金山网站 找那个ADODB软件 把它卸载了！

４．

|5 I# J, _& J$ Y& N- U6 B

引用:

- D# S% o# ?+ Z* \2 I3 D

0 S5 {8 j- O! e: k) _1 B- D最初由 zzzevazzz 发布 " r' z( `" X* Y$ k* F- \根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID， : V. ~0 c, j" f- y. @我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。 再根据HKEY_CLASSES_ROOT\C.. ' I$ I) i4 q" f) A0 m* S- K8 N 以下省略......

6 p, i5 w9 f2 M2 ~" e! k0 Y! b2 i' | 8 H- o) l i: H. ^9 n5 Z# }1 V& d6 z& b你的方法显然是可行的,但这样会把整个ado都卸载了(估计会这样). - }5 G# p# `, {2 @& l/ Q; `如果本机还有一些ado的应用,那么可能会出问题啊 $ x, h+ ~! u& E& m 直接删除了 HKEY_CLASSES_ROOT\ADODB.Stream\CLSID 应该就ok了吧???? 那个dll还是保留好一点

/ s5 `2 n5 c# p7 Q% h) E% g

５．只要asp可用 asp木马就会存在 你认为删除了就 有用吗 我觉得并非如此

６．

& r/ ]. a7 N7 M1 o& A

卸载了ADO 或者把adodb.stream改名 5 I0 w9 C0 y5 ]; H/ R都不是好办法 因噎废食的作法 没有了ADO ASP还剩下什么呢，还能作什么应用呢？

７．打IE的补丁

% ?, _4 V7 n- W3 ?

８．ASP木马在服务器上运行的跟打IE补丁有什么关系呢? ASP木马用到了FSO,ADODB.STREAM,还有一个DICTIONARY的脚本对象,我想最主要的还是前两个没了前两个对象难道ASP木马还有办法运行起来吗?

\( E2 T; z: N% C, W/ `0 E5 K

９．由于ADODB.STREAM有很多问题，微软在今年6月份出了个补丁，把ADODB.STREAM给禁用了，这个补丁好像就是修改了注册表。

+ V7 b0 f0 Q) n5 P( A

１０．禁用了？？ 我的2000sp4，xp sp1，xp sp2都可以用adodb.stream。 $ ^8 L, y8 {& k c, ]3 @8 {% [5 e可能只是不让IE调用吧，即使安全级别降低。