扼杀asp木马---禁用ADODB.STREAM的讨论

韩冰

编者注：本文自幻影旅团转载而来，希望不会侵犯到版权：）

/ G* G( \" c+ j# `$ E' T* S

问：

+ I" |$ H/ x/ {& D3 H8 }

我看有很多网页木马用到了这个用来列举出文件目录,有的ASP木马是用CLASSID来创建脚本对象的, ) i4 e6 t+ T) }3 i8 s; E懂的朋友麻烦说说怎么禁掉这个对象,如果可以禁这个脚本对象应该就可以完全的阻止ASP木马了吧, $ o3 x5 W8 a- T) X像SHELL执行已经禁掉了.

7 Z9 l' r3 A$ k8 S2 H2 ^& x: s/ v" s

答：

１．根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID， 我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。 再根据HKEY_CLASSES_ROOT\CLSID\{00000566-0000-0010-8000-00AA006D2EA4}\InprocServer32的值，找到这个ActiveX对应的dll。 0 J) j8 ?- i1 @5 l我的XP上是C:\Program Files\Common Files\System\ado\msado15.dll : d5 q& d K2 B. `/ l 然后regsvr32 /s /u "C:\Program Files\Common Files\System\ado\msado15.dll" / J0 l, f- @0 D. K) ?6 }2 U; x3 m 8 k% d+ f3 d0 c于是就把ADODB.STREAM给卸载了。

) `7 B0 \( v& G8 b6 \0 u1 j9 b0 B

２．查查ADODB.STREAM 用来干什么的~~~呵呵

３．最简单的办法 ：去金山网站 找那个ADODB软件 把它卸载了！

４．

引用:

1 ~. X6 J4 r( o' q6 y% }

最初由 zzzevazzz 发布 根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID， 我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。 再根据HKEY_CLASSES_ROOT\C.. % |" l6 K* G" l6 T7 s1 g 1 v ]# ?/ B/ l1 S& S1 x以下省略......

* O B7 {% P7 E2 h5 i

5 |. H0 e* }; |6 g你的方法显然是可行的,但这样会把整个ado都卸载了(估计会这样). 如果本机还有一些ado的应用,那么可能会出问题啊 / o, p4 l- K5 g4 A& S 直接删除了 HKEY_CLASSES_ROOT\ADODB.Stream\CLSID 应该就ok了吧???? ' `; M4 P2 o# r& t那个dll还是保留好一点

５．只要asp可用 asp木马就会存在 你认为删除了就 有用吗 我觉得并非如此

}# a0 L4 _6 ~% Q' w2 u1 q

６．

# [2 _ U; [/ }

卸载了ADO 或者把adodb.stream改名 都不是好办法 因噎废食的作法 2 c6 I) M" @/ n) L没有了ADO ASP还剩下什么呢，还能作什么应用呢？

７．打IE的补丁

! U4 _+ [: J& O6 ]6 |2 H8 o

８．ASP木马在服务器上运行的跟打IE补丁有什么关系呢? ASP木马用到了FSO,ADODB.STREAM,还有一个DICTIONARY的脚本对象,我想最主要的还是前两个没了前两个对象难道ASP木马还有办法运行起来吗?

９．由于ADODB.STREAM有很多问题，微软在今年6月份出了个补丁，把ADODB.STREAM给禁用了，这个补丁好像就是修改了注册表。

１０．禁用了？？ * V T* U3 Z" n9 y2 P6 O我的2000sp4，xp sp1，xp sp2都可以用adodb.stream。 / W+ f& S, A" n9 m2 `- @5 t1 \ h; f可能只是不让IE调用吧，即使安全级别降低。