扼杀asp木马---禁用ADODB.STREAM的讨论

韩冰

编者注：本文自幻影旅团转载而来，希望不会侵犯到版权：）

6 {) i) ^ R" K9 y1 z v

问：

我看有很多网页木马用到了这个用来列举出文件目录,有的ASP木马是用CLASSID来创建脚本对象的, 懂的朋友麻烦说说怎么禁掉这个对象,如果可以禁这个脚本对象应该就可以完全的阻止ASP木马了吧, 像SHELL执行已经禁掉了.

答：

１．根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID， 我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。 + |: F& j! m3 P 再根据HKEY_CLASSES_ROOT\CLSID\{00000566-0000-0010-8000-00AA006D2EA4}\InprocServer32的值，找到这个ActiveX对应的dll。 4 G" u* s$ @* h& B/ h- e6 ~1 G我的XP上是C:\Program Files\Common Files\System\ado\msado15.dll ) N6 F) n$ b6 H& M / [( }/ b" C1 J然后regsvr32 /s /u "C:\Program Files\Common Files\System\ado\msado15.dll" 7 ^- h M% O" ?$ r9 Y9 Z1 D( Q 于是就把ADODB.STREAM给卸载了。

6 a1 E8 m% v) F. K. J+ T7 p. _

２．查查ADODB.STREAM 用来干什么的~~~呵呵

３．最简单的办法 ：去金山网站 找那个ADODB软件 把它卸载了！

1 \& y" s' n% H: X

４．

A5 r- R3 C: X# E

引用:

7 L7 I8 g# R3 e6 _3 @

最初由 zzzevazzz 发布 根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID， 9 ?- _" H: Y! L9 h( ^# E g4 M. T) C我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。 1 f5 ]) [3 r2 G o+ K3 j 再根据HKEY_CLASSES_ROOT\C.. 2 T; _ I# l7 W" T0 a8 Z% { z 1 I3 v7 _6 X% ?) |% X以下省略......

8 ~& B {9 w8 S7 E5 }9 c! u& U: K

Q* U& p2 f5 ]: N7 [" S2 Q你的方法显然是可行的,但这样会把整个ado都卸载了(估计会这样). 0 ~4 d$ q" R; o如果本机还有一些ado的应用,那么可能会出问题啊 " [4 ^: U/ x: l: y" Q5 S- Y, E " [, y% G' z7 ~9 F, D( [2 e6 i8 |% R直接删除了 HKEY_CLASSES_ROOT\ADODB.Stream\CLSID 应该就ok了吧???? 那个dll还是保留好一点

５．只要asp可用 asp木马就会存在 你认为删除了就 有用吗 我觉得并非如此

６．

2 D3 n1 D; h* }1 @% ^1 p" i! g2 a

卸载了ADO 或者把adodb.stream改名 8 c5 P0 b6 j7 m9 _6 b# U都不是好办法 因噎废食的作法 ( v& @1 _: z- y+ s9 b 没有了ADO ASP还剩下什么呢，还能作什么应用呢？

７．打IE的补丁

８．ASP木马在服务器上运行的跟打IE补丁有什么关系呢? 0 r* I; D. k6 ~6 A2 E8 oASP木马用到了FSO,ADODB.STREAM,还有一个DICTIONARY的脚本对象,我想最主要的还是前两个没了前两个对象难道ASP木马还有办法运行起来吗?

! k* N3 @" L2 [3 \

９．由于ADODB.STREAM有很多问题，微软在今年6月份出了个补丁，把ADODB.STREAM给禁用了，这个补丁好像就是修改了注册表。

7 u7 l: o# r5 A" w9 P, V- ~$ C. p4 ^

１０．禁用了？？ 我的2000sp4，xp sp1，xp sp2都可以用adodb.stream。 4 R3 A5 ~$ J+ j3 v R可能只是不让IE调用吧，即使安全级别降低。