扼杀asp木马---禁用ADODB.STREAM的讨论

韩冰

编者注：本文自幻影旅团转载而来，希望不会侵犯到版权：）

问：

我看有很多网页木马用到了这个用来列举出文件目录,有的ASP木马是用CLASSID来创建脚本对象的, + u% I' h" U' C. M& k. B懂的朋友麻烦说说怎么禁掉这个对象,如果可以禁这个脚本对象应该就可以完全的阻止ASP木马了吧, 像SHELL执行已经禁掉了.

答：

3 n) ~& _ C. o9 e: e1 i

１．根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID， : ?( u9 i( C" q! O5 A我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。 4 X Y* }) B# y6 n" r; T+ @" K8 Q 再根据HKEY_CLASSES_ROOT\CLSID\{00000566-0000-0010-8000-00AA006D2EA4}\InprocServer32的值，找到这个ActiveX对应的dll。 我的XP上是C:\Program Files\Common Files\System\ado\msado15.dll 7 X! E" C9 _& @9 r0 [ 然后regsvr32 /s /u "C:\Program Files\Common Files\System\ado\msado15.dll" 于是就把ADODB.STREAM给卸载了。

2 H" H; n: B% t# S1 B

２．查查ADODB.STREAM 用来干什么的~~~呵呵

３．最简单的办法 ：去金山网站 找那个ADODB软件 把它卸载了！

４．

引用:

最初由 zzzevazzz 发布 # m2 o {! \( f' q根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID， : c7 @3 R+ D3 E' o/ \: ~+ ?9 a我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。 $ }, Y3 T q& f. m . n7 _7 I$ c7 l再根据HKEY_CLASSES_ROOT\C.. 6 h6 Q9 K( F: u4 b: x , l2 o. X! p! y0 S: m3 F* F以下省略......

你的方法显然是可行的,但这样会把整个ado都卸载了(估计会这样). 如果本机还有一些ado的应用,那么可能会出问题啊 ' L% ?0 B# x3 X, d 直接删除了 HKEY_CLASSES_ROOT\ADODB.Stream\CLSID 应该就ok了吧???? : i* L2 p/ R# K& E' y+ i8 Q. v4 r那个dll还是保留好一点

2 M$ C8 Q: P( z9 w# t- K

５．只要asp可用 asp木马就会存在 你认为删除了就 有用吗 我觉得并非如此

7 Y) m d2 T1 s. h2 N/ m

６．

- i, f0 u0 ^2 f; r4 B" H1 {7 v

卸载了ADO 或者把adodb.stream改名 : }2 C1 f7 S# _) i3 J$ {* O都不是好办法 因噎废食的作法 1 T" l$ v" x9 H 没有了ADO ASP还剩下什么呢，还能作什么应用呢？

７．打IE的补丁

. E6 \9 I) o2 Y

８．ASP木马在服务器上运行的跟打IE补丁有什么关系呢? ASP木马用到了FSO,ADODB.STREAM,还有一个DICTIONARY的脚本对象,我想最主要的还是前两个没了前两个对象难道ASP木马还有办法运行起来吗?

n5 a0 q5 i" l3 O4 j( q! ^

９．由于ADODB.STREAM有很多问题，微软在今年6月份出了个补丁，把ADODB.STREAM给禁用了，这个补丁好像就是修改了注册表。

( l$ X) r6 K1 K A, S

１０．禁用了？？ 我的2000sp4，xp sp1，xp sp2都可以用adodb.stream。 - d/ I* [* o# |" U" E0 j可能只是不让IE调用吧，即使安全级别降低。