扼杀asp木马---禁用ADODB.STREAM的讨论

韩冰

编者注：本文自幻影旅团转载而来，希望不会侵犯到版权：）

2 b9 m% {5 P/ i. ?5 x1 M

问：

5 n1 e6 z- f' B+ e2 x" `

我看有很多网页木马用到了这个用来列举出文件目录,有的ASP木马是用CLASSID来创建脚本对象的, . x0 Y0 L6 J1 R: |, s懂的朋友麻烦说说怎么禁掉这个对象,如果可以禁这个脚本对象应该就可以完全的阻止ASP木马了吧, 4 w* Z" w& q2 b& J2 c- Y像SHELL执行已经禁掉了.

答：

１．根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID， 我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。 再根据HKEY_CLASSES_ROOT\CLSID\{00000566-0000-0010-8000-00AA006D2EA4}\InprocServer32的值，找到这个ActiveX对应的dll。 / L5 l" @+ z) a& {我的XP上是C:\Program Files\Common Files\System\ado\msado15.dll 3 L9 S8 a' q0 L 1 T ]) C L. w) L4 h- c8 z H然后regsvr32 /s /u "C:\Program Files\Common Files\System\ado\msado15.dll" 于是就把ADODB.STREAM给卸载了。

２．查查ADODB.STREAM 用来干什么的~~~呵呵

３．最简单的办法 ：去金山网站 找那个ADODB软件 把它卸载了！

４．

: I0 X G! l: ]1 G; \% r1 Q) x7 H

引用:

最初由 zzzevazzz 发布 8 J3 F- a6 [) y c( }根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID， 我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。 9 a/ K# {. b/ w' J2 L% `. ]$ Z再根据HKEY_CLASSES_ROOT\C.. # X# V. ]' y5 F% T/ |1 v) ]. [7 ^ / W% Y7 |4 l, k' a- W# A7 b( R$ }以下省略......

& E( p5 o& S& }1 [9 z 你的方法显然是可行的,但这样会把整个ado都卸载了(估计会这样). 4 E. J1 n" B3 p; x% d如果本机还有一些ado的应用,那么可能会出问题啊 % ~1 B. Y9 Q( t5 m+ P 直接删除了 HKEY_CLASSES_ROOT\ADODB.Stream\CLSID 应该就ok了吧???? 那个dll还是保留好一点

d$ Y7 X% k0 N8 o) f' X# N

５．只要asp可用 asp木马就会存在 你认为删除了就 有用吗 我觉得并非如此

2 v1 i9 @! l# T( p7 z; ?: v0 X* |

６．

1 P! L0 b( g5 K+ D

卸载了ADO 或者把adodb.stream改名 + f& `& I" L4 @' X 0 u7 ?4 [& h9 G都不是好办法 因噎废食的作法 . s+ h/ @# p& z! E( g6 h 没有了ADO ASP还剩下什么呢，还能作什么应用呢？

７．打IE的补丁

" m h; y2 O. _: e

８．ASP木马在服务器上运行的跟打IE补丁有什么关系呢? 9 m4 F( {: N6 n" f; _1 N7 eASP木马用到了FSO,ADODB.STREAM,还有一个DICTIONARY的脚本对象,我想最主要的还是前两个没了前两个对象难道ASP木马还有办法运行起来吗?

) d# \' Z" k$ ]' G0 E5 ^9 }2 i

９．由于ADODB.STREAM有很多问题，微软在今年6月份出了个补丁，把ADODB.STREAM给禁用了，这个补丁好像就是修改了注册表。

& S7 {# I) {' I7 Q: V- F1 O0 z

１０．禁用了？？ 3 s) w, c" Y5 h7 o* b" X我的2000sp4，xp sp1，xp sp2都可以用adodb.stream。 J7 F, f4 [' v可能只是不让IE调用吧，即使安全级别降低。

' X+ F- Q7 a: |