扼杀asp木马---禁用ADODB.STREAM的讨论

韩冰

编者注：本文自幻影旅团转载而来，希望不会侵犯到版权：）

问：

' k1 G& n/ o9 I* r2 ]

我看有很多网页木马用到了这个用来列举出文件目录,有的ASP木马是用CLASSID来创建脚本对象的, 懂的朋友麻烦说说怎么禁掉这个对象,如果可以禁这个脚本对象应该就可以完全的阻止ASP木马了吧, 像SHELL执行已经禁掉了.

答：

１．根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID， 我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。 & l* ]. `9 i# h; h3 H 再根据HKEY_CLASSES_ROOT\CLSID\{00000566-0000-0010-8000-00AA006D2EA4}\InprocServer32的值，找到这个ActiveX对应的dll。 # d( I* P. V1 D# I我的XP上是C:\Program Files\Common Files\System\ado\msado15.dll 然后regsvr32 /s /u "C:\Program Files\Common Files\System\ado\msado15.dll" * O# y9 `+ B; ^" o1 \* ` 2 R9 [; f1 ^4 m, T z% s/ ^9 A3 b于是就把ADODB.STREAM给卸载了。

3 y# y0 A& ?- H0 k5 A

２．查查ADODB.STREAM 用来干什么的~~~呵呵

３．最简单的办法 ：去金山网站 找那个ADODB软件 把它卸载了！

5 | z5 w: f7 ~0 E: O& @) e

４．

引用:

* d v$ {. O! }

' S* q; R q! K+ G最初由 zzzevazzz 发布 根据HKEY_CLASSES_ROOT\ADODB.Stream\CLSID的值获得CLASSID， 我的XP上是{00000566-0000-0010-8000-00AA006D2EA4}，每台主机上应该都一样。 * Y4 ?* l7 ]6 F' k5 m5 d 5 ]. {4 w& h9 d9 [( z再根据HKEY_CLASSES_ROOT\C.. 以下省略......

2 }; x5 J6 j% z% P 8 x8 I% Q- A! g; M' p& P; M你的方法显然是可行的,但这样会把整个ado都卸载了(估计会这样). 如果本机还有一些ado的应用,那么可能会出问题啊 直接删除了 HKEY_CLASSES_ROOT\ADODB.Stream\CLSID 应该就ok了吧???? 那个dll还是保留好一点

6 b0 E7 p5 y/ e3 O4 c

５．只要asp可用 asp木马就会存在 你认为删除了就 有用吗 我觉得并非如此

; Y! ]2 K3 B/ |3 e& r5 S

６．

卸载了ADO 或者把adodb.stream改名 6 W& S% Y- _+ t% N! ^/ a ' A% S7 K! A$ G' ?# F都不是好办法 因噎废食的作法 7 F; o. |+ u5 f ' t, n- l" n5 ]7 M- k; _+ V没有了ADO ASP还剩下什么呢，还能作什么应用呢？

７．打IE的补丁

# X8 a( n! S+ v. h4 A7 w

８．ASP木马在服务器上运行的跟打IE补丁有什么关系呢? : s5 a7 F* l$ n/ T; f* b7 uASP木马用到了FSO,ADODB.STREAM,还有一个DICTIONARY的脚本对象,我想最主要的还是前两个没了前两个对象难道ASP木马还有办法运行起来吗?

& N, x! V h7 R; J" e; y

９．由于ADODB.STREAM有很多问题，微软在今年6月份出了个补丁，把ADODB.STREAM给禁用了，这个补丁好像就是修改了注册表。

1 A j0 a% N. W6 ?

１０．禁用了？？ 我的2000sp4，xp sp1，xp sp2都可以用adodb.stream。 ; ~2 f$ M) X! r8 l8 }9 A- U+ ~可能只是不让IE调用吧，即使安全级别降低。

1 E0 F0 \$ K) G/ T* P