正在阅读:

防止.NET木马列所有站物理路径,防止.JPG类型木马

5,902

前段时间单位的服务器上被人上传了一个.NET木马,,这次让我认识到以前没有见过的上传木马的招数,,同时也找出一些对策,,咱点石论坛很多都有服务器的,,就分享出来给大家吧。

.net木马目前很强的,下载地址:http://www.rootkit.net.cn/article.asp?id=132 (你可以上传到你的服务器上看看对你的系统都能做什么)
此木马是一个.NET程序制作,如果你的服务器支持.NET那就要注意了,,进入木马有个功能叫:IIS Spy,点击以后可以看到所有站点所在的物理路径。

防御方法:

"%SystemRoot%/ServicePackFiles/i386/activeds.dll

"%SystemRoot%/system32/activeds.dll

"%SystemRoot%/system32/activeds.tlb

搜索这两个文件,把USER组和POWERS组去掉,只保留administrators和system权限。。如果还有其它组请全部去掉。。这样就能防止这种木马列出所有站点的物理路径。。。

asp程序最近碰到一个上传图片,但如果上传图片的文件夹给了IIS可执行脚本的权限,那么他上传.jpg的图片也一样能够执行ASP木马。呵呵

上传的格式为:xxx.asp;_200.jpg

注意他是用.jpg的格式上传,但中间有.asp,这样也能执行脚本,应该也是IIS的BUG

解决方法:

一、能上传的目录给IIS不允许执行脚本的权限。

二、利用其它带文件防护功能的软件防止*.asp;*.jpg写入文件。

三、所有目录允许读取,只要是写入的文件夹在IIS里请将脚本改为无。如果没有服务器的朋友,那被传马那也没办法了,除非你可以协调空间商帮你做这些操作。。

目前有:2条访客评论,博主回复2

  1. nick
    2013-07-10 21:02

    那个图片上传的服务器是IIS 6.0的吗?这个看起来怎么像是解析漏洞呢?

    • 独自等待
      2015-07-07 11:33

      是的,这个站时间太长了,已经改版了,所以很多东西都失效了。

留下脚印,证明你来过。

*

*

流汗坏笑撇嘴大兵流泪发呆抠鼻吓到偷笑得意呲牙亲亲疑问调皮可爱白眼难过愤怒惊讶鼓掌