Rank: 1

帖子: 6
精华: 0
积分: 14
威望: 14
金钱: 15
在线时间: 0 小时

1^# 跳转到 » 倒序看帖

打印

字体大小: tT

发表于 2008-12-22 15:58 | 只看该作者

有人被挂过aspxspy这个asp.net的木马？

有人被挂过aspxspy这个asp.net的木马？
这种木马权限很高啊，应该怎么样做安全设置？
最主要是怎么样才能禁止它列出服务器的详细信息和进程信息还有IIS下的站点信息啊？

小胖子

超级版主

Rank: 8 Rank: 8

帖子: 243
精华: 0
积分: 62
威望: 62
金钱: 46
来自: 北京
在线时间: 5 小时

论坛元老论坛斑竹

2^#

发表于 2008-12-22 23:02 | 只看该作者

具体安全配置请参考老大的文章：
http://old.31896.net/Html/2006-12/30/10353601331.shtml

不要让生活磨灭我的性格！

TOP

firefox

斑竹

Rank: 7 Rank: 7 Rank: 7

帖子: 433
精华: 4
积分: 2842
威望: 2842
金钱: 4710
在线时间: 360 小时

3^#

发表于 2008-12-23 00:12 | 只看该作者

嗯，参考老大此文！
ASP.NET木马及Webshell安全解决方案
http://old.31896.net/Html/2006-12/30/10353601331.shtml

TOP

metallica0778

服安新手

Rank: 1

帖子: 6
精华: 0
积分: 14
威望: 14
金钱: 15
在线时间: 0 小时

4^#

发表于 2008-12-23 11:09 | 只看该作者

本帖最后由 metallica0778 于 2008-12-23 11:40 编辑

这文章N年前就看过而且知道方法了，严格限制权限只能是限制他浏览别的网站程序文件夹，但是它能列出服务器的详细信息和所有进程啊，还能遍历IIS下的所有站点！这个应该怎么防范？
研究了半天也只找到禁止C:\WINDOWS\system32\inetsrv目录下的adsiis.dll的user权限可以禁止遍历IIS
但是列出服务器详细信息和所有进程没办法解决~~~~~~~~~~！
囧~~~~~~~~

发个图给大家看看

TOP

flyfox

斑竹

Rank: 7 Rank: 7 Rank: 7

帖子: 396
精华: 18
积分: 1593
威望: 1593
金钱: 1591
在线时间: 249 小时

5^#

发表于 2008-12-23 15:14 | 只看该作者

将你的aspxspy打qnqqnqn包上传一下！俺们一起测试～～
权限详细了～应该可以做到的！
workstion服务你开启了没有?

服务器安全讨论区 Server Security Discuss Area 简称：S.S.D.A [创造特色互联网共享精神倡导服务器安全行业文化]
天下病毒唯我查杀流氓木马手刃有余。

TOP

metallica0778

服安新手

Rank: 1

帖子: 6
精华: 0
积分: 14
威望: 14
金钱: 15
在线时间: 0 小时

6^#

发表于 2008-12-24 09:49 | 只看该作者

本帖最后由 metallica0778 于 2008-12-24 16:15 编辑

论坛貌似不能上传附件，还是我的权限不够？
所以我把大胆的吧木马放在我的服务器上了！

点我可以下载木马哦

提取码：a5296a30

上边的链接是由服务器上提取的asp.net的木马程序。需要在.net2.0或以上环境运行
有人说1.X也可以，没实验成功
登陆密码是：caonima 密码经过MD5加密，想改密码的自己看源代码吧

研究发现，由于木马使用了.net程序获得系统权限很高的特性，严格限制权限其实并没有很大作用，因为只要文件夹权限分配里含有User,IIS_WPG,NETWORK SERVICE这三个用户组其中的一个，木马就可以运行，并且可以通过猜测，跳转到别的文件夹，特别是WINDOWS文件夹，如果去掉IIS_WPG的权限的话，后果自己试试看吧

所以严格分配权限会使某些程序运行不正常，User,IIS_WPG的权限貌似能去掉，但是NETWORK SERVICE的权限是很多.net程序所必须的，所以我认为，只有找到程序是调用了哪个系统DLL文件里的参数，并且对它进行禁止，才是解决问题的关键，就好像对ASP木马，我们会把webshell的DLL卸载或者改名来达到防范的目的一样
到目前为止，只找到C:\WINDOWS\system32\inetsrv目录下的adsiis.dll去掉User的权限可以禁止遍历服务器上的所有站点，也就是木马里IIS_Spy所显示的内容
研究还在继续中，顺便鄙视一下那个挂我马的家伙

TOP

firefox