防範 ASP 木馬在伺服器執行：封鎖高危 COM 元件與指令執行

ASP 木馬常濫用三大 COM 元件與 Cmd.exe 實現檔案操作、指令執行、目錄遍歷。透過登錄修改、權限鎖定、元件註銷等手段，可大幅提高攻擊門檻。操作後需重新啟動 IIS (iisreset) 生效。

一、FileSystemObject (檔案系統操作)

• 登錄重命名法：
  HKEY_CLASSES_ROOT\Scripting.FileSystemObject → 改名 FileSystemObject_ChangeName
  同步修改 CLSID 子鍵值。
  自身開發需求時呼叫新名稱即可。
• 註銷元件：
  RegSvr32 /u C:\WINNT\SYSTEM\scrrun.dll
• NTFS 拒絕 Guest 存取：
  cacls C:\WINNT\system32\scrrun.dll /e /d guests

二、WScript.Shell (系統指令執行)

• 登錄重命名：
  HKEY_CLASSES_ROOT\WScript.Shell → WScript.Shell_ChangeName
HKEY_CLASSES_ROOT\WScript.Shell.1 → WScript.Shell.1_ChangeName
  同步修改各自 CLSID 值。
• 註銷/刪除登錄鍵 同理。

三、Shell.Application (同樣可執行系統指令)

• 登錄重命名：
  HKEY_CLASSES_ROOT\Shell.Application → Shell.Application_ChangeName
HKEY_CLASSES_ROOT\Shell.Application.1 → Shell.Application.1_ChangeName
  同步修改 CLSID。
• NTFS 拒絕 Guest 存取 shell32.dll：
  cacls C:\WINNT\system32\shell32.dll /e /d guests

四、封鎖 Cmd.exe 直接呼叫

cacls C:\WINNT\system32\Cmd.exe /e /d guests

防護總結

核心原則： 最有效的防護仍是「纏深防禦」：作業系統修補、最小權限原則、應用程式輸入驗證、WAF/防火牆、定期掃描與審計。上述手段屬於「提高攻擊成本」的補充措施，不可作為單一依賴。