ASP 木馬防範十大鐵律：從上傳源頭到入侵後應急處理全流程

ASP 木馬偽裝性極強，殺毒軟體難以辨識。防範核心在於「堵住上傳路徑、縮小攻擊面、建立應急機制」。本文針對虛擬主機用戶與開發者，提出十大防範原則，構建纵深防禦體系。

攻擊路徑回顧

• SQL 注入提權 → 備份資料庫寫入木馬
• 後台上傳功能漏洞（繞過副檔名檢查、解析漏洞）
• 第三方元件（編輯器、論壇）上傳漏洞

十大防範鐵律

1. 棄用 ASP 上傳，改用 FTP/SFTP 維護網頁：徹底消除上傳攻擊面。
2. 所有上傳功能強制身分驗證：新聞發布、商城、論壇等任何上傳介面，僅受信任帳號可用。
3. 管理員帳號密碼高複雜度 + 定期輪換：防暴力破解與撞庫。
4. 下載知名開源程式、修改預設資料庫路徑/名稱、使用 .mdb 副檔名：利用主機商 .mdb 防下載設定。
5. 持續更新至最新版本、及時套用官方補丁。
6. 前台頁面不暴露後台登入連結：降低掃描發現率。
7. 維護後刪除後台登入頁，下次維護再上傳：極致縮小暴露窗口。
8. 定期異地備份資料庫與關鍵檔案。
9. 日常巡檢：檢查不明 .asp/.asa/.cer/.cdx 檔案：一分耕耘一分安穩。
10. 發現入侵：除非能精準識別所有木馬，否則全盤刪除重建，並重設所有帳號密碼、資料庫路徑、後台目錄名稱。

開發者安全編碼要點

• 資料庫連接字串、帳密封裝於伺服器端（如 COM+、Web.config），不寫在 ASP 檔案中。
• 資料庫帳號授予最小權限（僅 SELECT/INSERT/UPDATE，無 DROP/CREATE）。
• 驗證頁面追蹤 HTTP Referer，僅允許來自上一頁合法轉向。
• 防 .inc 檔案洩露（IIS 對應 .inc 為腳本處理或移至 Web 根目錄外）。
• 防編輯器產生 .bak、.tmp 備份檔洩露源碼。
• 上傳功能：白名單副檔名、重命名亂碼檔名、儲存於非執行目錄、禁止腳本執行權限。

主機商責任邊界

主機商無法預知用戶上傳程式漏洞，僅能防禦「已被入侵站點橫向攻擊同主機其他站點」。用戶必須自負程式安全責任。

攻防是永恆博弈，十大鐵律構建基線，持續學習與實踐才能立於不敗之地。