ASPXSpy 木馬代碼分析與防範指南

警告：本文僅供安全研究與防禦分析之用，嚴禁用於非法用途。

樣本概況

ASPXSpy 是經典 ASP.NET 木馬（WebShell），偽裝為 .aspx 頁面，提供文件管理、命令執行、資料庫操作、註冊表讀寫、服務控制、端口掃描、提權等完整後門功能。特徵：單檔案、大量混淆、動態編譯、反射調用、Base64 編碼路徑傳遞。

核心惡意功能模組

技術手法解析

• Base64 路徑傳遞：所有文件操作參數經 Convert.ToBase64String(Encoding.Default.GetBytes(path)) 編碼，繞過 WAF 關鍵字檢測。
• 動態控件生成：ParseControl 根據磁碟機/目錄動態生成 LinkButton，繞過靜態分析。
• 反射/晚期綁定：大量 GetType().InvokeMember、MethodInfo.Invoke 隱藏調用鏈。
• WMI/CIM 查詢：ManagementObjectSearcher 獲取進程、服務、硬體資訊，無需匯入特定命名空間即可編譯。
• COM 互操作：DirectoryEntry 操作 IIS Metabase、WScript.Shell 執行命令。
• Socket 端口轉發：非同步 BeginConnect/BeginReceive 實現雙向隧道。

檢測與清理指引

1. 文件層面：掃描 .aspx/.ashx/.asmx 檔案，特徵：validateRequest="false"、enableViewStateMac="false"、大量 @ Import Namespace、@ Assembly Name、Process.Start、Registry.、ManagementObjectSearcher、DirectoryEntry、Base64 編碼參數。
2. 流量層面：POST 請求含 __EVENTTARGET、__FILE 參數、Base64 編碼路徑、異常 User-Agent。
3. 清理步驟：
   1. 隔離受感染伺服器，備份日誌。
   2. 刪除木馬檔案及同目錄可疑檔。
   3. 檢查 App_Code、Bin、Global.asax、Web.config 是否被植入後門代碼。
   4. 掃描資料庫是否有異常預存過程、CLR 組件、備份檔寫入 Shell。
   5. 修改所有帳號密碼（資料庫、FTP、管理員、服務帳號）。
   6. 修補漏洞：文件上傳驗證、目錄執行權限、補丁更新、WAF 規則。

防禦加固建議

• 上傳目錄禁用執行權限：IIS 設定 Handler Mappings 移除 .aspx/.php/.jsp 處理器，或 web.config <handlers accessPolicy="Read" />。
• 嚴格驗證上傳檔案：白名單副檔名、MIME 類型、魔數檢查、重命名存儲、存放非 Web 可訪問路徑。
• 最小權限原則：應用程式池身分使用專用低權限帳號，禁用 Load User Profile、SetACL 限制寫入目錄。
• 禁用危險功能：validateRequest="true"、enableViewStateMac="true"、requestValidationMode="4.5"、移除 PageParserPaths。
• 部署 WAF/RASP：攔截已知 WebShell 特徵、異常流量、命令執行參數。
• 定期完整性檢查：檔案雜湊基線比對、目錄監控、異常檔案告警。

法律提醒

根據《中華人民共和國網絡安全法》等法規，制作、傳播、使用木馬程式屬違法犯罪行為。企業應建立應急響應預案，發現入侵立即報告公安機關配合取證。

理解攻擊者工具鏈，才能構建更有效的防禦體系。安全無絕對，持續監測與快速響應是關鍵。