由于ASP本身是服务器提供的贡品服务功能，特别是最近dvbbs的upfile文件出现了漏洞，其高隐蔽性和查杀难度对网站的安全构成了严重威胁。因此，ASP木马的防范和清除对网络管理员提出了更高的技术要求。
几个大程序都被发现有上传漏洞，小程序更是数不胜数，以至于asp木马一度占据主流，被广泛使用。想必如果你是服务器的话，一定很为这个头疼。尤其是虚拟主机的用户，都有过网页篡改和数据删除的经历。事后，很多客户除了痛恨这种行为，还苦于缺乏有效的防范措施。鉴于大部分网站入侵都是利用asp木马完成的，所以写这篇文章是为了让普通虚拟主机用户更好地了解和防范asp木马。只有空间商和虚拟主机用户共同采取防范措施，才能有效防范asp木马！
首先，我们来说说如何预防。说到防止asp木马的原理，我就不说大道理了。网上文章多的是。简单来说，asp木马其实就是用asp编写的网站程序，甚至有些asp木马是被asp网站管理程序修改的。比如我们常见的asp站长助理，等等。
asp和其他asp程序没有本质区别。只要是asp可以运行的空间，都可以运行。这种特性使得ASP特洛伊木马非常难以检测。与其他asp程序的区别仅在于asp木马是入侵者上传到目标空间，帮助入侵者控制目标空间的asp程序。严重到要获得服务器管理员的许可，如果要禁止asp木马运行，无异于禁止asp运行。显然这是不可行的，这也是asp木马横行的原因！如果有人问，就没有出路了吗？是的，有：
一、从源头看，入侵者是如何上传asp木马的？一般有几种方法，通过sql注入的方式，获得管理员权限，通过备份数据库的功能，将asp木马写入服务器。或者通过asp程序上传功能的漏洞进入后台，上传木马等。当然，一般情况下，这些可以上传文件的asp程序都是有权限限制的，大部分也限制了asp文件的上传。(比如新闻发布、图片管理程序、可以上传更多类型文件的论坛程序等。)，如果我们直接上传asp木马，会发现程序会提示，无法直接上传。然而，由于人为的asp设置错误和asp程序本身的漏洞，入侵者有机会上传asp木马。
所以防止asp木马的关键在于虚拟主机用户如何保证自己空间内asp上传程序的安全。如果你用的是别人的程序，尽量用比较大的有名气的程序，这样漏洞自然会少一些，而且尽量用最新的版本，并且要经常在官网上查看新版本或者最新补丁，以及那些数据库的默认路径和管理员的默认密码。你必须改变它们，形成一种习惯，以确保程序的安全性。
那么，如果你是程序员，我还想说，在网站程序上，也要尽量从安全的角度去写涉及用户名和密码的程序。最好是在服务器端打包，尽量少出现在ASP文件中。数据库连接中涉及的用户名和密码应被授予最低权限。需要验证的ASP页面可以跟踪上一页的文件名，只有从上一页调入的会话才能读取此页。防止ASP主页泄露。inc文件；必须特别注意防止UE等生成的某些. asp.bak文件泄露。尤其是上传功能。
以上只是对客户的一些要求。而空间厂商无法预见虚拟主机用户会在自己的站点中上传什么样的程序，每个程序是否存在漏洞，因此无法阻止入侵者利用站点中客户端程序本身的漏洞上传asp木马。空间商只能防止入侵者利用被入侵的站点再次入侵同一服务器上的其他站点。这也说明，要防范asp木马，虚拟主机用户要严格控制自己的程序！
为此，我总结了预防ASP木马的十大原则，供大家参考：
1.建议用户通过ftp上传和维护网页，尽量不要安装asp上传程序。
2.调用asp上传者必须经过身份验证，只有信任的人才允许使用上传者。这包括各种新闻发布，商场，论坛节目。只要能上传文件的asp都得认证！
3.asp程序管理员的用户名和密码要复杂，不能太简单，要定期更换。
4.从正规网站下载asp程序。下载后要修改数据库名称和存储路径，数据库文件名要复杂。建议我们的客户使用数据库文件扩展名。mdb，因为我们的服务器设置了。mdb文件下载阻止。
5.尽量使程序保持最新。
6.不要在网页上添加后台管理程序登陆页面的链接。
7.为防止程序出现未知漏洞，可以在维护后删除后台管理程序的登陆页面，然后在下次维护时通过ftp上传。
8.始终备份重要文件，如数据库。
9、日常维护，并注意空间中是否有来历不明的asp文件。记住：一分汗水，一分安全！
10.一旦发现被入侵，除非能识别所有木马文件，否则删除所有文件。在重新上传文件之前，需要重新设置所有asp程序的用户名和密码，并重新修改程序数据库名称和存储路径以及后台管理程序路径。
采取以上防范措施，你的网站只能说是相对安全的，一定不能疏忽因为入侵和反入侵是一场永恒的战争！
