删除windows上lpt1.asp伪装木马文件（SHR属性），及一次查杀web木马简记

维护的一台windows 2003服务器，跑iis6，其中一个站点需要同时支持asp与php，还得跟站点web用户赋写入权限（因为该站主要是一asp的CMS，文章内容页是生成静态html的）。正因如此，该站比较容易出问题，数次被挂马。

在与该CMS还有入侵者长期的拉锯战里，该站点做了很多针对性的措施，比如，

• 删除iis里动态脚本映射，只保留.asp, .php, .shtml，其它的像.net的一大堆(,.cs什么什么的)，全部删除
• 改进cms程序的写入文件功能：禁止写asp, php文件，增强上传功能安全性，等
• 非动态脚本目录（如文件上传目录等），通过iis设置无执行权限
• 后来更严苛的设置，除了少数几个有必要的目录，其它目录下的.asp, .php全部重写到一个空文件上。通过rewrite实现

不过后来，还是出过问题。

如这一次，根据被挂马文件的写入时间，找之前一天内被修改过(包括写入)的.asp, .php文件，在查iis日志，里查找马儿文件被请求的记录项，找到马夫的ip，当然ip很可能是动态变化的，不过这次好像是全部从一个ip上还的，这就省功夫了。分析该ip的请求记录，专找对.asp, .php url的请求，尤其是 POST请求（因为webshell大马的处理很复杂，一般都是post传参数），仔细检查这些.asp, .php文件的修改时间，最近被修改过的，一定可疑。修改时间是很久以前，也不能吊心轻心，有可能是长期隐蔽马。

按上面的步骤，清理木马不是太难的事情。但就怕遗漏，一个小小马（通常是一句话或其变种），足以让这些工作白费。

不过这次发现了一个名为 lpt1.asp 的文件，而且是“系统 隐藏 只读”的属性SHR，删除时提示找不到文件，有点奇怪了，看文件名，有点奇怪；使用编辑器打开，也提示文件不存在。担心操作系统被植入了什么进程，这就麻烦了。google得知，lpt1这是dos保留字的文件名，要使用一个咒语般的路径地址，很蛋疼。。。

根据搜索结果，该文件位于 E:\www\site_root\images\lpt1.asp 相应的地址是 \\.\E:\www\site_root\images\lpt1.asp ，即

del \\.\E:\www\site_root\images\lpt1.asp

结果是不行，怀疑是SHR的关系，尝试一阵子，通过这样的形式：

attrib -S -R -H path_to_file.ext

清理掉这几个属性；似乎这几个属性要一次性去除，还不能一个一个的去除；好像不是dos的风格，竟然支持一次多个item的操作。。。。

然后可以删除了，当然，我在删除前做了个备份，毕竟又截获了一只马。

下面是一部分操作的记录，帖出来了

E:\www\site_root\images>del E:\www\site_root\images\lpt1.asp
文件名、目录名或卷标语法不正确。

E:\www\site_root\images>attrib \\.\E:\www\site_root\images\lpt1.asp
A  SHR     \\.\E:\www\site_root\images\lpt1.asp

E:\www\site_root\images>del E:\www\site_root\images\lpt1*
找不到 E:\www\site_root\images\lpt1*

E:\www\site_root\images>del E:\www\site_root\images\lp*

E:\www\site_root\images>attrib \\.\E:\www\site_root\images\lpt1.asp
A  SHR     \\.\E:\www\site_root\images\lpt1.asp

E:\www\site_root\images>attrib \\.\E:\www\site_root\images\lpt1.asp
A  SHR     \\.\E:\www\site_root\images\lpt1.asp

E:\www\site_root\images>attrib -H \\.\E:\www\site_root\images\lpt1.asp
未重设系统文件 - \\.\E:\www\site_root\images\lpt1.asp

E:\www\site_root\images>attrib -S -R -H \\.\E:\www\site_root\images\lpt1.asp

E:\www\site_root\images>attrib -H \\.\E:\www\site_root\images\lpt1.asp

E:\www\site_root\images>attrib \\.\E:\www\site_root\images\lpt1.asp
A          \\.\E:\www\site_root\images\lpt1.asp


E:\www\site_root\images>attrib \\.\E:\www\site_root\images\lpt1.asp
A          \\.\E:\www\site_root\images\lpt1.asp

E:\www\site_root\images>copy \\.\E:\www\site_root\images\lpt1.asp f:\aa.txt
已复制         1 个文件。

E:\www\site_root\images>del \\.\E:\www\site_root\images\lpt1.asp

本文是以前写的一篇手记，处理后以为问题得解，但稍后两天发现仍被入侵，于是次本文状态改成草稿；被入侵的原因是其他地方仍然有木马，处理后本文丢在这里没有动。这么久都没有继续写，大概以后也不会续写，最近整理博客时就直接发出来算了(2016-10-10 16:20)