大家看見這個題目一定會很有感受吧，是否有點迷惑呢?首先我來詮釋下題目的意思。

　　第1個網馬指的是網頁木馬，就是黑客口中所說的的webshell。那啥子又是webshell呢?實際上wenshell用話揭露了就是黑客侵入國一個網站在這以後在這個網站目次裡留下的後門，然而這個後門是一個網頁，webshell功能很堅強雄厚，可以列出網站的全部目次，可以恣意更改新建甚至於刪去網站上的文件。往往網站被掛馬就是經過這種後門成功實現的，當然webshell還有其它更多堅強雄厚的功能，譬如電子掃描端口、連署數值庫、甚至於經過從這以後門拿到服務器無上職權范圍等等。而題目上等二個網馬的意思是網住木馬，就是揪出網頁木馬的意思。

　　信任眾多站長都有被掛馬的經歷吧，那是讓人不齒的行徑，更為全部站長所懊恨。被掛馬的確是件令首級疼的事物。首頁被掛馬也就拉到，最讓人難於勉強承受的就是全部的網頁都被掛馬。難不成要我們逐一去查尋麼。愚公移山的那種笨勁兒咱可來不得。接下來我就給大家講講怎麼樣經過網馬(webshell)來揪出網站的後門木馬。

　　以前年少非常輕浮的我為尋求黑客做出過很大的盡力盡量，雖一事沒有成就卻也若乾學了點物品。首先聲明下，本人從未掛過馬。切入主題吧。實際上很簡單，眾多後門網馬都有這樣一個功能，就是批量清馬和查尋網馬，壓根兒黑客研發出這種木馬是為了掃除淨盡其它黑客留下的木馬繼續往前能夠獨佔這個網站。而到我們站長手上就成為了掃除淨盡全部網馬的利器。

　　我就拿我的一個asp的網站做實驗。首先我在根目次上傳了兩個網馬，一個是大馬(功能堅強雄厚)一個小馬(僅有上傳功能)，姑且起名稱為dama.asp和xiaoma.asp。這就是摹擬一個黑客侵入國你的網站後留下的後門。看我怎麼樣網住這兩個木馬。

　　我將一個網馬(webshell，起名稱為520.asp)上傳到網站上，共進入了這個網頁木馬，如下所述所示

　　

　　看見上頭的功能沒?有個查尋文件-木馬，點進去

　　

　　直接點擊 著手電子掃描，稍等一會兒便會列出最後結果如下所述

　

文件相對途徑	特點標志碼	描寫	開創/改正時間
D:\www\15946\520.ASP Edit Down Del Copy Move	(vbscriptjscriptjavascript).Encode	仿佛好象腳本代碼被加密了	2009-4-21 12:40:39 2009-4-21 12:40:43
D:\www\15946\adminggb.asp Edit Down Del Copy Move	Execute	execute()函數可以執行恣意ASP代碼	2009-4-19 1:04:48 2009-4-19 1:04:50
D:\www\15946\dama.asp Edit Down Del Copy Move	(vbscriptjscriptjavascript).Encode	仿佛好象腳本代碼被加密了	2009-4-21 12:40:48 2009-4-21 12:40:55
D:\www\15946\xiaoma.asp Edit Down Del Copy Move	.CreateTextFile.OpenTextFile	運用了FSO的CreateTextFileOpenTextFile讀寫文件	2009-4-21 12:43:57 2009-4-21 12:43:58
-同上-	CreateObject	CreateObject函數運用了變型技術	2009-4-21 12:43:57 2009-4-21 12:43:58
D:\www\15946\class\dbconn.asp Edit Down Del Copy Move	Execute	execute()函數可以執行恣意ASP代碼	2009-4-19 1:00:27 2009-4-19 1:00:27
D:\www\15946\class\upload.asp Edit Down Del Copy Move	.SaveToFile	運用了Stream的SaveToFile函數寫文件	2009-4-19 1:00:37 2009-4-19 1:00:38
D:\www\15946\lang\admingg.asp Edit Down Del Copy Move	Execute	execute()函數可以執行恣意ASP代碼	2009-4-19 1:00:50 2009-4-19 1:00:51
D:\www\15946\source\src_admin.asp Edit Down Del Copy Move	CreateObject	CreateObject函數運用了變型技術	2009-4-19 1:01:02 2009-4-19 1:01:08
D:\www\15946\source\src_adminggb.asp Edit Down Del Copy Move	CreateObject	CreateObject函數運用了變型技術	2009-4-19 1:01:09 2009-4-19 1:01:11

　　最後結果出來了，然而仿佛好象腳本代碼被加密了，這麼的一看就曉得是木馬，由於我們做網站這些個動態網頁我們根本沒可能去加密，黑客加密它是為了避免被殺毒軟件殺掉以起到免殺的目標。那是dama.asp和我自個兒上傳的查網馬的木馬520.asp。除此以外xiaoma.asp的描寫是運用了FSO的CreateTextFileOpenTextFile讀寫文件，這是小馬的特點標志。

　　網頁木馬就是經過FSO的CreateTextFileOpenTextFile來開創敞開網站上的文件的。當然不擯除我們自個兒的網頁也會有此功能，這就需求我們進去具體檢查，當然還有近路。大家看看不是列出了眾多文件吧，那一些物品怎麼判斷呢?看後面的開創改正時間，其它的文件都是四月19號的而那裡面三個是四月21號的，新建的，這就很容易分辨斷定是網馬，其它的那一些文件都是一點系統性的文件，沒可能是新日子。

　　黑客還有一種手眼就是往現存的網頁中插進去一句話木馬，這個判斷起來同樣道理，就是一句話木馬有執行功能一定會有execute函數，不過我們的網站後臺文件也會有此功能，怎麼差別呢?仍然看時間，不過要是服務器職權范圍設置的差力到家了，可以被黑客利用起來運行EXE文件施行改正開創時間，這種事情狀況我就不說了。由於要是那樣子的話，你可以立刻轉移服務器，暫停此時的風險投資了。

　　還有批量清馬的問題，眾多網頁被掛馬了，只要找出網馬代碼，而後點擊 批量清馬在要清的馬後面的框框裡填上找到的網頁木馬代碼，點擊著手執行，即可。如下所述所示

　　

　　普通黑客在頁面掛馬都是經過調配使用iframe框架將寬厚溫和高還有邊框什麼的的設置為0，即掩飾來達到掛馬目標的。用這一招就可以讓網馬煙消雲散了。

　　好了，這篇文章至此終了。如有疑問，可以向我問詢。QQ：22622467。