ASP 木馬主要濫用三大 COM 組件與命令執行器。防範核心在於註冊表重命名/刪除 CLSID 並限制 Guest 帳號存取權限：

1. FileSystemObject (scrrun.dll)

• 重命名註冊表鍵值：HKEY_CLASSES_ROOT\Scripting.FileSystemObject → FileSystemObject_ChangeName，同步修改 CLSID 子鍵。
• 或刪除 CLSID 值。
• 註銷組件：RegSrv32 /u C:\WINNT\SYSTEM\scrrun.dll
• 禁止 Guest 存取：cacls C:\WINNT\system32\scrrun.dll /e /d guests

2. WScript.Shell (wshom.ocx / scrobj.dll)

• 重命名 HKEY_CLASSES_ROOT\WScript.Shell 及 WScript.Shell.1 並修改 CLSID。
• 或刪除 CLSID 值。

3. Shell.Application (shell32.dll)

• 重命名 HKEY_CLASSES_ROOT\Shell.Application 及 Shell.Application.1 並修改 CLSID。
• 禁止 Guest 存取：cacls C:\WINNT\system32\shell32.dll /e /d guests

4. 禁用 Cmd.exe

cacls C:\WINNT\system32\Cmd.exe /e /d guests

生效與補充

所有變更需重啟 IIS (iisreset) 生效。最有效防禦仍是綜合安全基線：最小權限部署、應用程式池隔離、WAF 規則、定期滲透測試與補丁管理。