ASP 木馬偽裝成正常 .asp 檔案，傳統防毒軟體難以偵測。防禦核心在於「封堵上傳入口、縮小攻擊面、嚴格權限控管、持續修補與審計」。本文針對虛擬主機用戶與開發者，彙整十大防範原則與實作細節。

攻擊路徑回顧

1. SQL Injection 取得管理權限 → 利用備份資料庫功能寫入 .asp 木馬。
2. 後台上傳功能驗證不足/副檔名過濾繞過 → 直接上傳 .asp/.asa/.cer 等可執行腳本。
3. 利用第三方元件（如 FCKeditor、eWebEditor 舊版）任意上傳漏洞。

十大防範鐵律

1. 棄用 ASP 上傳元件，改用 FTP/SFTP 部署：根除上傳入口，來源端可控。
2. 所有上傳/管理介面強制身分驗證：含新聞發布、商城、論壇等任何可上傳功能，需登入且驗證權限。
3. 管理帳號強密碼 + 定期輪換：長度 ≥12、大小寫數字符號混合，禁用預設 admin/admin。
4. 資料庫檔名/路徑/帳密全面修改：預設 conn.asp、data.mdb、admin/123456 皆為必改項目；建議用 .mdb 搭配主機商防下載設定。
5. 持續更新至最新版本/修補程式：訂閱官方公告、GitHub Security Advisories，首日部署修補。
6. 隱藏後台登入入口：前台頁面不放後台連結；登入頁面改隨機名稱（如 manage_7x9k.asp）。
7. 維護完成即刪除/離線後台管理程式：需要時再透過 FTP 上傳，縮短暴露窗口。
8. 定期異地備份資料庫與關鍵程式碼：每日增量、每週完整，驗證可還原。
9. 日常巡檢：掃描不明 .asp/.asa/.cer/.php 檔案：對比原始部署清單，異常立即隔離分析。
10. 一旦被植入，全盤重建而非嘗試清除：刪除所有檔案 → 重新部署乾淨版本 → 全部帳號改密 → 資料庫改名/移動路徑 → 後台路徑重命名。

開發者安全編碼清單

• 資料庫連線字串、帳密封裝在 Server 端 Include 檔，勿直接寫在 .asp 中。
• 資料庫帳號僅授予必要權限（SELECT/INSERT/UPDATE/DELETE），嚴禁 sa/db_owner。
• 需驗證頁面檢查 Request.ServerVariables("HTTP_REFERER") 來源，防 CSRF/直接存取。
• 防止 .inc 檔案被直接下載：IIS 設定對應 .inc 為 ASP 處理、或放在 Web 根目錄外。
• 編輯器（UE、VS Code）產生 .bak、~ 暫存檔 → 設定不產生或部署前刪除。
• 上傳功能：白名單副檔名、重新命名、儲存於非執行目錄、檔案內容檢測（MIME、Magic Bytes）。

主機商責任與限制

主機商無法預知用戶上傳程式碼漏洞，僅能隔離站點間權限（應用程式集區身分隔離、檔案系統 ACL）、提供 WAF 規則、定期掃描已知 Webshell 特徵碼。最終防線仍在用戶端程式碼品質與營運流程。

入侵與防禦是永無止境的攻防戰，落實十大鐵律，才能將風險壓縮到可接受水準！