%@LANGUAGE="VBSCRIPT" CODEPAGE="936"%>
%
'設置登陸密碼，使用前務必修改此密碼
PASSWORD = "www.pifoo.com"

'其他掃描設置
DimFileExt = "asp,cer,asa,cdx"  '文件類型擴展名列表，不在此列表的將不被掃描
maxfilesize= 51200 '500K，超過此文件大小的文件(一般不是木馬)，將不被掃描
timeout=600 '如果掃描超過600秒，腳本將終止

'jspadmin@asp.web.csdn=阿笨狗=飛云 修改于2006.07.07
'獲取最新修改版本，請關注http://www.pifoo.com
'QQ:33323489 Email:subaoliang@etang.com Guestbook:http://www.pifoo.com/lyb

dim Report
if request.QueryString("act")="login" then
if request.Form("pifoo") = PASSWORD then session("pifoo")="#)\'www.pifoo.com"
end if
%>
!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">
html>
head>
meta http-equiv="Content-Type" content="text/html; charset=gb2312">
title>asp木馬、后門探測器/title>
/head>

body>
%If Session("pifoo") >"#)'www.pifoo.com" then%>
form name="form1" method="post" action="?act=login">
div align="center">Password: 
input name="pifoo" type="password" size="15"> 
input type="submit" name="Submit" value="提交">
/div>
/form>
%
else
if request.QueryString("act")>"scan" then
%>
form action="?act=scan" method="post">
b>填入你要檢查的路徑：/b>
input name="path" type="text" style="border:1px solid #999" value="." size="30" />
br>
* 網站根目錄的相對路徑，填"\"即檢查整個網站；"."為程序所在目錄
br>
br>
input type="submit" value=" 開始掃描 " style="background:#fff;border:1px solid #999;padding:2px 2px 0px 2px;margin:4px;border-width:1px 3px 1px 3px" />
/form>
%
else
server.ScriptTimeout = timeout
Sun = 0
SumFiles = 0
SumFolders = 1
if request.Form("path")="" then
response.Write("沒有發現被入侵的跡象.")
response.End()
end if
timer1 = timer
if request.Form("path")="\" then
TmpPath = Server.MapPath("\")
elseif request.Form("path")="." then
TmpPath = Server.MapPath(".")
else
TmpPath = Server.MapPath("\")"\"request.Form("path")
end if
Call ShowAllFile(TmpPath)
%>
table width="100%" border="0" cellpadding="0" cellspacing="0" class="CContent">
tr>
th>ASP木馬、后門、漏洞掃描探測
/tr>
tr>
td class="CPanel" style="padding:5px;line-height:170%;clear:both;font-size:12px">
div id="updateInfo" style="background:ffffe1;border:1px solid #89441f;padding:4px;display:none">/div>
掃描完畢！一共檢查文件夾font color="#FF0000">%=SumFolders%>/font>個，文件font color="#FF0000">%=SumFiles%>/font>個，發現可疑點font color="#FF0000">%=Sun%>/font>個
table width="100%" border="0" cellpadding="0" cellspacing="0">
tr>
td valign="top">
table width="100%" border="1" cellpadding="0" cellspacing="0" style="padding:5px;line-height:170%;clear:both;font-size:12px">
tr>
td width="20%">文件相對路徑/td>
td width="20%">特征碼/td>
td width="40%">描述/td>
td width="20%">創建/修改時間/td>
/tr>
p>
%=Report%>
br/>/p>
/table>/td>
/tr>
/table>
/td>/tr>/table>

%
timer2 = timer
thetime=cstr(int(((timer2-timer1)*10000 )+0.5)/10)
response.write "br>font size=""2"">本頁執行共用了"thetime"毫秒/font>"
end if
end if
%>

hr>
div align="center">br>
Modified by a  target=_blank>jspadmin/a> at 2006.07.07
/div>
/body>
/html>

%
'遍歷處理path及其子目錄所有文件
Sub ShowAllFile(Path)
Set FSO = createObject("Scripting.FileSystemObject")
if not fso.FolderExists(path) then exit sub
Set f = FSO.GetFolder(Path)
Set fc2 = f.files
For Each myfile in fc2
If CheckExt(FSO.GetExtensionName(path"\"myfile.name)) and (myfile.size=maxfilesize) Then
Call ScanFile(PathTemp"\"myfile.name, "")
SumFiles = SumFiles + 1
End If
Next
Set fc = f.SubFolders
For Each f1 in fc
ShowAllFile path"\"f1.name
SumFolders = SumFolders + 1
Next
Set FSO = Nothing
End Sub

'檢測文件
Sub ScanFile(FilePath, InFile)
If InFile > "" Then
Infiles = "該文件被a href=""http://"Request.Servervariables("server_name")"\"InFile""" target=_blank>" InFile  "/a>文件包含執行"
End If
Set FSOs = createObject("Scripting.FileSystemObject")
on error resume next
set ofile = fsos.OpenTextFile(FilePath)
filetxt = Lcase(ofile.readall())
If err Then Exit Sub end if
if len(filetxt)>0 then
'特征碼檢查
temp = "a href=""http://"Request.Servervariables("server_name")"\"replace(FilePath,server.MapPath("\")"\","",1,1,1)""" target=_blank>"replace(FilePath,server.MapPath("\")"\","",1,1,1)"/a>"
'Check "WScr"DoMyBest"ipt.Shell"
If instr( filetxt, Lcase("WScr"DoMyBest"ipt.Shell") ) or Instr( filetxt, Lcase("clsid:72C24DD5-D70A"DoMyBest"-438B-8A42-98424B88AFB8") ) then
Report = Report"tr>td>"temp"/td>td>WScr"DoMyBest"ipt.Shell 或者 clsid:72C24DD5-D70A"DoMyBest"-438B-8A42-98424B88AFB8/td>td>危險組件，一般被ASP木馬利用。"infiles"/td>td>"GetDatecreate(filepath)"br>"GetDatemodify(filepath)"/td>/tr>"
Sun = Sun + 1
End if
'Check "She"DoMyBest"ll.Application"
If instr( filetxt, Lcase("She"DoMyBest"ll.Application") ) or Instr( filetxt, Lcase("clsid:13709620-C27"DoMyBest"9-11CE-A49E-444553540000") ) then
Report = Report"tr>td>"temp"/td>td>She"DoMyBest"ll.Application 或者 clsid:13709620-C27"DoMyBest"9-11CE-A49E-444553540000/td>td>危險組件，一般被ASP木馬利用。"infiles"/td>td>"GetDatecreate(filepath)"br>"GetDatemodify(filepath)"/td>/tr>"
Sun = Sun + 1
End If
'Check .Encode
Set regEx = New RegExp
regEx.IgnoreCase = True
regEx.Global = True
regEx.Pattern = "@\s*LANGUAGE\s*=\s*[""]?\s*(vbscript|jscript|javascript).encode\b"
If regEx.Test(filetxt) Then
Report = Report"tr>td>"temp"/td>td>(vbscript|jscript|javascript).Encode/td>td>似乎腳本被加密了，一般ASP文件是不會加密的。"infiles"/td>td>"GetDatecreate(filepath)"br>"GetDatemodify(filepath)"/td>/tr>"
Sun = Sun + 1
End If
'Check my ASP backdoor :(
regEx.Pattern = "\bEv""al\b"
If regEx.Test(filetxt) Then
Report = Report"tr>td>"temp"/td>td>Ev""al/td>td>e""val()函數可以執行任意ASP代碼，被一些后門利用。其形式一般是：ev""al(X)br>但是javascript代碼中也可以使用，有可能是誤報。"infiles"/td>td>"GetDatecreate(filepath)"br>"GetDatemodify(filepath)"/td>/tr>"
Sun = Sun + 1
End If
'Check execute backdoor
regEx.Pattern = "[^.]\bExe""cute\b"
If regEx.Test(filetxt) Then
Report = Report"tr>td>"temp"/td>td>Exec""ute/td>td>e""xecute()函數可以執行任意ASP代碼，被一些后門利用。其形式一般是：ex""ecute(X)。br>"infiles"/td>td>"GetDatecreate(filepath)"br>"GetDatemodify(filepath)"/td>/tr>"
Sun = Sun + 1
End If
Set regEx = Nothing

'檢查包含文件
Set regEx = New RegExp
regEx.IgnoreCase = True
regEx.Global = True
regEx.Pattern = "!--\s*#include\s*file\s*=\s*"".*"""
Set Matches = regEx.Execute(filetxt)
For Each Match in Matches
tFile = Replace(Mid(Match.Value, Instr(Match.Value, """") + 1, Len(Match.Value) - Instr(Match.Value, """") - 1),"/","\")
If Not CheckExt(FSOs.GetExtensionName(tFile)) Then
Call ScanFile( Mid(FilePath,1,InStrRev(FilePath,"\"))tFile, replace(FilePath,server.MapPath("\")"\","",1,1,1) )
SumFiles = SumFiles + 1
End If
Next
Set Matches = Nothing
Set regEx = Nothing

'檢查虛擬目錄
Set regEx = New RegExp
regEx.IgnoreCase = True
regEx.Global = True
regEx.Pattern = "!--\s*#include\s*virtual\s*=\s*"".*"""
Set Matches = regEx.Execute(filetxt)
For Each Match in Matches
tFile = Replace(Mid(Match.Value, Instr(Match.Value, """") + 1, Len(Match.Value) - Instr(Match.Value, """") - 1),"/","\")
If Not CheckExt(FSOs.GetExtensionName(tFile)) Then
Call ScanFile( Server.MapPath("\")"\"tFile, replace(FilePath,server.MapPath("\")"\","",1,1,1) )
SumFiles = SumFiles + 1
End If
Next
Set Matches = Nothing
Set regEx = Nothing

'檢查特殊命令：Server.Execute|Transfer
Set regEx = New RegExp
regEx.IgnoreCase = True
regEx.Global = True
regEx.Pattern = "Server.(Exec""ute|Transfer)([ \t]*|\()"".*"""
Set Matches = regEx.Execute(filetxt)
For Each Match in Matches
tFile = Replace(Mid(Match.Value, Instr(Match.Value, """") + 1, Len(Match.Value) - Instr(Match.Value, """") - 1),"/","\")
If Not CheckExt(FSOs.GetExtensionName(tFile)) Then
Call ScanFile( Mid(FilePath,1,InStrRev(FilePath,"\"))tFile, replace(FilePath,server.MapPath("\")"\","",1,1,1) )
SumFiles = SumFiles + 1
End If
Next
Set Matches = Nothing
Set regEx = Nothing

'Check Server.Execute|Transfer
Set regEx = New RegExp
regEx.IgnoreCase = True
regEx.Global = True
regEx.Pattern = "Server.(Exec""ute|Transfer)([ \t]*|\()[^""]\)"
If regEx.Test(filetxt) Then
Report = Report"tr>td>"temp"/td>td>Server.Exec""ute/td>td>不能跟蹤檢查Server.e""xecute()函數執行的文件。請管理員自行檢查。br>"infiles"/td>td>"GetDatecreate(filepath)"br>"GetDatemodify(filepath)"/td>/tr>"
Sun = Sun + 1
End If
Set Matches = Nothing
Set regEx = Nothing

'檢查createobject命令 Crea""teObject
Set regEx = New RegExp
regEx.IgnoreCase = True
regEx.Global = True
regEx.Pattern = "createO""bject[ |\t]*\(.*\)"
Set Matches = regEx.Execute(filetxt)
For Each Match in Matches
If Instr(Match.Value, "") or Instr(Match.Value, "+") or Instr(Match.Value, """") = 0 or Instr(Match.Value, "(") > InStrRev(Match.Value, "(") Then
Report = Report"tr>td>"temp"/td>td>Creat""eObject/td>td>Crea""teObject函數使用了變形技術，仔細復查。"infiles"/td>td>"GetDatecreate(filepath)"br>"GetDatemodify(filepath)"/td>/tr>"
Sun = Sun + 1
exit sub
End If
Next
Set Matches = Nothing
Set regEx = Nothing
end if
set ofile = nothing
set fsos = nothing
End Sub

'檢查文件后綴，如果與預定的匹配即返回TRUE
Function CheckExt(FileExt)
If DimFileExt = "*" Then CheckExt = True
Ext = Split(DimFileExt,",")
For i = 0 To Ubound(Ext)
If Lcase(FileExt) = Ext(i) Then 
CheckExt = True
Exit Function
End If
Next
End Function

Function GetDatemodify(filepath)
Set fso = createObject("Scripting.FileSystemObject")
Set f = fso.GetFile(filepath) 
s = f.DateLastModified 
set f = nothing
set fso = nothing
GetDatemodify = s
End Function

Function GetDatecreate(filepath)
Set fso = createObject("Scripting.FileSystemObject")
Set f = fso.GetFile(filepath) 
s = f.Datecreated 
set f = nothing
set fso = nothing
GetDatecreate = s
End Function

%>