ASP木马不具有的功能是

先说结论：ASP木马不具有“跨操作系统内核级提权”的功能。 这话听起来有点绕，木马但如果你亲手抓过几个ASP木马样本，木马拆过它们的木马execute和shell.application调用，就明白为什么了。木马ASP木马本质上是木马跑在IIS里的一个.asp脚本，它依赖wscript.shell或shell.application这类COM组件来执行系统命令。木马换句话说，木马它只是木马个“寄居蟹”，壳是木马IIS给的，权限是木马IIS进程的权限。IIS以什么身份跑，木马木马就有什么权限。木马想靠它直接改内核？木马门都没有。

去年我帮一个朋友排查他公司内网的木马一台老Server 2003。机器上被人传了个经典的“冰狐”ASP木马，文件名伪装成conn.asp。我登上去一看，那木马功能列表挺唬人：文件管理、CMD执行、注册表读取、数据库导出。但当我试着用它去加载一个未签名的驱动时，直接弹了个ActiveX组件无法创建对象。为什么？因为wscript.shell能调cmd.exe，但cmd.exe本身没有内核加载权限。那个木马甚至没法直接调用ZwLoadDriver——它连ntdll.dll的导出函数都摸不到，只能靠rundll32这种蹩脚方式绕，绕十次有九次被杀软拦。

这就引出一个关键点：ASP木马的功能边界是由宿主环境框死的。它能读写文件，因为IIS账户对网站目录有写权限；它能执行命令，因为wscript.shell这个COM对象默认允许IIS_IUSRS调用。但它不能做的，恰恰是那些需要脱离IIS进程、直接跟硬件或内核打交道的操作。

有人会抬杠：那如果IIS跑在SYSTEM账户下呢？没错，早期很多管理员图省事，把应用程序池身份设成LocalSystem。这时候ASP木马确实能调用sc create注册服务，甚至用at命令提权。但即便如此，它依然不能直接操作内核对象。我实测过：在SYSTEM权限的ASP木马下执行whoami /priv，会看到SeDebugPrivilege和SeLoadDriverPrivilege是启用的，但当你试图用CreateService加载一个未签名的.sys文件时，Windows内核会直接返回STATUS_INVALID_IMAGE_HASH。这是内核强制完整性检查，ASP木马再牛也改不了这个。

另一个常被误解的功能是“端口转发”或“SOCKS代理”。很多ASP木马带一个PortMap模块，看起来能开本地端口。但仔细看代码，它其实是靠WScript.Shell调netsh interface portproxy，或者用Adodb.Stream做HTTP隧道。这种转发依赖http.sys或IIS的ISAPI扩展，一旦目标端口被防火墙拦了，或者需要原始套接字（raw socket），ASP木马就歇菜。它没法像C++写的内核木马那样直接构造TCP/IP包。

还有个细节：ASP木马不能“自我加密变形”。你抓到的.asp文件就是明文，顶多混淆一下变量名。它没法像PE病毒那样在内存里解密自身，因为IIS每次请求都会重新解析脚本。你改一个字节，下次请求就报错。这种“静态寄生”特性决定了它不具有持久化对抗杀软内存扫描的能力——除非配合web.config里的httpModules劫持，但那已经是另一个维度的攻击了。

所以回到标题。如果你在面试或考试里看到“ASP木马不具有的功能是”，选项里出现“内核级提权”“驱动加载”“物理内存读写”这类词，直接选它。别被那些花哨的“命令执行”“文件上传”迷惑——那些恰恰是ASP木马的看家本领。真正做不到的，是跳出IIS沙箱去碰内核。这就像让一个笼子里的猴子去修发动机，它能拧螺丝，但拆不了缸体。