一、FSO组件基础与风险概述
FileSystemObject（FSO）是ASP环境中的核心文件操作组件，提供对服务器文件系统的读写、复制、删除等操作能力。该组件默认通过scrrun.dll文件实现功能调用，但因权限控制不当可能成为攻击者上传ASP木马的入口。
二、服务器FSO组件开启方法
在Windows Server环境下开启FSO需完成以下步骤：
- 安装IIS服务：通过服务器管理器添加Web Server(IIS)角色，勾选ASP功能模块
- 注册组件：以管理员身份运行命令提示符，执行
Regsvr32 C:\Windows\System32\scrrun.dll - 验证安装：创建测试ASP文件，运行
Set fso = CreateObject("Scripting.FileSystemObject")检查是否报错
三、FSO权限精细化配置
通过权限隔离实现安全控制：
- 创建专用IIS用户组，移除Everyone完全控制权限
- 在磁盘属性安全选项卡中，为每个虚拟主机单独配置NTFS权限
- 限制脚本映射：在IIS管理器禁用父路径功能，防止跨目录访问
| 用户组 | 权限级别 |
|---|---|
| IIS_IUSRS | 读取/执行 |
| Administrators | 完全控制 |
| 自定义用户组 | 写入（仅限特定目录） |
四、防ASP木马配置策略
多层级防御方案：
- 禁用危险组件：通过Component Services停用WScript.Shell等高风险COM对象
- 文件监控：设置文件系统审计策略，记录对.asp、.dll文件的修改操作
- 目录隔离：将上传目录移至非Web路径，通过虚拟目录映射访问
通过分阶段实施FSO组件的启用、权限隔离和主动防御策略，可在保障业务功能正常运行的同时有效降低安全风险。建议定期审查服务器日志并更新权限策略，以适应不断变化的威胁环境。
