一般小鸟黑客，在网站都是挂木马。为的是替他宣传网站，弄更多的银子。要挂马，自然是要给网站上所有的文件都给挂个马。代码很简单，无非就是框架代码：

类似这样的。
上次公司服务器给黑挂马后，我就调整了安全策略，基本上是一个站点一个IIS用户。上传目录一个IIS用户权限，所以挂马传到上传文件夹，就算他能允许
asp木马，也无法读取修改上传目录以外的文件夹及文件。当然，很多人都知道给上传目录设置无脚本执行权限。常规的安全策略就不多说了。就说说一个简单的
笨办法。
公司服务器跑的系统有CMS（asp）、OA（asp.net）、SKS（jsp）等系统。基本上是asp.net、asp、jsp三语言。在初始安装完程序或配置完程序后。哥们做个小设置，保证那些挂马郁闷死。
第一步，选择asp文件（注意，有些是系统后台生成的网页文件的如index.html这样就不要选择了）。

第二步，【右键】 - 【属性】。在打开的【属性】对话框中，选择【安全】选项卡。选择你IIS运行帐号。在其属性上，将“修改”与“写入”权限去掉。然后点击【应用】或【确定】即可。其他目录文件夹下的程序文件操作雷同。提示下：常规下的帐号安全属性是继承上级目录的权限的，要自定义安全权限很简单。同样在这个【安全】选项卡上，点击下面的【高级】，在打开的高级安全设置对话框里，将【允许父项的继承权限传播到该对象和所有子对象。包括那些在此明确定义的项目(A)】的勾去掉，然后会弹出一个对话框，询问是否复制父项权限（也就是上级目录的权限），选择【复制】即可。点击【应用】，返回到上面的权限设置对话框。当然，如果你对权限比较了解的话，可以在高级安全设置里进行权限设置操作。如图：为什么要这样操作，因为挂马嘛，通常都是批量修改aspjshtmhtml后缀的文件。这样操作后，他们就无法挂马咯。下图是我逮到一个木马的后台控制面板，进行的挂马操作。会提示【缺少对象】或【没有权限】等提示，看看偶的截图。看下图：注意到没？

在看看测试的几个文件，hoho。文件中没有木马。搞定！实际上，常规的程序文件（不含配置属性写入在程序配置文件的文件，如config.asp之类），只要有运行权限就可以了。其他如修改、写入权限不用赋予。而且很多BT的家伙，经常改你后台login.asp文件。读取登录操作的，记录下你的帐号密码。所以，没有修改写入权限，他们想BT都BT不了。

该方法不适用虚拟主机用户。转摘分享请标注作者为(陈君)。谢谢！