从有的使用者反映来看，说刚上传程序就被挂，说明挂马者是利用使用者与科讯之间的通讯来检测的，所以估计是第二种猜测，

另外我发现了挂马后台程序KS_Editor/fckeditor/中的fckeditr.asp文件，大家看看是不是和我一样的。