我始终都没有发现template目录下rss.asa和ks_data下kesionbak.asa。

用文件比较工具和本地相比较，多出的两个.asp.gif文件删除，被写了代码的文件全部用本地文件替换。

完整清理了好几次，都在完成了之后再次被挂。过程中还修改过后台目录和密码，也没有用。

直到删除了后台，现在看没事了。

感觉这次挂马似乎不是常规的过程。