手动"查毒"记

机器一直裸奔的，昨天习惯性的netstat, 居然发现自己的机器开了个1216端口在监听.....

netstat -ano 一看，居然是svchost 吓了一跳...

再用tasklist /svc查看，这个进程没有加载啥可疑的服务

再手动打开注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services，一个一个的查看这些服务，加载的dll都是MS签名了的标准dll

用 HijackThis, IceSword, XueTr, 查看，没有任何的可疑启动项、驱动。

晕了，难道是无dll，无文件(在关机时才写如文件和启动项；开机启动后自删除启动项和文件)的木马？

直接硬关机，重启。 结果没有监听的可疑端口了......

【结果】也不知道是咋回事...

ps,

1) 当时看了1388这个进程，也没有加载可疑的dll，真tmd奇怪！！！

2) 手动查看svchost加载的dll太麻烦了，有空的时候写个程序来辅助查看。

EasyVCR@csdn, 2011.11.03

---------------------------------------------------------------------------------------------------------------------------------------------------------------

今天发现又有个未知端口打开了：

  TCP 0.0.0.0:1722 0.0.0.0:0 LISTENING 1256

抗不住了，下了个360，用网络连接查看器看了看，标记为"安全":

―――――――――――――――――――――――
程序名称：svchost.exe
程序说明：Generic Host Process for Win32 Services
路径：C:\WINDOWS\system32\svchost.exe
安全等级：安全
PID：1256
网络协议：TCP
本机地址：0.0.0.0
本地端口：1722
目标地址：0.0.0.0
目标端口：0
目标IP归属地：
状态：监听

网络连接信息由360安全卫士 – 网络连接查看器生成
―――――――――――――――――――――――

用nmap扫描自己，结论如下：

目前的情况是：

1) 昨天，关闭了无线网卡的情况下，开机重启没有这样一个端口。

2) 今天，开启了无线网卡的情况下，开机重启有这样一个端口。

猜想：难道是 rasman 服务("Remote Access Connection Manager") 开的，和无线连接(或蓝牙)相关的某个服务? 继续关注中...

google:  rasman listening port

==> 

http://www.annoyances.org/exec/forum/winxp/1061220478

re: XP RasMan leaves port 251 open

I was wrong! It is not RasMan but TapiSrv that is opening up port 251. They are both part of the same svchost group, but TapiSrv depends on RasMan. Both are set to Manual, but Telephony for some reason always starts with every machine start. 

http://www.annoyances.org/exec/forum/winxp/1124372178

re: XP TapiSrv leaves port 251 open (SOLUTION!!!) 
Thursday, August 18, 2005 at 6:36 am

Port 251 is opened by TAPI's Windows Remote Service Provider. It is needed to remotely control modems on computer and it is not needed for most PCs. To disable it go to Control Panel, open Modems applet, go to Advanced page and delete "Windows Remote Service Provider" entry. Actualy all providers that allowed to delete can be deleted too. Reboot your PC and port 251 will not be open.

终于搞清楚原因鸟！！！

前几天adsl断了，本本通过手机的modem来上网,,,因此在本本的网络连接中有这么一项：

RasMan("Remote Access Connection Manager")依赖于TapiSrv("Telephony"), 而这两个服务我都设置成手动启动的。

开启了无线网卡的情况下，恰好我的手机和电脑又设置成了蓝牙可以自动连接，不需要再输入授权码...于是就巧合了，电脑尝试去连手机的bluetooth modem....

目前的问题，为啥一次是1612，一次是1722端口喃...???

EasyVCR@csdn, 2011.11.04

---------------------------------------------------------------------------------------------------------------------------------------------------------------