反黑方法

作者:田逸([email]sery@163.com[/email])
发表在《网管员世界》04年第7期69页 题目改为“反黑手记”

  前几天为了测试某一个机构的域名解析是否可用,我就在一台邮件服务器上起用了iis,
并为此机构创建了域名,放了一个简单的html页面文件做测试。可是今天早上我收电子邮
件(用foxmail 4.2),一直收不了,我以为是有超大邮件,于是就用web 方式直接登录邮
件服务器收取,也是老半天才进入。第一个判断是邮件服务器有麻烦了。

  服务器的配置是 win2k server + sp4 ,并且更新了microsoft各种补丁, 病毒防范软件为
symantec norton 8.0 server版,邮件服务器程序自身以有防病毒的插件,这两个东西已经平
稳地运行了一年多,抵挡了无数的附件病毒的袭击。那么服务器则可能被黑了。

  症状:运行程序慢如蜗牛,在任务管理器里发现cpu的利用率为100%,里面运行了一个未知进程gt.exe,占据了大约25mb的内存,而且更可恶的是这个进程还杀不了它。看来是有人把***植入
服务器了。再看看用户,好家伙,居然有一个cclogin的用户,而且被加在管理员组里了。
到系统盘下查一下,根目录下有一执行程序sbg.exe(后用杀毒软件查出是病毒),system32
下有gt.exe。上面说得凌乱,总结一下:1、通过iis漏洞植入***程序,然后取得管理员
权限,复制文件在服务器的系统目录里。2、启动系统服务里的被我以前禁用的远程注册表
编辑功能。3、在注册表 hkey_local_machine\software\microsoft\windows\currentverssi 和
rubservice 加入字串 hi here 其值为point32.exe.(实际上是gt.exe).4、启动计划任务,当
然是运行gt.exe,时间定在2004-3-10 0:19。(可能这家伙是在11点50左右crack成功的,
后来我看日志也证实了这个时间)。


  处理:1、启动系统进入安全模式,删除gt.exe和sbg.exe.2、删除计划任务里的***
起用的at1.job,然后禁止计划任务。3、从系统里删除用户cclogon。4、在控制台里关闭不必
要的服务(把自动改为禁止,并且停止该服务[如远程注册表编辑])。5、编辑注册表,删除
run 和runservices 里的异常项point32.exe。6、停止iis服务。7、重启计算机进入正常模式,
问题解决。查看日志文件 logfils 看了一些,但ip都是变化的,说明这家伙是用adsl上
网,用的是 [url]http://ip/ida[/url]获取了权限,不过该人水平不是太高,没有删除日志文件,他(她)可能的目的是想找一台“肉鸡”。一不小心,开了个iis,就让人黑了,看来不能掉以轻心。

    当系统管理员的同志,安全重要啦,请加强防范。

                                2004-3-10
  • 0
    点赞
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值