服务器***后的防范

2013年3月31日星期日

托管在电信机房的WindowsServer2003服务器在程序测试阶段,管理员账户有多个人知道,发现了可疑的程序网络监控软件,但不能断定是否******,还是其他管理员安装的。

2013年3月31日星期日 再次使用管理员administrator登陆,提示如下

服务器***后的防范_第1张图片

在使用昨天创建的管理员账户zhang登陆,提示密码错误。

因此断定服务器已经被******

现在服务器的远程桌面还是启用的,就是不能使用远程桌面登陆了,好在administrator的密码没有变。如何断定密码没变呢?

我使用Windows Server 2003访问服务器的共享资源,这时需要输入访问服务器的管理员账户和密码。

服务器***后的防范_第2张图片

输入账号和密码,选中 记住我的密码,输入服务器的管理员账户和密码,能够打开服务器的共享文件夹,因此断定******以后没有更改administrator用户的密码。使用管理工具远程管理该服务器时,就不在需要输入账号和密码了。

服务器***后的防范_第3张图片

在本地计算机打开计算机管理工具

服务器***后的防范_第4张图片

连接到另一台计算机

服务器***后的防范_第5张图片输入被***的服务器的IP地址。

服务器***后的防范_第6张图片

可以看到能够成功连接过去,但是本地用户和组是不能远程管理的,能够管理远程服务器的服务。

服务器***后的防范_第7张图片

以下操作启用服务器的telnet服务,

使用telnet服务 在服务器上重新创建新的管理员

服务器***后的防范_第8张图片

telnet远程服务器

服务器***后的防范_第9张图片

输入y

服务器***后的防范_第10张图片

输入服务器的管理员的账号和密码

服务器***后的防范_第11张图片

使用telnet远程登陆到服务器后,使用命令创建用户wang 密码为wang

将该用户添加到管理员组,发现远程服务器的管理员组名称已经被更改为其他名称不是administrators了。现在需要确定远程服务器管理员组的名称。

服务器***后的防范_第12张图片

通过注册表可以查看计算机上的用户和组的名称。如何打开远程服务器的注册表呢?,需要启用remote register服务。

服务器***后的防范_第13张图片

在本地打开注册表管理工具。

服务器***后的防范_第14张图片

默认打开的是本地注册表,点击链接网络注册表

服务器***后的防范_第15张图片

输入服务器的IP地址。

服务器***后的防范_第16张图片

能够打开远程计算机的注册表,如图 但是打不开SAM注册表子键,需要更改权限。

服务器***后的防范_第17张图片

设置administrators组为完全控制权

服务器***后的防范_第18张图片

按F5 刷新,能够展开SAM

服务器***后的防范_第19张图片

如下图所示,管理员组已经被更改为administraters

服务器***后的防范_第20张图片

确定了管理员组的名称,使用telnet登陆到服务器,将创建的用户添加到管理员组。

服务器***后的防范_第21张图片

现在使用新创建的管理员远程连接到服务器。

服务器***后的防范_第22张图片

服务器***后的防范_第23张图片

服务器***后的防范_第24张图片

登陆成功

打开计算机管理工具 可以看到没有用户管理

服务器***后的防范_第25张图片

安装360杀毒软件,安装360安全卫士进行扫描,发现顽固病毒和需要修复的问题。

服务器***后的防范_第26张图片

服务器***后的防范_第27张图片

服务器***后的防范_第28张图片

未完待续!!!!!!!

广告

服务器***后的防范_第29张图片

服务器***后的防范_第30张图片

服务器***后的防范_第31张图片

服务器***后的防范_第32张图片