服务器入侵后的防范

服务器入侵后的防范

2013年3月31日星期日

托管在电信机房的WindowsServer2003服务器在程序测试阶段，管理员账户有多个人知道，发现了可疑的程序网络监控软件，但不能断定是否黑客入侵，还是其他管理员安装的。

2013年3月31日星期日 再次使用管理员administrator登陆，提示如下

在使用昨天创建的管理员账户zhang登陆，提示密码错误。

因此断定服务器已经被黑客入侵

现在服务器的远程桌面还是启用的，就是不能使用远程桌面登陆了，好在administrator的密码没有变。如何断定密码没变呢？

我使用Windows Server 2003访问服务器的共享资源，这时需要输入访问服务器的管理员账户和密码。

输入账号和密码，选中 记住我的密码，输入服务器的管理员账户和密码，能够打开服务器的共享文件夹，因此断定黑客入侵以后没有更改administrator用户的密码。使用管理工具远程管理该服务器时，就不在需要输入账号和密码了。

在本地计算机打开计算机管理工具

连接到另一台计算机

输入被入侵的服务器的IP地址。

可以看到能够成功连接过去，但是本地用户和组是不能远程管理的，能够管理远程服务器的服务。

以下操作启用服务器的telnet服务，

使用telnet服务 在服务器上重新创建新的管理员

telnet远程服务器

输入y

输入服务器的管理员的账号和密码

使用telnet远程登陆到服务器后，使用命令创建用户wang 密码为wang

将该用户添加到管理员组，发现远程服务器的管理员组名称已经被更改为其他名称不是administrators了。现在需要确定远程服务器管理员组的名称。

通过注册表可以查看计算机上的用户和组的名称。如何打开远程服务器的注册表呢？，需要启用remote register服务。

在本地打开注册表管理工具。

默认打开的是本地注册表，点击链接网络注册表

输入服务器的IP地址。

能够打开远程计算机的注册表，如图 但是打不开SAM注册表子键，需要更改权限。

设置administrators组为完全控制权

按F5 刷新，能够展开SAM

如下图所示，管理员组已经被更改为administraters

确定了管理员组的名称，使用telnet登陆到服务器，将创建的用户添加到管理员组。

现在使用新创建的管理员远程连接到服务器。

登陆成功

打开计算机管理工具 可以看到没有用户管理

安装360杀毒软件，安装360安全卫士进行扫描，发现顽固病毒和需要修复的问题。

未完待续！！！！！！！

广告