反黑方法

 服务器的配置是 win2k server + sp4 ,并且更新了microsoft各种补丁, 病毒防范软件为
symantec norton 8.0 server版，邮件服务器程序自身以有防病毒的插件，这两个东西已经平
稳地运行了一年多，抵挡了无数的附件病毒的袭击。那么服务器则可能被黑了。

  症状：运行程序慢如蜗牛，在任务管理器里发现cpu的利用率为100%，里面运行了一个未知进程gt.exe,占据了大约25mb的内存，而且更可恶的是这个进程还杀不了它。看来是有人把木马植入
服务器了。再看看用户，好家伙，居然有一个cclogin的用户，而且被加在管理员组里了。
到系统盘下查一下，根目录下有一执行程序sbg.exe(后用杀毒软件查出是病毒)，system32
下有gt.exe。上面说得凌乱，总结一下：1、通过iis漏洞植入木马程序，然后取得管理员
权限，复制文件在服务器的系统目录里。2、启动系统服务里的被我以前禁用的远程注册表
编辑功能。3、在注册表 hkey_local_machine\software\microsoft\windows\currentverssi 和
rubservice 加入字串 hi here 其值为point32.exe.(实际上是gt.exe).4、启动计划任务，当
然是运行gt.exe,时间定在2004-3-10 0：19。（可能这家伙是在11点50左右crack成功的，
后来我看日志也证实了这个时间）。


  处理：1、启动系统进入安全模式，删除gt.exe和sbg.exe.2、删除计划任务里的黑客
起用的at1.job,然后禁止计划任务。3、从系统里删除用户cclogon。4、在控制台里关闭不必
要的服务（把自动改为禁止，并且停止该服务[如远程注册表编辑]）。5、编辑注册表，删除
run 和runservices 里的异常项point32.exe。6、停止iis服务。7、重启计算机进入正常模式，
问题解决。查看日志文件 logfils 看了一些，但ip都是变化的，说明这家伙是用adsl上
网，用的是 [url]http://ip/ida[/url] 获取了权限，不过该人水平不是太高，没有删除日志文件，他（她）可能的目的是想找一台“肉鸡”。一不小心，开了个iis，就让人黑了，看来不能掉以轻心。