【求助】我的server被入侵了.

[xgy]

【求助】我的server被入侵了.
不知什麼時侯我的server被入侵了..自從我知道了之後,它就一直在向外送資料..IP高達一千多個...
可是防毒,torj都用了...也沒效..
只要開機,過幾個小時就一直送..
請問這是可能是什麼問題?
還有要如何解決?

[cheerx]

平台是什麼,怎樣發現的,你不描述清楚一點大家實在不知道如何幫你.還有如果你對安全性的設定沒把握,除了常常補OS的PATCH外.最好還是用一台IP分享器或是小型硬體防火牆,用虛擬伺服器架站,不要讓你的真實IP電腦暴露在危險的網路上.

[xgy]

我是用windows2000+sp2..
我們有一台IP分享器..我把80,21PORT導到Server來...
因為這幾天網路常連不上去..所以我把server線拔下來...結果..網路超順又快..
之後我用sniffer去看看連線...結果有超過一千個IP連到我server來..
我用特洛衣軟體看一下..它回報說有9個PORT有反應...包括80,21PORT..
後來只要我server線插下去。。。幾個小時後又有上千個IP連上來了..
我去看了日誌...我的一個帳號好像有人要用暴力破解..因為常常會被lock(我有設3次密碼不對會LOCK)
..
麻煩各位高手,請你們幫我診斷一下...該如何解決和防嗎?

[sansui110]

把LogFiles貼上來吧
不然再十年也不會有倫懂ㄉ

[redhung]

你被破的是SERVER的帳號還是FTP的帳號啊??

[majimmy]

win2000ㄉ漏洞很多
建議用linux or FreeBSD

[rongsent]

最初由 majimmy 發表
win2000ㄉ漏洞很多
建議用linux or FreeBSD

1.用 Regedit 找一找下列 key 值

HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS XX\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS XX\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS XX\CurrentVersion\RunServices
HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS XX\CurrentVersion\RunServicesOnce

看看有沒有一些奇怪的程式會放在那邊, 有的話, 把它砍了, 重開機後 ok

2.尋找 IE 之暫存資料夾中有無奇怪的程式自已會執行, 有的話, 把它砍了
3.把 NT 2000 更新到 SP3
4.將 NT 2000 之權限再檢查一次, 停用 GUEST 帳號, 移除所有目錄, 檔案 Everyone 權限, 加入 Authenticated User 權限, 將原預設 Administrators 帳號改名..