问:ravenkatte(涅磐) :急问急答急给分，详细内容见贴内

[jiseng]

我的服务器突然莫明其妙多了一个IP，现初步确定是被别人装了木马，
此木马特征如下：

1，在客户端使用时，才开一个指定IP指定端口接收数据(也就是上面说的多的IP），
客户端不使用时，此IP并不打开（这样叫反弹式？）
2，多的IP并不在win 2k server 的任何地方找到，（例如网络连接属性里）


请分析指教！，在线等待！
如需其它特征请指示！

[ToUpdate]

1，在客户端使用时，才开一个指定IP指定端口接收数据(也就是上面说的多的IP），
客户端不使用时，此IP并不打开（这样叫反弹式？）

IP是什么?
还有你的SERVER开的什么服务呀,有可能是正常服务,不是木马!

[jiseng]

To:ToUpdate(更新换代)
网络环境如下：

windown 2000 advance server + sp3
isa 2000 + sp2
主域控制器

有三块网卡
1,对外10M宽带,202.XXX.XXX.XXX
2,对内 192.168.170.XXX
3,对内 192.168.178.XXX

突然多出来的IP
192.168.170.220 ????!!!!

此IP并无在网络属性中找到

打开192.168.170.220, 发现共享目录同服务器的完成相同
扫描工具扫描此IP，发现其它信息同服务器自身的信息相同

用IP工具发现此192.168.170.220确实是服务所开，？？？？
且有个别用户已连到此IP的500端口？？？？状态为可用!!!!

500端口是TCP,并非UDP

重新启动服务器，IP220马上消失？??!!!!

请费心指教！

[lqbn]

关注中……

[ToUpdate]

呵呵,看来是有点麻烦哈...

一般BO用5312或是2000端口!

你有没有如虚拟拨号的软件等...

还有,你的ISA是干什么用的？

[aznarble]

您可以确定192.168.170.220是和哪一块网卡绑定的吗？

请您张贴一下执行了ipconfig /all的结果。

[ravenkatte]

呵呵，刚才一直在水园玩，忘了回来看看有没有新问题了……

我没碰到过你说的情况，对此不是十分了解，我对这方面也不是很在行，至于说“分析指教”，就更谈不上了。既然你已经初步确定被人种了木马，可以用木马克星或者Trojan Remover查一查呀。

[treesman]

关注！

[baiyu20122]

up

[zhzhjian]

这个问题的确很怪等我问问高人再说

[jiseng]

trojan remove这些东东的最新版已查过，当然查不到才上来问的

让各位费心的，再次感谢！

[kkkjlw]

重装网卡试试了

[jiseng]

重装网卡???
给个理由先，注意了，是w2k server ,搞不好我会被骂的(几百号人在用)

[lijiuhua0721]

如果是宽带并且还有局域网的话三个IP地址应该是正常的

—————————————————————————————————
^_^让我们共同努力吧！！！！^_^
—————————————————————————————————

[whoamiyxzh]

其实，在局域网内用防火墙做代理比较爽，现在有很多硬件防火墙都有此项功能！具体做法，给你的路由器分配一个真实的IP，给防火墙分配一个192.168.0.1或别的IP（虚拟的），每个服务器都只用一个网卡，并关掉服务器的代理软件和DHCP，然后在防火墙上开启DHCP， 并做LAN--->WAN和WAN--->LAN的限制！！很方便！很好用！！！注意，将防火墙挂在路由器的后面！！再将防火墙和内网的总交换机相连，服务器和工作站都设一个网段内的IP。OK！！