服务器被黑了，发现多了个管理员，却删不掉

[llix_cm]

多了一个叫hackerdll的administrators组的用户。但是删除的话提示：无法在内置账户上运行此操作。
另外的的控制台界面的用户和组里面现在是空的。现在只能通过net user看。太可怜了。help me

[ljc007]

google:
约有71,100项符合无法在内置账户上运行此操作的查询结果，以下是第1-10项 （搜索用时 0.33 秒）

[AliasKavin]

用户和组里面现在是空的~!
将以下内容另存为"u.bat"~~~ 运行试下能不能看见用户~
[code=BatchFile]regsvr32 /s jscript.dll
regsvr32 /s mshtml.dll
regsvr32 /s nusrmgr.cpl
regsvr32 /s themeui.dll
regsvr32 /s vbscript.dll
regsvr32 /s /i shdocvw.dll
regsvr32 /s sxs.dll[/code]

[llix_cm]

呵呵，能狗出来我就不来问了。狗不是万能的。因为信息太多无序无组织。所以听说腾讯搜索搞人肉搜索很感兴趣哦。。
扯题了，大家继续

[llix_cm]

[Quote=引用 2 楼 AliasKavin 的回复:]
用户和组里面现在是空的~!
将以下内容另存为"u.bat"~~~ 运行试下能不能看见用户~

BatchFile coderegsvr32 /s jscript.dll
regsvr32 /s mshtml.dll
regsvr32 /s nusrmgr.cpl
regsvr32 /s themeui.dll
regsvr32 /s vbscript.dll
regsvr32 /s /i shdocvw.dll
regsvr32 /s sxs.dll
[/Quote]

没用啊，试过了

[sd9phoenix]

HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names
看看这下面有没有吧，应该是HACKER把administrator复制了
哎~我什么时候能成为“黑人”呢？？

[llix_cm]

我看过了HKEY_LOCAL_MACHINE\SAM\SAM下只有个默认值。也没有domain之类的项。我看了自己的机器，也是2003的。和服务器一样的。但是自己机器正常，可以看到用户和组的名单。

[Forever_Young]

用wmic useraccount get /value>c:\userinfo.txt

打开c:\userinfo.txt看看记录的帐户详细信息

[sd9phoenix]

HKEY_LOCAL_MACHINE\SAM\SAM，右键点权限，把它改成当前管理员“完全控制”的权限，再刷新一下就能看了，默认是只有system能操作的

[bainan]

会不会被安装了rootkit了呢?
建议检测一下

[nirvana_wgw]

那个Hack是克隆了Administractor
他把Adminstractor的Sam值复制到Hack的Sam中的
我只知道怎么克隆帐户
但不知怎么反克隆
建议在HKEY_LOCAL_MACHINE\SAM\SAM中看看Sam是否真的被复制了
但是需要system权限
要是你的补丁打得不全
倒是可以自己溢出自己得到system权限
曾经我成功过

[lijiawlm]

郁闷的问题~~~~
同情楼主 还有管理服务器的人
现在的高手级别的hacker太厉害 基本要哪个站就拿那个站
哎 慢慢弄吧 不行就装系统