注册
登录
| 关键词： nbsp 服务 Windows SERVICE dcomsvc Event bsp Logger Services running |
作者:elly 来源：安全焦点论坛 异象：昨夜西风凋碧树序幕：話説那日elly與衆人閒談完"黑客趨勢(趣事)"之後，獨自下樓喝茶去了。 鳳簫聲動，玉壺光轉，正恍惚閒，忽聞手機鈴聲。原是尋到一服務器，正在閒置，可為所用。於是登錄上去，稍做配置...PCAnywhere正在登录。方世玉的老妈的师兄经常说，安全第一，安全第一。上去之后，当然是先看看服务器的服务配置。运行"Services.msc"打开服务管理器，一眼看去，不对啊...这里有几位新住客怎么恁得陌生？ 代码 ============================================================Dcom Services [描述: 空] 已启动 自动 LocalSystemSecure Port Server [同上]Windows Event Logger [同上]============================================================用小脑也知道第一位肯定是用假身份证登录的！查看详细信息: 代码 ============================================================服务名称: dcomsvc显示名称: DCOM Services描述: [空]可执行文件路径: C:\WINNT\system32\Dcomsvc.exe启动类型: 自动============================================================C:\WINNT\system32 elly在那儿住了那么多年，就没见到过这号兄弟。elly开始意识到了问题的严重性：系统很可能已经被人入侵了，并且安装了后门！先看一下当前服务的状态： 代码 ============================================================C:\WINNT\cmd>sclist ...running dcomsvc 34567890 DCOM Services running Server Administrator Secure Port Server running Windows Event Logger Windows Event Logger ...============================================================sclist 列出了当前所有正在运行的Windows系统服务。从服务列表中，我们最简单直接的先发现了上面三个异常服务。至于怎么发现的么...第一，他们都没有服务说明(或正确的服务说明)，代表他们不是系统自带的服务；第二，更主要是根据经验啦，一个熟练的Windows系统管理员，对系统中的各项服务情况是应该做到心中有数洞若观火的；手边至少应该准备好两份文档，第一是Windows自带的服务列表、功能和状态，第二是每台服务器安装完成之后初始化镜像状态下的服务列表。再使用sc query看一下更详细的服务信息： 代码 ============================================================SERVICE_NAME: dcomsvc34567890DISPLAY_NAME: DCOM Services(null) TYPE : 10 WIN32_OWN_PROCESS STATE : 4 RUNNING (STOPPABLE,NOT_PAUSABLE,IGNORES_SHUTDOWN) WIN32_EXIT_CODE : 0 (0x0) SERVICE_EXIT_CODE : 0 (0x0) CHECKPOINT : 0x0 WAIT_HINT : 0x0============================================================SERVICE_NAME: Windows Event LoggerDISPLAY_NAME: Windows Event Logger(null) TYPE : 10 WIN32_OWN_PROCESS STATE : 4 RUNNING (NOT_STOPPABLE,NOT_PAUSABLE,IGNORES_SHUTDOWN) WIN32_EXIT_CODE : 0 (0x0) SERVICE_EXIT_CODE : 0 (0x0) CHECKPOINT : 0x0 WAIT_HINT : 0x0============================================================SERVICE_NAME: CCProxyDISPLAY_NAME: Dell OpenManage (null) TYPE : 110 WIN32_OWN_PROCESS INTERACTIVE_PROCESS STATE : 1 STOPPED (NOT_STOPPABLE,NOT_PAUSABLE,IGNORES_SHUTDOWN) WIN32_EXIT_CODE : 1077 (0x435) SERVICE_EXIT_CODE : 0 (0x0) CHECKPOINT : 0x0 WAIT_HINT : 0x0============================================================ 代码 ============================================================C:\WINNT\cmd>psservice config dcomsvc Error opening dcomsvc on \\CJL-NMS: 指定的服务并未以已安装的服务存在。 ============================================================C:\WINNT\cmd>psservice config "Windows Event Logger" SERVICE_NAME: Windows Event Logger (null) TYPE : 10 WIN32_OWN_PROCESS START_TYPE : 2 AUTO_START ERROR_CONTROL : 0 IGNORE BINARY_PATH_NAMEE : C:\WINNT\system32\Termsrv.exe LOAD_ORDER_GROUP : TAG : 0 &n |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
