服务器入侵后的防范
2013年3月31日星期日
托管在电信机房的WindowsServer2003服务器在程序测试阶段，管理员账户有多个人知道，发现了可疑的程序网络监控软件，但不能断定是否黑客入侵，还是其他管理员安装的。
2013年3月31日星期日 再次使用管理员administrator登陆，提示如下
在使用昨天创建的管理员账户zhang登陆，提示密码错误。
因此断定服务器已经被黑客入侵
现在服务器的远程桌面还是启用的，就是不能使用远程桌面登陆了，好在administrator的密码没有变。如何断定密码没变呢？
我使用Windows Server 2003访问服务器的共享资源，这时需要输入访问服务器的管理员账户和密码。
输入账号和密码，选中 记住我的密码，输入服务器的管理员账户和密码，能够打开服务器的共享文件夹，因此断定黑客入侵以后没有更改administrator用户的密码。使用管理工具远程管理该服务器时，就不在需要输入账号和密码了。
在本地计算机打开计算机管理工具
连接到另一台计算机
输入被入侵的服务器的IP地址。
可以看到能够成功连接过去，但是本地用户和组是不能远程管理的，能够管理远程服务器的服务。
以下操作启用服务器的telnet服务，
使用telnet服务 在服务器上重新创建新的管理员
telnet远程服务器
输入y
输入服务器的管理员的账号和密码
使用telnet远程登陆到服务器后，使用命令创建用户wang 密码为wang
将该用户添加到管理员组，发现远程服务器的管理员组名称已经被更改为其他名称不是administrators了。现在需要确定远程服务器管理员组的名称。
通过注册表可以查看计算机上的用户和组的名称。如何打开远程服务器的注册表呢？，需要启用remote register服务。
在本地打开注册表管理工具。
默认打开的是本地注册表，点击链接网络注册表
输入服务器的IP地址。
能够打开远程计算机的注册表，如图 但是打不开SAM注册表子键，需要更改权限。
设置administrators组为完全控制权
按F5 刷新，能够展开SAM
如下图所示，管理员组已经被更改为administraters
确定了管理员组的名称，使用telnet登陆到服务器，将创建的用户添加到管理员组。
现在使用新创建的管理员远程连接到服务器。
登陆成功
打开计算机管理工具 可以看到没有用户管理
安装360杀毒软件，安装360安全卫士进行扫描，发现顽固病毒和需要修复的问题。
未完待续！！！！！！！
本文转自 onesthan 51CTO博客，原文链接：http://blog.51cto.com/91xueit/1168081，如需转载请自行联系原作者
