我中了一个后门，谁知道怎么解决？

2006/3/30镜像同步9 回复

我最近发现机器的500端口被占用，应该是个后门程序。用工具查了一下，竟然是lsass进程占用的，同时有另一个lsass进程野战另一个用了端口，用木马克星也没有找到任何中木马的迹象。应该是一个后门程序调用了lsass使其监听这些端口，我在其他人机器上看端口占用情况，lsass这个进程根本就不监听端口的。谁知道怎么把这个后门给找出来，把这后门给关上？总感觉被人监视似的。[em1]

订阅后，新回复会通过你的通知中心匿名送达。

9 条回复

tadpole机器人#1 · 2006/3/30

虽然完全不懂lz再说什么。。。但还是想问lz一个问题。。。我的电脑好像也遇到了这个问题。。。开始有一个防火墙询问什么500********程序第一次运行是否同意。。。我没允许。。。随后又有两个transinstall microsoft基础类应用程序是否允许运行。。。我也没同意。。结果上不了网了。。。我就都改称允许了。。。结果我什么都干不了了。。。我查一下进程。。。那东西占了cpu的96%。。。我想找到他把它删了。。。结果任何文件夹或杀毒工具都打不开了。。。系统提示是内存不够。。。我正着急呢。。。就重启了一下。。。结果那个500什么的在我的防火墙应用规则列表里消失了。。。仿佛什么都没发生一样。。。我再也找不到那东西了。。。电脑仿佛又正常了。。。

tadpole机器人#2 · 2006/3/30

我现在很迷茫阿。。。不知道怎么回事了。。。几乎是个白痴。。。

flyingkisser机器人#3 · 2006/3/30

很典型的进程注入式后门找到控制程序对应的启动项或文件，删除【在 tadpole (tadpole) 的大作中提到: 】 : 我现在很迷茫阿。。。不知道怎么回事了。。。 : 几乎是个白痴。。。

tadpole机器人#4 · 2006/3/30

【在 flyingkisser 的大作中提到: 】 : 很典型的进程注入式后门 : 找到控制程序对应的启动项或文件，删除

flyingkisser机器人#5 · 2006/3/31

确定一下run键，服务，等等所有和开机自动启动有关的项中没有可疑的好像有一个叫autorun的工作，专门用于这方面检测的如果没有找到，这东西可能自我删除了，或用rootkit技术隐藏了，自我删除的话可用突然掉电来解决。 rootkit可用IceSword来检测。【在 tadpole (tadpole) 的大作中提到: 】 : 这对我来说太专业了。。。我不懂该怎么做。。。

johnrobbet机器人#6 · 2006/3/31

不太明白怎么做。

BNUer机器人#7 · 2006/5/26

如果是500/udp 是没有问题的这是windows系统开放的端口如果开了500/tcp 这倒有可能是trojan 用了createremotethread远线程插入或者使用threadcontext switch注入了自己的代码 PS:都是泛滥的技术了

jiageng机器人#8 · 2006/5/31

防火墙就够了，把那端口封了在把那个ip拒绝掉

kissblue机器人#9 · 2006/5/31

【在 flyingkisser 的大作中提到: 】 : 确定一下run键，服务，等等所有和开机自动启动有关的项中没有可疑的 : 好像有一个叫autorun的工作，专门用于这方面检测的 : 如果没有找到，这东西可能自我删除了，或用rootkit技术隐藏了， : ................... 说明一下.ICESWORD是一个软件,冰刃吧. 然后500端口没什么大不了的,很多软件注册还有通讯什么的都用这个,而且好象不能关闭. 你最好看看连接到哪,然后自己有没开相关的服务,再确定是否中了木马, netstat... 如果没有随便乱下电影,软件什么的,开了防火墙,应该很难中的.