查看: 435|回复: 3

借这里的人气来个求助 [复制链接]

将臣

海豚

采姑娘的小蘑菇

UID: 41270
注册时间: 2004-12-19
帖子: 5532
精华: 2

电梯直达

1^#

发表于 2010-11-13 21:57:20 |只看该作者 |倒序浏览

服务器好象被入侵了
今天服务器死机，检查发现居然莫名其妙增加了两个用户，一个是"1"，一个是"chen"
看了下事件查看器：
事件类型:       审核成功
事件来源:       Security
事件种类:       登录/注销
事件 ID:       528
日期:             2010-11-11
事件:             5:00:41
用户:             S-1-5-21-1398341162-3899977192-969703472-1006
计算机:       SERVER4
描述:
登录成功:
      用户名:       1
      域:                SERVER4
      登录 ID:                (0x0,0x85C7D119)
      登录类型:       10
      登录进程:       User32
      身份验证数据包:       Negotiate
      工作站名:       SERVER4
      登录 GUID:       -
      调用方用户名:       SERVER4$
      调用方域:       WORKGROUP
      调用方登录 ID:       (0x0,0x3E7)
      调用方进程 ID: 2196
      传递服务: -
      源网络地址:       58.42.46.45
      源端口:       1986
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。

-----------------------------------------------------------------------------------

事件类型:       审核成功
事件来源:       Security
事件种类:       登录/注销
事件 ID:       528
日期:             2010-10-31
事件:             16:23:24
用户:             S-1-5-21-1398341162-3899977192-969703472-1005
计算机:       SERVER4
描述:
登录成功:
      用户名:       chen
      域:                SERVER4
      登录 ID:                (0x0,0x79FCDB8B)
      登录类型:       10
      登录进程:       User32
      身份验证数据包:       Negotiate
      工作站名:       SERVER4
      登录 GUID:       -
      调用方用户名:       SERVER4$
      调用方域:       WORKGROUP
      调用方登录 ID:       (0x0,0x3E7)
      调用方进程 ID: 7032
      传递服务: -
      源网络地址:       114.239.13.208
      源端口:       4041
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。

请高手帮忙分析一下