??云主机低折扣年付还赠送90天?? 广告位招租 - 15元/月全站展示
??伍彩集团官网直营彩票 ??言情小说??
??私有威屁恩(独享/安全/稳定/高速/低价) ??Google Facebook Youtube 科学上网
广告位招租 - 15元/月全站展示 广告位招租 - 15元/月全站展示
麦咖啡(mcafee) VSE 8.5 服务器防挂马心得

转载   佚名   2009-07-20   浏览量:1081


重点:
 

 

单单的防还是不能解决问题,下面是我们找出真凶了

给大家介绍一个工具可以像MMC计算机管理管理单元中的“会话”文件夹,显示的是通过网络登录到计算机的会话,
远程服务管理单元显示的是远程桌面登录的会话,但没有一个工具可以显示所有登录会话---不管任何登录类型--以及这些用户使用的程序列表。
这个工具是Sysinternals(现在已经是微软)的LogoSessions工具!
//www.microsoft.com/technet/sysinternals/security/logonsessions.mspx
可以从这个地址去下载 Free
可以把LogoSessions中显示代码和其它工具显示的信息关联起来。

复制代码
代码如下:

日志
=========
Logonsesions v1.1
Copyright (C) 2004 Bryce Cogswell and Mark Russinovich
Sysinternals - wwww.sysinternals.com
[0] Logon session 00000000:000003e7:
User name: WORKGROUP\SDAHFPWE
Auth package: NTLM
Logon type: (none)
Session: 0
Sid: S-1-5-18
Logon time: 2008-2-18 15:33:05
Logon server:
DNS Domain:
UPN:
356: \SystemRoot\System32\smss.exe
404: \??\C:\WINDOWS\system32\csrss.exe
428: \??\C:\WINDOWS\system32\winlogon.exe
472: C:\WINDOWS\system32\services.exe
484: C:\WINDOWS\system32\lsass.exe
692: C:\WINDOWS\system32\svchost.exe
836: C:\WINDOWS\System32\svchost.exe
960: C:\WINDOWS\system32\spoolsv.exe
1128: C:\Program Files\Symantec\pcAnywhere\awhost32.exe
1164: C:\WINDOWS\System32\svchost.exe
1300: C:\Program Files\McAfee\Common Framework\FrameworkService.exe
1376: C:\Program Files\McAfee\VirusScan Enterprise\vstskmgr.exe
1452: C:\Program Files\McAfee\Common Framework\naPrdMgr.exe
1532: C:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.exe
1696: C:\WINDOWS\System32\svchost.exe
1912: C:\WINDOWS\System32\svchost.exe
3844: C:\WINDOWS\system32\wbem\wmiprvse.exe
4000: C:\WINDOWS\system32\dllhost.exe
3172: C:\Program Files\McAfee\VirusScan Enterprise\mcshield.exe
3960: \??\C:\WINDOWS\system32\csrss.exe
396: \??\C:\WINDOWS\system32\winlogon.exe
372: C:\WINDOWS\system32\inetsrv\inetinfo.exe
2920: C:\WINDOWS\System32\svchost.exe
2780: \??\C:\WINDOWS\system32\csrss.exe
1576: \??\C:\WINDOWS\system32\winlogon.exe
[1] Logon session 00000000:000081e5:
User name:
Auth package: NTLM
Logon type: (none)
Session: 0
Sid: (none)
Logon time: 2008-2-18 15:33:05
Logon server:
DNS Domain:
UPN:
[2] Logon session 00000000:0000c0f7:
User name: NT AUTHORITY\ANONYMOUS LOGON
Auth package: NTLM
Logon type: Network
Session: 0
Sid: S-1-5-7
Logon time: 2008-2-18 15:33:08
Logon server:
DNS Domain:
UPN:
[3] Logon session 00000000:000003e5:
User name: NT AUTHORITY\LOCAL SERVICE
Auth package: Negotiate
Logon type: Service
Session: 0
Sid: S-1-5-19
Logon time: 2008-2-18 15:33:09
Logon server:
DNS Domain:
UPN:
[4] Logon session 00000000:5cbf7d87:
User name: SDAHFPWE-WUYMBI\maggie
Auth package: NTLM
Logon type: RemoteInteractive
Session: 2
Sid: S-1-5-21-1476199771-2381760486-1211474579-1009
Logon time: 2008-2-21 9:44:18
Logon server: SDAHFPWE-WUYMBI
DNS Domain:
UPN:
3164: C:\WINDOWS\system32\rdpclip.exe
740: C:\WINDOWS\Explorer.EXE
3528: C:\Program Files\McAfee\VirusScan Enterprise\SHSTAT.EXE
392: C:\WINDOWS\system32\ctfmon.exe
3952: C:\WINDOWS\system32\mmc.exe
336: C:\Program Files\RhinoSoft.com\Serv-U\ServUAdmin.exe
[5] Logon session 00000000:60d81435:
User name: SDAHFPWE-WUYMBI\IUSR_SDAHFPWE-WUYMBI
Auth package: NTLM
Logon type: NetworkCleartext
Session: 0
Sid: S-1-5-21-1476199771-2381760486-1211474579-1015
Logon time: 2008-2-21 10:55:33
Logon server: SDAHFPWE-WUYMBI
DNS Domain:
UPN:
[6] Logon session 00000000:000003e4:
User name: NT AUTHORITY\NETWORK SERVICE
Auth package: Negotiate
Logon type: Service
Session: 0
Sid: S-1-5-20
Logon time: 2008-2-18 15:33:06
Logon server:
DNS Domain:
UPN:
2496: c:\windows\system32\inetsrv\w3wp.exe
[7] Logon session 00000000:000309aa:
User name: SDAHFPWE-WUYMBI\jooline2008sh
Auth package: NTLM
Logon type: RemoteInteractive
Session: 1
Sid: S-1-5-21-1476199771-2381760486-1211474579-500
Logon time: 2008-2-18 15:35:34
Logon server: SDAHFPWE-WUYMBI
DNS Domain:
UPN:
[8] Logon session 00000000:60f64f82:
User name: SDAHFPWE-WUYMBI\jooline2008sh
Auth package: NTLM
Logon type: RemoteInteractive
Session: 3
Sid: S-1-5-21-1476199771-2381760486-1211474579-500
Logon time: 2008-2-21 11:06:47
Logon server: SDAHFPWE-WUYMBI
DNS Domain:
UPN:
1840: C:\WINDOWS\system32\rdpclip.exe
3580: C:\WINDOWS\Explorer.EXE
2876: C:\Program Files\McAfee\VirusScan Enterprise\SHSTAT.EXE
888: C:\Program Files\RhinoSoft.com\Serv-U\ServUTray.exe
3280: C:\WINDOWS\system32\cmd.exe
376: C:\WINDOWS\system32\conime.exe
1820: C:\Program Files\McAfee\VirusScan Enterprise\mcconsol.exe
720: C:\WINDOWS\system32\NOTEPAD.EXE
2320: E:\logonsessions.exe
==============================

在安全日志事件中,可以把输出的登录会话ID和安全日志事件说明进行关联,查找登录事件和会话相关的事件。
这样很容易找到是怎么回事了....

转载自://www.jb51.net/hack/18988.html



麦咖啡McAfee 8.8企业版规则设置(高级篇)
这篇文章主要为大家介绍了mcafee深入挖掘默认规则,使默认规则威力发挥到极致,自定义规则只为补充与强化,需要的朋友可以参考下
麦咖啡McAfee 8.8企业版规则设置(中级篇)
规则已经完全超越,趋于完善,就作为天诺的封笔规则吧!感谢朋友们的支持与厚爱,需要的朋友可以参考下
麦咖啡McAfee 企业版 8.8规则设置(初级篇)
McAfee是杀毒软件,访问?;な歉ㄖ?,所以他的杀毒凌驾于一切规则之上。其杀毒与规则之间的关系是:杀毒强于规则,文件规则强于注册表规则,注册表规则强于端口规则,但四者各有所长,相互配合,才能发挥它的综合能力
corevideo.dll 手工删除方法
corevideo.dll是一个病毒危险文件,这里简单介绍下手工删除方法,需要的朋友可以参考下
麦咖啡McAfee 8.8企业版规则设置 高级篇
这篇文章主要为大家介绍了mcafee深入挖掘默认规则,使默认规则威力发挥到极致,自定义规则只为补充与强化,需要的朋友可以参考下
麦咖啡McAfee 8.8企业版规则设置 中级篇
规则已经完全超越,趋于完善,就作为天诺的封笔规则吧!感谢朋友们的支持与厚爱,需要的朋友可以参考下
麦咖啡McAfee 企业版 8.8规则设置 初级篇
McAfee是杀毒软件,访问?;な歉ㄖ?,所以他的杀毒凌驾于一切规则之上。其杀毒与规则之间的关系是:杀毒强于规则,文件规则强于注册表规则,注册表规则强于端口规则,但四者各有所长,相互配合,才能发挥它的综合能力
McAfee麦咖啡企业版8.8设置方法
McAfee大企业版规则之强,天诺时空现有规则之厉,相信大家已有所见闻与实践。但是否真的滴水不漏、固若金汤,相信谁也不敢妄言。本教程力图充分利用咖啡规则现有语法特点,引导有一定基础的新手和有兴趣的朋友构筑一个防范严密、高效放心的规则
教你8种方法 轻松远离垃圾邮件
去年的最后一个月,美国调查表明垃圾邮件数量破了历史纪录,占所有邮件的94%。垃圾邮件已经成了除病毒木马之外,网络的另一大“公害”。本文整理了十种对付垃圾邮件的方法,让我们来看一下,因为是国外网站,是否符合我国情况还需斟酌。
一种神奇的杀毒方法“用记事本杀毒”
使用杀毒的方法都是用一般的操作,比如杀毒软件、打开进程管理器关闭不熟悉的进程等。今天小编就为网友们了解一种神奇的杀毒方法,那就是记事本杀毒,感兴趣的朋友不要错过