本帖最后由 莫桑比特 于 2017-4-26 09:23 编辑

什么端口被日的 机器出现重启 密码过期的情况





被日机器出现 这样的情况 或者干脆就是密码错误


重置密码后正常登陆 观察到CPU 会有突发100%情况  流量突发推测是远程溢出

系统补丁 打了和没打 没区别 远程端口改了和没改一样

135、137、139、445端口 关了和没关一样 统统被日

--------------------------------------------------------------

net user  下看到不明账号100% 被黑


---------------------------------------------------------------

有没有dalao知道是什么洞口进来的

本帖最后由 modianxia 于 2017-4-26 08:05 编辑

刚被人日了蓝屏了




大佬分析分析这个样本，解压密码111

本帖最后由 ahao358 于 2017-4-26 10:17 编辑

我也中弹了。
用户里多了一个管理员帐户，开了来宾。
服务里多了一个奇怪的。
防火墙里开了ICMP所有，怀疑是通过这，印象中没开防火墙，黑人好象帮我开了。
其他的目前还看不出来，水平有限。

补充：
windows目录下有un.exe csrss.exe winsxslog.rar等几个可疑文件。

感觉是有0DAY了，那机器就用来挂机，远程桌面没开，防火墙也没开，但还是被日了。
现在删除那可疑服务和相关文件，取消远程桌面，删除那防火墙ICMP全开规则，目前还没发现其他情况，现在在更新，不知道黑人还有没有开放其他。现在更新没动静，等了好久，只能继续观察了

还没遇到过

可能还没扫到

奶奶的,我全军复没

什么端口被日的

为什么出现密码过期呢

那是微软系统跟新问题

应该是远程溢出导致的

并不是微软更新问题 出现问题的包括了 更新的没更新的 不知道是什么溢出

还没排查出来是哪个端口被日