为何ASP服务总是在特定时间里自动重起了？请高手指点！！

马铃薯

OS：Windows2000\r\n现象：在日志中发现下面的有规律的日志提示\r\n2005-7-7        21:01:05        Active Server Pages        信息        无        3        N/A        BB-509SPVY334PY        服务已启动。 \r\n2005-7-7        21:00:42        Active Server Pages        信息        无        4        N/A        BB-509SPVY334PY        服务已停止。 \r\n2005-7-7        7:32:31        SceCli        信息        无        1704        N/A        BB-509SPVY334PY        组策略对象中的安全策略被成功应用。\r\n说明：目前总是在晚上21点左右出现ASP自动重起。当不连到Internet网不出现问题，一旦连接上就出现这个问题。这台机器是WEB服务器来着。\r\n不知道是系统的问题了还是中招的原因，请高手指点一下。谢谢了。

马铃薯

自己顶一下吧。期待中...............

河里的鱼

用AT来查一下,有人连接到你的服务器了

马铃薯

我是怀疑可能被利用了.从这种现象中能否知道是哪种木马或者攻击手段才会这样利用了？希望斑竹关注一下。谢谢

河里的鱼

如果是我进入了你的服务器\r\n\r\n很容易做到你所说的这种情况\r\n\r\n你先查一下,at这个命令可以帮你查

马铃薯

机器在客户那边，去一次很不方便，我只是想知道如果你入侵这台机器，用什么木马或者手段需要定时调用ASP服务了？

ayazero

[quote]原帖由 \"马铃薯\"]我是怀疑可能被利用了.从这种现象中能否知道是哪种木马或者攻击手段才会这样利用了？希望斑竹关注一下。谢谢[/quote 发表：\n\r\n\r\n应急响应工具我已经全部提交了，不久就会下发分支机构，到时候拿脚本跑一下就知道了

马铃薯

恩。知道。你那里面包含测试克隆帐号的检测吗？

马铃薯

还想问一问能从日志判断有可能被clone帐号吗？

ayazero

Google may answer all of your questions to indicate whether the host is compromised or not