windows server 是不是被黑了?

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

已注册用户请登录

这是一个创建于 801 天前的主题，其中的信息可能已经有所发展或是发生改变。

如题. 查看日志,多了如下的 ssh 登录信息, 这个用户名不是我主动建立的啊.

使用了哪个帐户的凭据: 帐户名: sshd_9644 帐户域: VIRTUAL USERS 登录 GUID: {00000000-0000-0000-0000-000000000000} 目标服务器: 目标服务器名: localhost 附加信息: localhost 进程信息: 进程 ID: 0x25ac 进程名: C:\Windows\System32\OpenSSH\sshd.exe 网络信息: 网络地址: - 端口: - 在进程尝试通过显式指定帐户的凭据来登

帐户

localhost

进程

凭据

4 条回复 2023-07-31 20:04:29 +08:00

LLaMA2

2023-07-31 14:50:32 +08:00

如果我问你，openssh 从何而来，阁下又该如何回答呢。

yinmin

2023-07-31 15:34:13 +08:00

运行 powershell ，输入以下指令，看看有没有异常用户： Get-LocalUser

另外，为什么要在 windows server 里跑 sshd ？ windows 远程操作应该是使用图形界面的 rdp 吧

Figma

2023-07-31 20:02:15 +08:00

@ye4tar
@yinmin
谢谢回复. openssh 是我装的. 有时候 rdp 略卡. 所以开了 sshd.

Figma

2023-07-31 20:04:29 +08:00

@yinmin 谢谢. 这样看没实体用户. 但 sshd log 提示了"VIRTUAL USERS", 我纳闷是什么行为产生的这样的日志.

PS D:\code> Get-LocalUser

Name Enabled Description
---- ------- -----------
Administrator False 管理计算机(域)的内置帐户
DefaultAccount False 系统管理的用户帐户。
Guest True 供来宾访问计算机或访问域的内置帐户
****我的用户名 True default develop account for me.
WDAGUtilityAccount False 系统为 Windows Defender 应用程序防护方案管理和使用的用户帐户。