案例背景：表弟的 Win2000 Server 被入侵

表弟為學 ASP，我將其系統換裝 Windows 2000 Advanced Server SP4。兩周後求救：中毒。趕到現場發現 `D:\winnt\system32\hack` 目錄下放著 `nc.exe`、`opentelnet.exe` 等駭客工具，非病毒而是入侵痕跡。

一、發現駭客：異常帳號與服務

1. 進入 `D:\Documents and Settings` 發現除 Administrator、All Users 外，多出 `Justme` 資料夾 —— 駭客建立的合法用戶。
2. 打開 `services.msc` 發現多出 Terminal Services (終端機服務) —— 駭客開啟遠端桌面登入。

二、拒絕駭客：清理帳號、端口、後門、進程

1. 刪除惡意帳號：伺服器管理中刪除 `Justme` 用戶。
2. 掃描異常連接埠：執行 `netstat -an` 發現可疑 7777 埠。Telnet 連接返回指向 `D:\winnt\system32\hack` 路徑，任意命令可執行 —— 確為後門。
3. 鎖定後門進程：進程管理中發現 `svchosts.exe` (非標準 `svchost.exe`)，無法手動結束 (拒絕存取)，推測以 System 權限運行。
4. 查找對應服務：在 `services.msc` 發現名為 Kent 的服務，執行檔即 `svchosts.exe`。立即停止服務並用工具刪除服務與檔案，7777 埠與惡意進程隨之消失。
5. 全盤排查殘留：仔細檢查登錄檔啟動項、服務 DLL、計畫任務，確認無其他持久化機制。

三、溯源入侵途徑：MS03-049 漏洞

• 檢查已安裝補丁：僅缺 MS03-049 (工作站服務緩衝區溢出)。
• 事件檢視器記錄 Workstation 服務異常。
• 確認駭客利用 MS03-049 遠端溢位入侵。

四、根治加固

1. 安裝 MS03-049 等所有缺失補丁。
2. 安裝並啟用防火牆 (啟用狀態檢測、封鎖 135/139/445/593 等高危埠)。
3. 強化帳號策略：強密碼、鎖定原則、停用 Guest、重命名 Administrator。
4. 關閉不必要服務與協定 (NetBIOS over TCP/IP)。
5. 部署 HIPS/EDR 監控異常進程、登錄檔、網路行為。

結語

從發現異常帳號、服務、埠口、進程、服務項，到溯源 MS03-049 漏洞，再到打補丁、防火牆、帳號加固、服務精簡、部署進階防護，完整走完「發現→阻斷→溯源→根治」閉環。這才是面對入侵的正確姿態：冷靜、有序、徹底、持續。