1   1  /  1  页   跳转页

请帮我分析一下防火墙的TCP事件【原创】

收藏
我是英雄
头像
拙长孩提狮
  • 帖子:53
  • 注册: 2004-12-04
  • 来自:
发表于： 2008-03-12 21:34 | 显示全部 短消息 资料
字号： 小 中 大 1楼

请帮我分析一下防火墙的TCP事件【原创】

2008-03-12 21:16:49, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2243 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 21:16:49, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2242 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 21:11:49, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2132 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 21:10:03, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2130 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 21:06:11, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2077 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 21:06:11, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2076 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 21:01:11, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2075 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 21:01:11, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2074 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:59:59, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2073 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:59:59, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2072 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:56:11, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2071 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:56:11, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2070 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:51:11, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2069 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:51:11, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2068 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:49:59, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2067 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:49:59, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2066 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:46:11, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2063 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:46:11, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2062 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:41:11, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2061 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:41:11, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2060 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:39:59, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2059 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:39:59, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2058 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:36:10, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2057 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:36:10, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2056 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:31:10, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2053[KNETD] => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:31:10, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2052 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:29:59, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2051 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:29:59, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2050 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:26:10, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2049[NFS服务器] => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:26:10, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2048 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:21:10, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2047 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:21:10, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2046 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:19:59, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2045 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:19:59, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2044 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:16:10, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2041 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:16:10, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2040 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:11:10, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2039 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:11:08, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2038 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:09:59, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2037 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:09:59, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2036 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:06:08, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2035 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:06:08, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2034 => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE
2008-03-12 20:01:08, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:2031 => 127.0.0.1:1025程序名称为：C:\WINDOWS

[用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Mozilla/4.0(Compatible Mozilla/4.0(Compatible-EmbeddedWB 14.59 http://bsalsa.com/ EmbeddedWB- 14.59  from: http://bsalsa.com/ )
最后编辑2008-03-13 14:34:32
分享到：
gototop
 
我是英雄
头像
拙长孩提狮
  • 帖子:53
  • 注册: 2004-12-04
  • 来自:
发表于： 2008-03-12 21:43 | 显示全部 短消息 资料
字号： 小 中 大 2楼

详细内容2008-03-12 19:01:07, 系统禁止本地POWERREMIND.EXE连接网络的请求，地址为：TCP, 0.0.0.0:1042[Bla木马] => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE

还有如上的提示
gototop
 
我是英雄
头像
拙长孩提狮
  • 帖子:53
  • 注册: 2004-12-04
  • 来自:
发表于： 2008-03-12 21:49 | 显示全部 短消息 资料
字号： 小 中 大 3楼

谢谢,这个问题是由影子系统引起的,但为什么会有如下的提示:
    地址为：TCP, 0.0.0.0:1042[Bla木马] => 127.0.0.1:1025程序名称为：C:\WINDOWS\system32\shadow\POWERREMIND.EXE

这个算是防火墙的一个标记吧,Bla木马是使用1042端口远程控制的.
gototop
 
<<上一主题|下一主题>>
1   1  /  1  页   跳转页
页面顶部
Powered by Discuz!NT