在安全日志发现的？？？有后门？

as23

本人装的是装市场上买的GHOST系统，在日志里发现如下。
怎么多了用户NT AUTHORITY\SYSTEM？还有未受权的登录？后门？
怎么堵上呀？？？？？文件太大了。选了一部分。完整内容在包里。
请各位老大指点一下。

事件类型:    成功审核
事件来源:    Security
事件种类:    系统事件
事件 ID:    514
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
本地安全机制机构已加载身份验证程序包。 这个身份验证数据包将用来验证登录操作。
身份验证程序包名:     C:\WINDOWS\system32\LSASRV.dll : Negotiate

有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    登录/注销
事件 ID:    528
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\NETWORK SERVICE
计算机:    WAHAHA
描述:
登录成功:
     用户名:     NETWORK SERVICE
     域:         NT AUTHORITY
     登录 ID:         (0x0,0x3E4)
     登录类型:     5
     登录过程:     Advapi  
     身份验证程序包:     Negotiate
     工作站名:   
     登录 GUID:    {00000000-0000-0000-0000-000000000000}

有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    系统事件
事件 ID:    514
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
本地安全机制机构已加载身份验证程序包。 这个身份验证数据包将用来验证登录操作。
身份验证程序包名:     C:\WINDOWS\system32\kerberos.dll : Kerberos
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    系统事件
事件 ID:    514
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
本地安全机制机构已加载身份验证程序包。 这个身份验证数据包将用来验证登录操作。
身份验证程序包名:     C:\WINDOWS\system32\msv1_0.dll : NTLM
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    系统事件
事件 ID:    514
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
本地安全机制机构已加载身份验证程序包。 这个身份验证数据包将用来验证登录操作。
身份验证程序包名:     C:\WINDOWS\system32\schannel.dll : Microsoft Unified Security Protocol Provider
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    系统事件
事件 ID:    514
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
本地安全机制机构已加载身份验证程序包。 这个身份验证数据包将用来验证登录操作。
身份验证程序包名:     C:\WINDOWS\system32\schannel.dll : Schannel
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    系统事件
事件 ID:    514
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
本地安全机制机构已加载身份验证程序包。 这个身份验证数据包将用来验证登录操作。
身份验证程序包名:     C:\WINDOWS\system32\wdigest.dll : WDigest
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    系统事件
事件 ID:    514
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
本地安全机制机构已加载身份验证程序包。 这个身份验证数据包将用来验证登录操作。
身份验证程序包名:     C:\WINDOWS\system32\msv1_0.dll : MICROSOFT_AUTHENTICATION_PACKAGE_V1_0
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    系统事件
事件 ID:    515
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
受信任的登录过程已经在本地安全机制机构注册。 将信任这个登录过程来提交登录申请。
  登录过程名:     KSecDD
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    特权使用
事件 ID:    577
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
调用的特许服务:
     服务器:        NT Local Security Authority / Authentication Service
     服务:        LsaRegisterLogonProcess()
     主要用户名:    WAHAHA$
     主要域:    WORKGROUP
     主要登录 ID:    (0x0,0x3E7)
     客户端用户名:    WAHAHA$
     客户端域:    WORKGROUP
     客户端登录 ID:    (0x0,0x3E7)
     特权:    SeTcbPrivilege
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    系统事件
事件 ID:    515
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
受信任的登录过程已经在本地安全机制机构注册。 将信任这个登录过程来提交登录申请。
  登录过程名:     Winlogon
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    系统事件
事件 ID:    515
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
受信任的登录过程已经在本地安全机制机构注册。 将信任这个登录过程来提交登录申请。
  登录过程名:     Winlogon\MSGina
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    特权使用
事件 ID:    577
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
调用的特许服务:
     服务器:        NT Local Security Authority / Authentication Service
     服务:        LsaRegisterLogonProcess()
     主要用户名:    WAHAHA$
     主要域:    WORKGROUP
     主要登录 ID:    (0x0,0x3E7)
     客户端用户名:    WAHAHA$
     客户端域:    WORKGROUP
     客户端登录 ID:    (0x0,0x3E7)
    特权:    SeTcbPrivilege
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    详细追踪
事件 ID:    592
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
已经创建新的过程:
     新的过程 ID:    1856
     映象文件名:    C:\WINDOWS\System32\svchost.exe
     创建者过程 ID:    1672
     用户名:    WAHAHA$
     域:        WORKGROUP
     登录 ID:        (0x0,0x3E7)
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    系统事件
事件 ID:    518
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
安全帐户管理器已被加载到通知程序包。 任何帐户或密码更改信息会通知这个通知程序包。
通知程序包名:     scecli
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    系统事件
事件 ID:    515
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
受信任的登录过程已经在本地安全机制机构注册。 将信任这个登录过程来提交登录申请。
  登录过程名:     DCOMSCM
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    特权使用
事件 ID:    577
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
调用的特许服务:
     服务器:        NT Local Security Authority / Authentication Service
     服务:        LsaRegisterLogonProcess()
     主要用户名:    WAHAHA$
     主要域:    WORKGROUP
     主要登录 ID:    (0x0,0x3E7)
     客户端用户名:    WAHAHA$
     客户端域:    WORKGROUP
     客户端登录 ID:    (0x0,0x3E7)
     特权:    SeTcbPrivilege
关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    特权使用
事件 ID:    577
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
调用的特许服务:
     服务器:        NT Local Security Authority / Authentication Service
     服务:        LsaRegisterLogonProcess()
     主要用户名:    WAHAHA$
     主要域:    WORKGROUP
     主要登录 ID:    (0x0,0x3E7)
     客户端用户名:    WAHAHA$
     客户端域:    WORKGROUP
     客户端登录 ID:    (0x0,0x3E7)
     特权:    SeTcbPrivilege

有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。


事件类型:    成功审核
事件来源:    Security
事件种类:    详细追踪
事件 ID:    600
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
分派给进程一个主令牌。
分配进程信息:
     进程 ID:    1672
     图像文件名:    C:\WINDOWS\System32\services.exe
     用户名:    WAHAHA$
     域:        WORKGROUP
     登录 ID:        (0x0,0x3E7)
新进程信息:
     进程 ID:    1948
     图像文件名:    C:\WINDOWS\System32\svchost.exe
     用户名:    NETWORK SERVICE
     域:        NT AUTHORITY
     登录 ID:        (0x0,0x3E4)


有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。

事件类型:    成功审核
事件来源:    Security
事件种类:    详细追踪
事件 ID:    592
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
已经创建新的过程:
     新的过程 ID:    1956
     映象文件名:    C:\WINDOWS\System32\logonui.exe
     创建者过程 ID:    1604
     用户名:    WAHAHA$
     域:        WORKGROUP
     登录 ID:        (0x0,0x3E7)
关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    详细追踪
事件 ID:    600
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
分派给进程一个主令牌。
分配进程信息:
     进程 ID:    1604
     图像文件名:    C:\WINDOWS\System32\winlogon.exe
     用户名:    WAHAHA$
     域:        WORKGROUP
     登录 ID:        (0x0,0x3E7)
新进程信息:
     进程 ID:    1956
     图像文件名:    C:\WINDOWS\System32\logonui.exe
     用户名:    WAHAHA$
     域:        WORKGROUP
     登录 ID:        (0x0,0x3E7)
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    失败审核
事件来源:    Security
事件种类:    对象访问
事件 ID:    560
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\NETWORK SERVICE
计算机:    WAHAHA
描述:
打开的对象:
     对象服务器:    SC Manager
     对象类型:    SC_MANAGER OBJECT
     对象名称:    ServicesActive
     句柄 ID:    -
     操作 ID:    {0,52762}
     过程 ID:    1672
     图像文件名:    C:\WINDOWS\System32\services.exe
     主要用户名:    WAHAHA$
     主要域:    WORKGROUP
     主要登录 ID:    (0x0,0x3E7)
     客户端用户名:    NETWORK SERVICE
     客户端域:    NT AUTHORITY
     客户端登录 ID:    (0x0,0x3E4)
     访问次数:        (0x0,0x3E4)
     特权:        READ_CONTROL
            连接到服务控制器
            锁定服务数据库，防止他人访问
            
     受限 Sid 计数: 0
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    详细追踪
事件 ID:    592
日期:        2008-4-5
事件:        3:47:09
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
已经创建新的过程:
     新的过程 ID:    2004
     映象文件名:    C:\WINDOWS\System32\svchost.exe
     创建者过程 ID:    1672
     用户名:    WAHAHA$
     域:        WORKGROUP
     登录 ID:        (0x0,0x3E7)
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    失败审核
事件来源:    Security
事件种类:    帐户登录
事件 ID:    680
日期:        2008-4-5
事件:        3:47:11
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
尝试登录的用户: MICROSOFT_AUTHENTICATION_PACKAGE_V1_0
登录帐户: 野鹤

源工作站: WAHAHA
错误代码: 0xC000006A
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
  事件类型:    失败审核
事件来源:    Security
事件种类:    登录/注销
事件 ID:    529
日期:        2008-4-5
事件:        3:47:11
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
登录失败:
     原因:          用户名未知或密码错误
     用户名:     野鹤
     域:         WAHAHA
     登录类型:     2
     登录过程:     Advapi  
     身份验证程序包:     Negotiate
     工作站名:     WAHAHA

有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    失败审核
事件来源:    Security
事件种类:    帐户登录
事件 ID:    680
日期:        2008-4-5
事件:        3:47:12
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
尝试登录的用户: MICROSOFT_AUTHENTICATION_PACKAGE_V1_0
登录帐户:  事件类型:    失败审核
事件来源:    Security
事件种类:    帐户登录
事件 ID:    680
日期:        2008-4-5
事件:        3:47:12
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
尝试登录的用户: MICROSOFT_AUTHENTICATION_PACKAGE_V1_0
登录帐户:  野鹤
源工作站: WAHAHA
错误代码: 0xC000006A


有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。

源工作站: WAHAHA
错误代码: 0xC000006A


有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    失败审核
事件来源:    Security
事件种类:    登录/注销
事件 ID:    529
日期:        2008-4-5
事件:        3:47:12
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
登录失败:
     原因:          用户名未知或密码错误
     用户名:      野鹤
     域:         WAHAHA
     登录类型:     2
     登录过程:     Advapi  
     身份验证程序包:     Negotiate
     工作站名:     WAHAHA

有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。
事件类型:    成功审核
事件来源:    Security
事件种类:    系统事件
事件 ID:    515
日期:        2008-4-5
事件:        3:47:12
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
受信任的登录过程已经在本地安全机制机构注册。 将信任这个登录过程来提交登录申请。
  登录过程名:     CHAP
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。

事件类型:    成功审核
事件来源:    Security
事件种类:    详细追踪
事件 ID:    592
日期:        2008-4-5
事件:        3:47:12
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
已经创建新的过程:
     新的过程 ID:    448
     映象文件名:    C:\WINDOWS\System32\SCardSvr.exe
     创建者过程 ID:    1672
     用户名:    WAHAHA$
     域:        WORKGROUP
     登录 ID:        (0x0,0x3E7)


有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。


事件类型:    成功审核
事件来源:    Security
事件种类:    详细追踪
事件 ID:    600
日期:        2008-4-5
事件:        3:47:12
用户:        NT AUTHORITY\SYSTEM
计算机:    WAHAHA
描述:
分派给进程一个主令牌。
分配进程信息:
     进程 ID:    1672
     图像文件名:    C:\WINDOWS\System32\services.exe
     用户名:    WAHAHA$
     域:        WORKGROUP
     登录 ID:        (0x0,0x3E7)
新进程信息:
     进程 ID:    448
     图像文件名:    C:\WINDOWS\System32\SCardSvr.exe
     用户名:    LOCAL SERVICE
     域:        NT AUTHORITY
     登录 ID:        (0x0,0x3E5)


有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。

as23

补充一下。管理员名： 野鹤。计算机名：WAHAHA

DoctorL

GHOST也有很多版本，LZ是什么版本，不要给人以误导，说GHOST就不好了

tanlimo

日志中未发现异常。

NETWORK SERVICE是windows系统的内置帐户，NT AUTHORITY\SYSTEM代表系统，非后门。

llj4862

原帖由 tanlimo 于 2008-4-15 16:59 发表
日志中未发现异常。

NETWORK SERVICE是windows系统的内置帐户，NT AUTHORITY\SYSTEM代表系统，非后门。

正解...建议LZ先GOOGLE再说!

as23

首先说明一下，绝对没有说GHOST不好的意思。不当之处请见谅。
对于系统是门外汉。本人用的是市场上买的盗版7.7。有些东西不明白，请指教
1.        系统里只设了一个管理员.该不该有NT AUTHORITY\NETWORK SERVICE、NT AUTHORITY\SYSTEM？？此外注册表权限里还有如图用户，怎么这么多用户？？

2.        以下的登录过程？？？
登录成功:
         用户名:         NETWORK SERVICE
         域:                 NT AUTHORITY
         登录 ID:                 (0x0,0x3E4)
         登录类型:         5
         登录过程:         Advapi  
         身份验证程序包:         Negotiate
         工作站名:        
         登录 GUID:        {00000000-0000-0000-0000-000000000000}


3．调用的特许服务？？:
         服务器:                NT Local Security Authority / Authentication Service
         服务:                LsaRegisterLogonProcess()
         主要用户名:        WAHAHA$
         主要域:        WORKGROUP
         主要登录 ID:        (0x0,0x3E7)
         客户端用户名:        WAHAHA$
         客户端域:        WORKGROUP
         客户端登录 ID:        (0x0,0x3E7)
         特权:        SeTcbPrivilege
4. 为什么通知程序包？？

日期:                2008-4-5
事件:                3:47:09
用户:                NT AUTHORITY\SYSTEM
计算机:        WAHAHA
描述:
安全帐户管理器已被加载到通知程序包。 任何帐户或密码更改信息会通知这个通知程序包通知程序包名:         scecli
5为什么连接到服务控制器？？？
用户:                NT AUTHORITY\NETWORK SERVICE
计算机:        WAHAHA
描述:
打开的对象:
         对象服务器:        SC Manager
         对象类型:        SC_MANAGER OBJECT
         对象名称:        ServicesActive
         句柄 ID:        -
         操作 ID:        {0,52762}
         过程 ID:        1672
         图像文件名:        C:\WINDOWS\System32\services.exe
         主要用户名:        WAHAHA$
         主要域:        WORKGROUP
         主要登录 ID:        (0x0,0x3E7)
         客户端用户名:        NETWORK SERVICE
         客户端域:        NT AUTHORITY
         客户端登录 ID:        (0x0,0x3E4)
         访问次数:                (0x0,0x3E4)
         特权:                READ_CONTROL
                        连接到服务控制器
                        锁定服务数据库，防止他人访问
                        
         受限 Sid 计数: 0
．再次声一下，本人菜鸟一只。Google一下这方面文章不多。大虾多指教。
有相关文章请发给mailto:baoma.1974@163.com。

as23

机器这两天不能打开网页。不能来坛子。急呀
不知何故？安全日志也被破坏！问题没解决！大侠支招呀

香甜卡饭

建议搂主还是重新下个系统安装吧!先能使用才是正事情！

computerpig

请教LZ 你6楼的那个截图
  是从那里打开的查看用户或者组？
名称(RND)

as23

一直在鼓动电脑，没上网。还有许多没高明白 ，又出现了新的异常。1.svchost访问网络2.安全日志不能及时更新,显示的是前些日的.3.U盘不能被识别,只有在浏览器地址栏下输入盘符才能访问.
截图是在注册表下键值右击》权限》添加》高级》立即查找   下发现的，不知该不该有这么多用户？？
发现了个木马，如下：
360安全卫士木马查杀历史报告

木马名称：Trojan/Win32.DownLoaderT.de
路径：C:\Documents and Settings\All Users\Application Data\Intel\Wireless\WLANProfiles\dasdfxasfdd234i4aag23r4532n.dll
查杀时间 ：2008-04-29 12:27
不知这么多异常是不是它照成的？？
本想研究下,一直没重装.但能力有限,实在受不了了 ,只得恢复系统
把最后的纪录到的安全日志传上来,跟以前有变化,兄弟帮我分析一下.
或把有关这方面的资料发到baoma.1974@163.com 谢谢了!!!