การแก้ปัญหา Server ติด worm kido

การแก้ปัญหา Server ติด worm kido


อาการ

1.ไม่สามารถ logon Server ได้

2.Server ทำงานช้ามาก

แก้ไขโดย

1. Reboot Server and select safe-mode

2.kill worm kido by kk.exe (โหลดจาก http://support.gogreen.co.th/GogreenPortal/getfile&file=4-kk_v3.4.13.zip.html)

3.Run Microsoft security Patch Windows Server 2003 ( โหลดจาก http://support.gogreen.co.th/GogreenPortal/getfile&file=19-windows_server_ 2003.rar.html ) สำหรับ Windows XP โหลดจาก http://support.gogreen.co.th/GogreenPortal/getfile&file=17-windows_xp.rar.html

4.restart server

Remark : ต้องทำทั้งหมดทุกเครื่อง(server and client ) ในเครือข่าย จึงจะแก้ได้ 100 %

คำสั่งจำเป็นสำหรับแอดมินเน็ตเวิกค์

ipconfig 

ipconfig /release
เป็นการ clear ค่า IP ออกซะ

ipconfig /renew
เป็นการขอ IP จาก DHCP ใหม่อีกครั้ง

ipconfig  /flushdns
ขจัด DNS Resolver ออกจาก cache.

ipconfig  /registerdns
ทำการ Refreshes DHCP ทั้งหมด และ registers DNS names ใหม่

ipconfig  /displaydns
แสดง DNS Resolver ทั้งหมดที่มีในอยู่ Cache.

ipconfig /all
ดูค่า IP ทั้งหมด

-----------------------------------------------------------------------------------------

netstat

netstat -a
ดูการเชื่อมต่อ port ต่างๆที่ (เครื่องนั้นๆ=เครื่องคุณ) ที่ใช้คำสั่งนี้ได้เปิดรอการเข้ามาติดต่อ แต่ผลที่แสดงจะเป็นรายชื่อ Service ที่ติดต่อกับเครื่อง (เครื่องนั้นๆ=เครื่องคุณ) เช่นชื่อเว็บไซด์หรือชื่อเครื่อง ไม่แสดงเป็นตัวเลข IP

netstat -n
Opiton นี้จะเหมือนกับ -a แต่การแสดงผลจะเป็นเลข IP กับ Port แทนชื่อเครื่องหรือชื่อเว็บไซด์ต่างๆที่ได้มีการติดต่อหรือเชื่อมการติดต่อ

netstat -r
แสดง routing table

netstat -e
คือ คำสั่งที่แสดงข้อมูลออกมาในรูปแบบของสถิติ เช่น มีการส่งออกไปกี่ Bytes, จำนวน packet ที่ดีๆ,

จำนวน packet ที่ถูกทิ้ง, ความผิดพลาดที่เกิดขึ้น และอีกหลายๆอย่าง

netstat  -s
แสดงสถิติของ protocol อื่นๆออกมาด้วยยกตัวอย่างเช่น IP, IPv6, ICMP, ICMPv6, TCP, TCPv6,

UDP, UDPv6 เป็นต้น

ตัวอย่าง


Proto คือ Protocol ที่กำลังใช้งานอยู่จะมี TCP และ UDP เป็นหลัก

Local Address (ค่า IP หรือชื่อเครื่อง: port ที่ใช้งานอยู่) คือจะแสดง หมายเลข IP ของเรา (ในที่นี้เป็นชื่อ เครื่อง) และ port ที่ืั้กำลังใช้งานอยู่
Foreign Address (ค่า IP หรือชื่อเครื่อง: Port ที่ใช้ติดต่ออยู่): อันนี้จะแสดงชื่อหรือ IP address ของเครื่องที่เรากำลังติดต่ออยู่ด้วย และหมายเลข Port ที่เราใช้เชื่อมต่อนั้นๆ
State คือ สถานะของการเชื่อมต่อของ netstat นั้นๆจะมีอยู่ด้วยกัน 4 สถานะหลักๆได้แก่
          1.Established เป็นสถานะที่บอกว่าเครื่องนั้นๆได้เกิดการเชื่อมต่อกับ IP address ปลายทางด้วย port
             หมายเลขนั้นแล้ว
          2.Time_wait คือสถานะที่รอการเชื่อมต่อ
          3.Listening คือยังไม่มีเครื่องใดติดต่อมาหรือว่ากำลังรอการเชื่อมต่ออยู่นั้นเอง
          4.Close_wait คือปิดการเชื่อมต่อปกติจะไม่พบมากสำหรับสถานะนี้
             และสถานะอื่นๆที่อาจพบได้แก่ SYN_SENT , FIN_WAIT เป็นต้น


---------------------------------------------------------------------------------------

 Port ที่มีการใช้งานบ่อย

TCP-UDP 7 คือ Echo

TCP port 20 – 21 คือ FTP (ตัวที่ใช้ Upload file เข้า server)

TCP 21 คือ telnet (ปกติเขาจะไม่ใช้กันระวังให้ดีถ้า port นี้ Established อยู่)

TCP 23 คือ SSH

TCP 25 คือ SMTP (ส่ง mail)

TCP – UDP 53 DNS

TCP 80, 443 คือ Http – https (ตัวเปิด web ทั่วไปนั้นเหละ)

TCP 110 คือ POP3 (รับ mail )

TCP-UDP 1433 คือ Microsoft SQL Server
--------------------------------------------------------------------------------------

tracert

tracert 



--------------------------------------------------------------------------------------

ping

ping  -a
บอกชื่อ host และ ip
ping -r
Ping แบบให้มีการบันทึกเส้นทางและนับจำนวนครั้งในการ hops จนกว่าจะถึงปลายทาง


-------------------------------------------------------------------------------------