windows server 是不是被黑了?

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 514 天前的主题，其中的信息可能已经有所发展或是发生改变。

如题. 查看日志,多了如下的 ssh 登录信息, 这个用户名不是我主动建立的啊.

使用了哪个帐户的凭据:
	帐户名:		sshd_9644
	帐户域:		VIRTUAL USERS
	登录 GUID:		{00000000-0000-0000-0000-000000000000}

目标服务器:
	目标服务器名:	localhost
	附加信息:	localhost

进程信息:
	进程 ID:		0x25ac
	进程名:		C:\Windows\System32\OpenSSH\sshd.exe

网络信息:
	网络地址:	-
	端口:			-

在进程尝试通过显式指定帐户的凭据来登

帐户

localhost

进程

凭据

4 条回复 • 2023-07-31 20:04:29 +08:00

LLaMA2

2023-07-31 14:50:32 +08:00

如果我问你，openssh 从何而来，阁下又该如何回答呢。

yinmin

2023-07-31 15:34:13 +08:00

运行 powershell ，输入以下指令，看看有没有异常用户： Get-LocalUser

另外，为什么要在 windows server 里跑 sshd ？ windows 远程操作应该是使用图形界面的 rdp 吧

Figma

2023-07-31 20:02:15 +08:00

@ye4tar
@yinmin
谢谢回复. openssh 是我装的. 有时候 rdp 略卡. 所以开了 sshd.

Figma

2023-07-31 20:04:29 +08:00

@yinmin 谢谢. 这样看没实体用户. 但 sshd log 提示了"VIRTUAL USERS", 我纳闷是什么行为产生的这样的日志.

PS D:\code> Get-LocalUser

Name Enabled Description
---- ------- -----------
Administrator False 管理计算机(域)的内置帐户
DefaultAccount False 系统管理的用户帐户。
Guest True 供来宾访问计算机或访问域的内置帐户
****我的用户名 True default develop account for me.
WDAGUtilityAccount False 系统为 Windows Defender 应用程序防护方案管理和使用的用户帐户。