[Federico]

Ett problem har dykt upp på min w2k3-server med IIS6;

En worm som maskerad som "winupdates.exe" tog sig in, symptomen var att servern fick slut på anslutningar.
Rensade bort den och trodde allt var frid och fröjd.

Dock - nu ballar IIS ur titt som tätt och kräver inloggning på samtliga websiter.
Felmeddelanden vid felaktig inloggning blir 401.1.
En omstart av själva IIS rättar till problemet, men situationen är ohållbar.

Ominstallation av IIS med återställning av metadatat har testats men symptomen kvarstår.

Har någon några idéer som inte innefattar att blåsa maskinen?

Vänliga hälsningar

[hundserver]

Högerklicka på webplatsen och sen properties, gå in under directory security och kolla
om anonymous access är ikryssad. om inte så kryssa i den.

[hnn]

Installera om skiten...

Du vet aldrig vad wormen kan ha gjort för skada, och därmed är det ohållbart i längden.
I en produktivmiljö, så kan den infektera andra datorer, ställa till mer skada än nytta.

#Edit, lade till motivering

[Federico]

Originally posted by hundserver@Nov 16 2007, 10:57
Högerklicka på webplatsen och sen properties, gå in under directory security och kolla
om anonymous access är ikryssad. om inte så kryssa i den.

Det ar kollat, har även ominstallerat IIS men utan forbattring.

Overvager att passa pa och virtualisera, men vill ändå losa problemet.

Det verkar som anvansarnamnet den vill logga in med ar "".
Mycket markligt.

[Federico]

Det underliga ar att efter att IIS startats om sa funkar allt fint ett tag.
Sedan helt plotsligt vill den ha inloggning igen.

[studiox]

Det är väl inte så konstigt, du har väl helt enkelt inte blivit av med ditt otyg, har du undersökt så ditt anti-virus klarar av att ta bort skiten? och att du täppt till alla hål så det inte kan komma tillbaka?

[hnn]

Installera om servern...

[Max]

Idé: Systemanvändaren iusr_xxx (vad den nu heter) som används av iis kan lösenordet hamna ur sync på, det kan kanske vara det som hänt. Kommer inte ihåg på rak arm hur man gör för att återställa det men det är enkelt, man kör något kommando bara... Du får googla.

hth


edit: såg nu att det funkar när du startar om. då är det ju troligen inte detta, har inga andra idéer - sorry

[Westman]

Som studiox säger, du har inte blivit av med otyget. Migrera IIS:en till fil som du lägger på en annan plats, formattera servern och migrera tillbaka efter ominstallation och med ett aktivt virusskydd. Inget skräpskydd utan ett som kan spärra åtkomst till systemet, ungefär som McAfee VirusScan Enterprise 8.5 eller dess motsvarigheter som kan inhandlas hos Dustin bl.a. Symantec m.fl. har samma motsvarigheter så något borde väl kunna passa.