Windows Server 2003 伺服器遭入侵後的緊急修復與帳號恢復實戰記錄

電信機房託管的 Windows Server 2003 遭駭客入侵，管理員帳號密碼外洩、可疑監控軟體植入、遠端桌面無法登入但共用存取正常。本文記錄完整緊急恢復流程。

入侵徵兆與判斷

• 遠端桌面提示「安全性驗證失敗」，但本地管理員帳號密碼未變
• 透過本機 net use \\ServerIP\Share 輸入管理員帳密成功存取共用，確認密碼未被竄改
• 電腦管理 → 連線到另一台電腦 → 輸入被入侵伺服器 IP → 可遠端管理服務，但「本地使用者和群組」無法存取

緊急恢復步驟

1. 啟用 Telnet 服務：透過遠端服務管理啟用目標伺服器 Telnet 服務
2. Telnet 連線建立新管理員：telnet ServerIP → 輸入管理員帳密 → net user wang wang /add → net localgroup administrators wang /add (發現管理員群組已被改名)
3. 遠端登錄表查詢真實管理員群組名：本機 regedit → 檔案 → 連線網路登錄表 → 輸入目標 IP → 給予 Administrators 完整控制 SAM 權限 → 展開 SAM\Domains\Account\Aliases 確認群組名 (實測為 administraters 少一個 o)
4. Telnet 將新帳號加入真實管理員群組：net localgroup administraters wang /add
5. 新管理員遠端桌面登入成功，接管伺服器控制權
6. 安裝 360 全盤掃描清除頑固病毒與修復系統漏洞

關鍵技巧：當遠端桌面與本地用戶群組管理失效時，透過 服務遠端管理 (Telnet/服務/登錄表) 繞過受損介面，恢復控制權並清除威脅。