王学昌的笔记

        远程登陆到某一台服务器，看到Administrator的用户的桌面是别的东西，是fuck$用户的登陆界面，并且在运行着什么程序。当时没怎么注意，立即就注销了这个用户，再用Administrator登陆的时候就看不到相关界面了，可惜。查看本地用户和组，发现了陌生的帐户fuck$，而且发现这名帐户不属于任何用户组，无法删除该用户，删除的时候提示"用户不属于此组"，给这个帐户添加进某个组，再次删除，还是不行。这个帐户还可以重命名，但就是删除的时候提示错误。Kao。
         以下是解决办法：管理员帐户可能被克隆了，该用户很可能拥有服务器的超管权限，因为那是通过克隆你的超管帐号的sam信息建立的帐户，该用户不属于任何用户组，使用用户管理器或命令行下删除该用户时将提示“用户不属于此组”，正确删除方法如下：
运行注册表编辑器，依次展开HKEY_LOCAL_MACHINE\SAM\SAM，右键点击，选择权限，更改Administrators的权限为完全控制.刷新后依次展开该项下的的Domains\Account\Users\Names\ 删除该子项下的陌生帐号及与之相对应的Domains\Account\Users里的项;返回，删除administrator在HKEY_LOCAL_MACHINE\SAM\SAM下的权限。
重启系统搞定。

       查看了系统的日志，发现是重庆某大学的IP尝试了攻击，并且成功。……现在的服务器真危险啊，大家一定要搞好