[求助] WINXP下的Remote Procedure Call(PRC)服務被中止...

guruguru

今天開機時一直出現這個訊息，一直重開機，
剛剛重灌之後一樣有此問題，只好把那個服務先調成執行失敗時不做任何動作。
而且只要拔掉網路線就不會出現那個訊息。
  
請問有人知道這是哪邊出了問題?   網路卡? 還是SeedNet or 中花電遜?

Louisc

http://www.google.com.tw/search?q=cache:Wzv-Cww7yccJ:www.microsoft.com/taiwan/security/bulletins/MS03-026.asp+remote+procedure+call&hl=zh-TW&lr=lang_zh-TW&ie=UTF-8
下載修正檔之後應該就可以了......
不過微軟的網頁資料庫有問題，這個修正檔的連結壞了，其他都好好的就這個的突然消失。
只有在Google大神的網頁備份中看的見，希望對您有幫助

guruguru

太感謝了!!
已經沒有問題了。
怪怪的WINXP，昨天用的好好的今天就給我出問題。 -_-

Louisc

http://www.cert.org.tw/document/advisory/show.php?twcert_sn=TW-CA-2003-076
換一個比較清楚一點的連結，如果有逛各大BBS版的人就會知道，今天同時有超多人被攻擊！
每一個版都有出現受害者跟解決方式。

guruguru

好久沒到BBS的討論區了，剛剛去看了看，果然很多人有此問題。
  
安裝時最好把網路線拔掉，之後重開機再安裝那個檔案。
否則有可能會裝不起來。

hiko

恩  我也是  莫名其妙一直重開機 :~  原來是被攻擊ㄌ 我還以為是我的硬體出問題
不過  後來我是到控制台系統管理工具的服務裡面
進去 PRC 的那個項目  在修復的那一頁裡
把所有失敗處理行為都改成重新啟動服務
恩 結果就沒再給我重開機ㄌ :>

guruguru

hiko wrote:
恩  我也是  莫名其妙一直重開機 :~  原來是被攻擊ㄌ 我還以為是我的硬體出問題
不過  後來我是到控制台系統管理工具的服務裡面
進去 PRC 的那個項目  在修復的那一頁裡
把所有失敗處理行為都改成重新啟動服務
恩  結果就沒再給我重開機ㄌ  :>

但是還是會出問題，像是無法copy，無法開啟服務選項等等問題產生...
真狠的漏洞

阿輝

ㄟ...@@?
  
沒發生//
  
在 NAT 後面不會受影響?

feiyang

可能中毒了....
W32.Blaster.Worm....
目前各大防毒軟體公司都發出警告了
我剛剛幫一個朋友解決這個問題....
請執行工作管理員
把msblast.exe這個process停掉
然後執行regedit
在HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run中
把Windows auto update這個key砍掉....
接著再把修正檔裝完....
應該就可以解決了...
good luck!!

Larry

真巧，我也是昨天出問題，和guruguru描述的一模一樣。
而我的PC就在NAT後面........＠＠

阿輝

有單獨的更新檔 link 嗎?
  
說 Windows updata 無法使用..@@|||

Louisc

下面這一個就有更新的連結了^^Y

Louisc wrote:
http://www.cert.org.tw/document/advisory/show.php?twcert_sn=TW-CA-2003-076
換一個比較清楚一點的連結，如果有逛各大BBS版的人就會知道，今天同時有超多人被攻擊！
每一個版都有出現受害者跟解決方式。

Jonry

我在公司裡為了這件事已經忙了一個早上, 目前的狀況是 :
還找不到 msblast.exe 這支程式, registry 裡也沒有
但是 Office 系列的程式會無法執行
剪下/貼上的功能也會有問題
懷疑是某種攻擊
但是, 就是找不到兇手 !!
  
也許, 下了 KB823980 這支 Hotfix 會好一點
Patch在此: ( Windows 2000,中文 )
http://download.microsoft.com/download/5/8/f/58fa7161-8db3-4af4-b576-0a56b0a9d8e6/Windows2000-KB823980-x86-CHT.exe
(Windows 2000,英文):
http://download.microsoft.com/download/0/1/f/01fdd40f-efc5-433d-8ad2-b4b9d42049d5/Windows2000-KB823980-x86-ENU.exe
(Windows XP, 中文)
http://download.microsoft.com/download/2/3/6/236eaaa3-380b-4507-9ac2-6cec324b3ce8/WindowsXP-KB823980-x86-CHT.exe
(Windows XP, 英文)
http://download.microsoft.com/download/9/8/b/98bcfad8-afbc-458f-aaee-b7a52a983f01/WindowsXP-KB823980-x86-ENU.exe

star69

中標的都是XP吧? 有 2K嗎?
  
解毒步驟&資訊收錄
http://uos.idv.tw/viewthread.php?tid=10731

parrot

feiyang wrote:
可能中毒了....
W32.Blaster.Worm....
目前各大防毒軟體公司都發出警告了
我剛剛幫一個朋友解決這個問題....
請執行工作管理員
把msblast.exe這個process停掉
然後執行regedit
在HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run中
把Windows auto update這個key砍掉....
接著再把修正檔裝完....
應該就可以解決了...
good luck!!

  
親愛的賽門鐵克用戶：
針對今日上午所發佈之三級病毒 W32.Blaster.Worm ，
已有修復工具可供移除病毒之用。
請各位點選以下連結下載，謝謝。
http://www.netranger.com.tw/fixtool/FixBlast.exe

小酒蟲

Louisc wrote:
http://www.cert.org.tw/document/advisory/show.php?twcert_sn=TW-CA-2003-076
換一個比較清楚一點的連結，如果有逛各大BBS版的人就會知道，今天同時有超多人被攻擊！

引用部份該連結的內容：
  
========================================
為了攻擊這項弱點，攻擊者需要具備發送特殊製作的要求的能力給遠端已開啟 135、139 或 445 埠號、或任何其他設定了 RPC 通訊埠的遠端電腦。在內部網路環境中，這些通訊埠可正常存取，但是對連接上 Internet 的機器而言，最好可以透過防火牆來封鎖。在這些通訊埠沒有被封鎖，或是內部網路的情形下，攻擊者就不需要任何額外的使用權限。
========================================
  
看來應該是大部份沒有架 firewall 的 clients 會先中鏢。

star69

小酒蟲 wrote:
引用部份該連結的內容：
  
========================================
為了攻擊這項弱點，攻擊者需要具備發送特殊製作的要求的能力給遠端已開啟 135、139 或 445 埠號、或任何其他設定了 RPC 通訊埠的遠端電腦。在內部網路環境中，這些通訊埠可正常存取，但是對連接上 Internet 的機器而言，最好可以透過防火牆來封鎖。在這些通訊埠沒有被封鎖，或是內部網路的情形下，攻擊者就不需要任何額外的使用權限。
========================================
  
看來應該是大部份沒有架 firewall 的 clients 會先中鏢。

就算有裝防火牆但是不會用的人還是有可能中標
就有人裝防火牆是裝飾用的 什麼警告訊息都按 YES 那就完了

star69

由 http://www.ettoday.com/2003/08/12/91-1496789.htm 轉
-
疾風病毒　專挑微軟漏洞 2003/08/12 11:47  
   
  
　記者歐陽宜珊／台北報導  
  
防毒公司趨勢科技與賽門鐵克在12日早上不約而同地發佈中度病毒警告，有一隻名為疾風病毒(WORM_MSBLAST.A)正利用微軟漏洞對NT、2000、NET Server進行攻擊。這隻病毒已在歐美傳出災情，預估台灣也會受到不小的影響，趨勢科技呼籲MIS人員立即到微軟的網站下載修補程式。  
  
   
  大家對此病毒的蔓延方式應該不陌生，今年初在台引起一陣恐慌的Slammer，也是專門針對微軟伺服器漏洞進行攻擊。不同的是，Slammer只針對SQL Server，而疾風病毒(WORM_MSBLAST.A)卻是針對Windows NT、2000、NET Server進行漏洞攻擊。  
  
趨勢科技說，疾風病毒(WORM_MSBLAST.A)不會透過email或是網路芳鄰傳染，而是經由135 Port直接攻擊。攻擊的方式是不停地對其伺服器丟出封包，嚴重時會產生系統不穩、管理者權限被更改。而且它還會重覆攻擊其它電腦，並且不斷連結到Windows update的伺服器，試圖癱瘓此更新伺服器。由於微軟在7月16日才公佈這個漏洞的修補程式，如果公司MIS人員還未更新這個漏洞修補程式，就很容易被攻擊。若用戶已安裝該修正程式，應該可以避免受到此次病毒的威脅。  
  
趨勢科技表示，用戶可以立即到微軟網站下載MS03-026的修補程式，或是到趨勢的網站下載病毒清除程式。  
  
微軟修補程式網站http://www.microsoft.com/taiwan/security/security_bulletins/ms03-026.asp  

Jonry

star69 wrote:
中標的都是XP吧? 有 2K嗎?

當然有, 我公司裡一堆 Windows 2000 的機器在唉唉叫...
  
只要是 NT Base 的, 都會有事, 包括 Server 2003 !!

star69

Jonry wrote:
[quote]star69 wrote:
中標的都是XP吧? 有 2K嗎?

當然有, 我公司裡一堆 Windows 2000 的機器在唉唉叫...
  
只要是 NT Base 的, 都會有事, 包括 Server 2003 !! [/quote]
都沒在做安全修正?
我電腦上UPDATA紀錄顯示 2003/7/17 已安裝此安全修正

Jonry

star69 wrote:
都沒在做安全修正?
我電腦上UPDATA紀錄顯示 2003/7/17 已安裝此安全修正

有啦, 但是機器太多, 做不完...
  
我又不想打開自動更新, 免得更新之後問題更多 !!

guruguru

star69 wrote:
都沒在做安全修正?
我電腦上UPDATA紀錄顯示 2003/7/17 已安裝此安全修正

自從上次的那個OX修正會把電腦速度弄慢之後，就不太相信修正了。

parrot

我不喜歡自動修正, 我寧願手動, 也不想要自動安裝不該裝的修正
  
Parrot

guruguru

現在沒裝的修正有三個... 怪修正
811943最好玩了，要能從"本機登入"，這.....
  
----------------------------------------------------------------------------------
811493：安全性修正檔 (Windows XP)
下載大小: 3.2 MB
現在已經證實有一個安全性問題，攻擊者可以用來侵入執行 Microsoft(R) Windows(R) XP 的電腦並取得該電腦上的完整控制權。但是攻擊者必須能夠從本機登入該電腦才可以發動攻擊。您可以從 Microsoft 安裝此修正檔，協助保護您的電腦。安裝此項目後，可能必須重新啟動您的電腦。 讀取其他資訊... (這可能是英文網站)。
  
Q328310：安全性修正檔
下載大小: 3.9 MB
已經查出一種可能發生的安全性問題，攻擊者可能用來侵入 Windows 電腦並取得該電腦的完整控制權。攻擊者必須可以登入該電腦才能展開攻擊。您可以從 Microsoft 安裝此修正檔以避免電腦發生此特定問題。安裝此項目後，可能必須重新啟動您的電腦。 讀取其他資訊... (這可能是英文網站)。
  
810577：安全性修正檔
下載大小: 555 KB
現在已經證實有一個安全性問題，攻擊者可以用來侵入 Microsoft(R) Windows(R) XP 電腦並取得該電腦的控制權。但是攻擊者必須能夠登入該電腦才可以嘗試攻擊。您可以從 Microsoft 安裝此修正檔，協助保護您的電腦。安裝此項目後，您可能必須重新啟動您的電腦。 讀取其他資訊... (這可能是英文網站)。
-----------------------------------------------------
更好玩的還有一個修正要修正328310
  
814995：建議更新
下載大小: 989 KB
此修正檔可以解決 Windows XP 中的「在您安裝 328310 修正檔後，某些應用程式相容性修正檔停止作用」問題

jeremiah

我一早打開機子...先中鏢之後諾頓才更新完畢....XD
發揮個人奧義精神，自行硬砍一些檔案之後，再裝上修補程式就好了！
很久沒中毒了說，這次竟然被攻破了 @@

star69

jeremiah wrote:
我一早打開機子...先中鏢之後諾頓才更新完畢....XD
發揮個人奧義精神，自行硬砍一些檔案之後，再裝上修補程式就好了！
很久沒中毒了說，這次竟然被攻破了 @@

M$自己的Bug 這被攻破也是正常的
安全修正還是要裝阿

star69

看最後一段 能不更新安全修正嗎?
--
由 http://taiwan.cnet.com/news/ec/story/0,2000022589,20082321,00.htm 轉
-
記者鍾翠玲／台北報導　　12/08/2003
  
全球昨日再度出現毒蟲利用Windows漏洞威脅企業網路，隨著各地災情的升高，安全軟體廠商也拉高了病毒警報。  
  
一隻名為W32.Blaster.Worm的毒蟲昨（11）日晚上重演年初SQL Slammer的手法蔓延全球，歐美及台灣都傳出災情。這隻毒蟲是利用微軟一個月前才發布的Windows作業系統的漏洞「遠端程序呼叫」(DCOM RPC)進行緩衝溢位攻擊，而這也突顯企業平時做好弱點管理的必要性。  
  
此次W32.Blaster.Worm傳染途徑和年初爆發的「SQL警戒病毒」相似，同樣是採取分散式阻斷服務(DDOS)攻擊感染Windows NT4.0以上的電腦。趨勢科技TrendLabs指出，受感染的電腦會利用Windows系統漏洞採取阻斷服務攻擊135連接埠中RPC(remote Procedure Call)緩衝溢位的弱點，造成電腦無法正常作業或當機停擺及網路擁塞，同時再透過69與4444連結埠去攻擊感染更多的電腦。  
  
台灣微軟也針對W32.Blaster.Worm的病毒，緊急發布安全性修正程式MS03-026於微軟網站上，呼籲使用者下載並且安裝，以避免遭受攻擊。  
  
對於有部分企業尚未即時安裝安全性修正程式MS03-026，導致遭受病毒影響，台灣微軟也發出聲明稿表示遺憾。台灣微軟表示目前已主動通知企業用戶及技術支援合約客戶，提醒他們重視此一病毒可能造成的影響與解決方案。  
  
台灣微軟並於本週 (8/12~8/15) 提供全天候24小時電話支援服務，微軟表示，有需要的用戶可以直撥02-66359111洽詢。或者可於上班時間透過微軟客服專線02-66263366洽詢。或參考網站上更多相關的技術支援訊息。  
  
賽門鐵克昨日發布三度警戒通報，今（12）日下午則更升至四級警戒（最高為第五級）。賽門鐵克DeepSight早期預警管理系統統計顯示，全球超過57,000系統遭受感染，且台灣也接到不少客戶求救訊息。
  
趨勢科技將該蟲定為中度病毒，並表示目前台灣已有上百家企業受害。
  
趨勢及賽門鐵克網站也都分別張貼了補救方法。
  
弱點管理不足是主因
  
弱點管理也是近日資訊安全界的熱門話題之一。弱點管理服務供應商FoundStone亞太區總監陳彥銘指出，傳統資訊安全產品，都是較為被動的防禦工程，企業必須做好弱點評估、分析及風險管理等措施，才能積極防護企業的數位資產。
  
從SQL Slammer年初大量肆虐，主因在於企業的資安管理疏忽。他指出，駭客攻擊手法其實多已固定，例如緩衝溢緩，差別在於攻擊工具、參數及對象而已；「像是年初SQL Slammer等毒蟲利用的Windows弱點，早在半年前微軟就已公布，只是企業都沒有去填補起來。」他說。
  
另外，企業裏的「萬年機器」也是另一個漏洞的主要來源。陳彥銘指出，由於系統環境複雜、IT人力的不足，使得缺乏維護的企業成為駭客攻擊的最佳目標。
  
賽門鐵克行銷協理許淑菁也指出，早在七月中微軟公布該漏洞時該公司DeepSight警戒服務（Alert Services）的客戶就已得到通知。她表示，賽門鐵克的防火牆或IDS系統也可以在毒蟲爆發時，偵測到相關連接埠的異常流量而將之關閉，但「這些都是被動禦防，平時的修補漏洞才是最根本的方法。」

jeremiah

恩....要換Linux重裝上陣了

Lucian

Jonry wrote:
我對 Logon Script 比較熟, 所以我花了近六個小時的時間, 寫了一套完整的 Logon Script, 對還沒裝 SP3 的電腦, 都給他裝上去, 再把已經裝好 SP3/4 的電腦, 裝上 KB823980; 再寫一封圖文並茂的 email, 發給全公司, 請大家點一點 mail 裡的 link, 直接安裝 SP3.

在這也回應一下對於 PRC 對我們公司的影響，
目前公司內部尚未發現這個病毒，只有公司外帶著 notebook 的主管發生，
以及同事們在家中的電腦發生；
我們猜想未發生的原因為：防火牆、趨勢的 Interscan,office scan及server protect，
但我們也知道以上絕非萬能，還是想辦法把 hotfix 上一上。
  
由於我多年未再碰 logon script，目前的 NT/2000 均由同事在管，（我只是打雜的）
目前公司中的 2000pro 都只給使用者用 power user 來登入，
但這些人都無法使用 hotfix 及 SP；
  
因此好奇三問，
貴公司每個人都是自己 local 的 administrator嗎？！
如果不是，請教如何讓 power user 做 hotfix、SP？！
如果不是，再請教如何用 logon script 讓他們做 update？！
謝謝！

star69

jeremiah wrote:
恩....要換Linux重裝上陣了

可惜的是粉多東西在 Linux 上還是不能跑~ 不得不用 Windows 的狀況還是粉多的...這就是 "現實"...