Hjælp til processer i win2k server

http://archives.neohapsis.com/archives/vulnwatch/2002-q2/0031.html

Nej det må ikke ske ...Check for virus og antitrojanere. evt. luk nogle porte på din firewall.
check for åbne porte og trojanere med antitrojan demo.http://www.anti-trojan.net/en/

Fant noe på nettet:

msdtc - msdtc.exe - Process Information
Process File: msdtc or msdtc.exe
Process Name: Distributed Transaction Coordinator
Description: The Microsoft Distributed Transaction Coordinator handles transactions across multiple servers and is installed by Microsoft Personal Web Server and Microsoft SQL Server
Common Errors: N/A
System Process: No

Det ser ut som om den bruker alle krefter til å sette opp en ekstern forbindelse som den ikke får i gang. Prosessen skulle kunne stenges ned (???)

http://www.annoyances.org/exec/forum/winxp/r1045272379

Ser ut til ikke å være et helt ukjent problem.
http://www.computing.net/windows2000/wwwboard/forum/44162.html

Har hatt et lignende problem selv tidligere.

Kjørte et anti sypware program, lavasoft og tok takket ja til alle forslag om å fjerne spyware. Problemet var så løst.

http://www.lavasoftusa.com  (Gratis)

Det skal lige nævnes at disken er sprit ny og serveren er patchet op i henhold til windows update på nær IE 6.0

Hva med firewall, antivir, antitroj. funker det?

Jeg har nu scannet for vira, afinstalleret alt der kan afinstalleres men lige lidt hjælper det kan der være noget galt med prosessoren eller bundkortet ?
CPU'en er en AMD XP1500 på et Abit KG7Raid bundkort med 512 Mb ram - raid er slået fra

Lyder ikke sandsynligt at dit hardware er i udu. Du ville have set fejl af en slags evt. blue screens, div. errors, fejlbeskeder ved genstart m.m. Det er jo også kun den ene proces der volder problemer, ikk?
men du kan checke hardware med f.x. aida eller sisoft.
http://www.softpile.com/Utilities/System_Tools/Review_14688_index.html
Hvorfor kører du ikke raid så?det forbedrer da ydelsen

Det må være et softwareproblem.
"If an attacker sends 20200 null characters to the MSDTC service,
which listens on TCP port 3372, server ressources are allocated
poorly. This attack can result in MSDTC.EXE spiking at 100% cpu
usage, MSDTC refusing connections and kernel ressources being
exhausted."
det var hvad jeg fik ud af linket fra<goatshrine....
Med andre du skal altså lukke port 3372, hvis den er åben.
Hvilke porte viste antitrojan var åbne?send evt. listen herind

anti-Trojan viser følgende porte:
135 - 445 - 1025 - 3372 alle med IP adresse 0.0.0.0
Jeg har forsøgt at få anti-trojan programmet til at lukke port 3372 men der sker ingen ting. jeg har også fjernet file/printer share og winlogon fra netværksopsætningen men lige lidt hjælper det

Kan du ikke lukke port 3372 på din firewall?

ja den er også nævnt her
http://www.iana.org/assignments/port-numbers

Med anti-trojan:
efter portscan går du i options - close port-start plugin.
Så kommer der en liste med de åbne porte.
Du højreklikker på 3372 og vælger close.  fik du det?...Danny

hvis du ikke får den mulighed er det fordi selve trojan programmet ikke er fjernet.
Så skal du: under search, vinge alle af
          Options. vinge alle pånær "make backups of removed files"
kør din scan igen

Og det skulle ikke finnes en Kazaa (eller et annet lignende program) på serveren ?? Den har spyware som kan medføre at prosessorbelastningen ryker opp i 100 %. Hva mere mes denne - den lar seg ikke fjerne med de automatiske funksjonene som finnes i for eksempel lavasoft antispyware. ttp://www.lavasoftusa.com

Fjernet den og fjernet den flere ganger, men den kom hele tiden tilbake. Fant en manuell framgangsmåte med editering av register filen og diverse sletting av andre filer her på nettet og da forsvant den. Det behøver vel ikke nødvendig vis å være Kazaa det kan vel være andre programmer som har samme egenskaper eller spyware eventuelt trojanere med seg.

Spredningsmekanismen til mange trojanere den er jo at de følger med som vedlegg til endre mere eller nyttige gratisprogrammer.

Dersom det dreier seg om spyware eller en trojaner så er vel det viktigste i første omgang å få identifisert hvilken det eventuelt dreier seg om. Her finne det jo forsrskjellige metoder:
1. En portscan utenfra for å sjekke åpne porter eller prosesser som holdes i gang av trojanere.
2. Man kan jo også se på selve prosessoversikten og aplications i Task manager for å se om man kan se noen ivanlige prosesser.
2. Man kan kjøre antitrojan programvare som Lavasoft og antivirus for eventuelt å identifisere. Automatisk sletting fungerer en del ganger ikke.
4. Zone Alarm personal firewall har vel normalt ingen ting på en server å gjøre i en alminnelig driftsfase. I et midlertidig laboppsett for å avsløre eventuelle trojanere, spyware eller uønsket trafikk så kan den vel være et ganske glimrende "instrument" når den settes opp til å varsle for forsøk på utgående og inngående trafikk.
5. Hvis man ønsker en mere grundig analyse av den trafikk man har og eventuelle forsøk fra spyware / trojan på å sette opp trafikk så finnes ethereal packet sniffer, nederst for Win 2000: http://www.ethereal.com/download.html

Zone alarm 2.6 er meget enkel å sette opp og bruke. Bør avinstalleres etter den har gjort jobben sin med å detekte trojanere eller spyware.

Finnes nå også for windows og kjører også helt ok på windows:
http://www.ethereal.com/

-> Langbein  .helt ærligt Tror du han kører kazaa på serveren???

Etter at spyware eller trojan er funnet så kan den slettes eventuelt og hvis nødvendig med manuelle metoder.

Tror det er overveiende sansynlig at problemet skyldes et softwareproblem av en eller annen type. Det kan være snakk om spyware eller en trojan som lager problemet men det må ikke nødvendigvis være det. Det kan vel for eksempel være noe så banalt som et regulært og ønsket program som av en eller annen grunn ikke klarer å opprette forbindelse. Zonealarm 2.6 bør eventuelt kunne detekte og varsle dette.

Tror det er overveiende sansynlig at problemet nå kommer innefra, fra 2000 serveren selv og ikke utenfra. Å sperre de aktuelle portene vil ikke være en god nok løsning. Da har man eventuelt dekket over en del av problemet, men man har ikke fjernet det.

Kazaa -> nei ikke sansynligvis, bare et eksempel, men teknisk mulig. Det finnes mange andre ..

Prinsippet er bare at man laster ned og installerer et eller annet nyttig gratisprogram og med på installasjonen så er lagt inn trojan eller spyware. Dette kan dreie seg om kazaa eller et hvilket som helst annet program man laster ned fra nettet.

Han sidder nok ikke og downloader på sin server? det ville være mærkeligt , ikk?

Spyware og trojanere kan følge med et hvilket som helst program man laster ned fra internett.

Når det gjelder 2000 server så er det jo ellers lik at 2000 server også er et ganske glimrende og bra operativsystem for en workstation også slik at en 2000 server installasjon nødvendigvis ikke behøver å fungere som en server. Rent teknisk så kan det like godt dreie seg om en 2000 server som workstation, hvis man nå eventuelt har råd til lisensutgiftene.

Den kjører vel i gang litt langsommere enn 2000 workstation og den lukker vel ned også litt langsommere, bortsett fra det mon ikke 2000 server er en bedre (og dyrere) workstation enn for eksempel 2000 pro workstation ???

(Eventuelt hvorfor ikke ??)

2000 server kjører for eksempel alle multimedia ting like bra som XP og den kjører mere stabilt enn de fleste andre operativsystemer fra Microsoft. Office og alle brukerprogrammer kjører like bra som på en ordinær MS workstation.Det forhold at det dreier seg om en 2000 server sier jo ikke nødvendigvis ikke alle ting om hva denne PC'en eventuelt brukes til.

Det er en helt blank installation - hvor jeg kun har installeret Win2K server + Itouch software til mit Logitch tastatur + mus og så har jeg hentet den nyeste driver til mit Gforce 4 kort. Den eneste applikation der ellers er installeret er Anti-trojan.
Dvs. der er ikke installeret nogle programmer som har spyware i sig.

Jeg har forsøgt at bruge Anti-Trojan til at lukke port 3372 - den er ikke åben på min router og jeg har endnu ikke installeret en firewall. Det der sker er at msdtc.exe bruger all CPU kraften så når jeg højre klikker på porten og klikker close så sker der ingen ting selv om jeg lader den stå i 30 minutter.

Jeg har så forsøgt at fjerne den i Safe Mode with Networking men der er port 3372 ikke aktiv - så jeg er vildt taknemmelig for alle jeres gode råd. Vil nu hente programmet fra lavasoft for at sikre mig at der skulle være noget spyware installeret hvilket jeg ikke tror der er for så hved jeg ikke hvor det kommer fra.

Har nu tjekket med Adware 6.0  og der var ikke noget og mit CPU forbrug er stadigvæk på 100 % forbrug fra msdtc.exe

Ganske merkelig egentlig siden det er en ny installasjon. Er inne på en 2000 server nå for å sjekke litt.

Alt control delete og så inn på task manager. Finner prosesen msdtc.exe Hos meg så bruker den nesten ingen prosessorkapasitet. Forsøker å stenge den ned. Det lar seg ikke gjøre. Høyreklikker man på prosessen så kommer fram muligheten for å sette prioritet for prosesen. Forsøk og sett den til lav prioritet slik at den ikke blokkerer for alt annet.

Ny eller gammel installasjon .. Noe må det jo være og sansynligvis så drier det seg om noe som har med software å gjøre. Ville stadig vekk forsøkt trikset med å lage en midlertidig installasjon av Zone Alarm 2.6 for å se om det er noe som forsøker å sette opp trafikk ut (og som mislykkes i dette). Vil tro at en midlertidig installasjon av Zone Alarm 2.6 vil komme til å avsløre at det er "noe" som forsøker på "noe". I denne sammenheng så fungerer vel kanskje msdtc.exe nærmest som en server funksjon i forhold til en annen prosess som trigger msdtc.exe (??) Det gjelder å kunne identifisere hva dette egentlig er.

Det finnes eksempler på driverprogrammer og liknende som har innebygget en raporteringsfunksjon eller spyware som gir tilbakemelding til leverandøren. Mon det skulle kunne være noe slikt ??

Det kan jo uansett ikke få blitt riktig og normalt at prosessorbelastningen blir liggende på 100 % ved tomgang.

Har hatt nøyaktig det samme på Win XP. Der var det Spyware relatert til Kazaa som lå og blokkerte det hele.