blat.exe 从我的服务器中删除

Question

我们在 Windows Server 2003 SP2 上使用blat.exe作为我们许多设置的一部分，通过命令行发送邮件没有任何问题。这简直太棒了。

现在，我们使用的一些软件提供了 blat.exe 作为其安装的一部分。

问题：有时（每台服务器可能每 6 个月到一年），blat.exe 丢失。在任何地方都找不到它的踪迹。病毒扫描程序 (McAfee) 没有报告它，我在任何日志文件中都找不到任何关于此的信息。

供应商告诉我们，他们已经使用 filemon 对其进行了调查，并且 svchost.exe 将其删除。我真的不打算在大量服务器上长时间使用 filemon。

你们中有人偶然发现过这个问题吗？如果有，造成这种情况的根本原因是什么？或者您是否有更多提示如何找出正在发生的事情？除了病毒扫描问题外，谷歌的广泛搜索一无所获。

谢谢！

Answer 1

您可以打开文件审核，仅对特定文件上的“所有人”启用删除监视。您可能至少会发现负责的帐户和进程名称。您还可以尝试锁定该文件的 ntfs 删除权限，以仅允许您自己的管理员帐户进行此类更改。

我仍然倾向于未报告病毒扫描问题 - 或者可能是 Windows“恶意软件”检查以某种方式捡起它。就像 netcat 保持网络漏洞打开一样，blat.exe 被受感染主机上的垃圾邮件发送者使用。

Filemon 将是矫枉过正，只有当您正在寻找可以控制它或似乎知道如何触发它时正在发生的事情时，它才是好的。听起来您已经意识到这是一种严厉的方法。

svchost 实际上只是一个通用服务主机，可以帮助启动看似一百种不同的东西（Windows 更新通过“C:\Windows\system32\svchost.exe -k netsvcs”获取它的行进命令。听起来你的供应商已经在那里没有做太多功课。

这将是棘手的，希望至少给你一些关于去哪里的指示......