我有一台装有 IIS6、SQL Server 2005、MySQL 5 和 PHP 4.3 的 Windows Server 2003 SP2 机器。这不是生产机器，而是通过域名向世界公开。机器上启用了远程桌面，并且有两个管理帐户在其上处于活动状态。
今天早上我发现机器已经注销，登录文本框中仍然有一个未知的用户名。经过进一步调查，我发现已创建两个 Windows 用户，已卸载防病毒软件，并将少量 .exe 文件放入 C: 驱动器。
我想知道的是，我应该采取什么步骤来确保这种情况不再发生，以及我应该关注的领域来确定进入的途径。我已经检查了 netstat -a 以查看哪些端口是打开的，并且那里没有任何奇怪的地方。我确实在 MySQL 的数据文件夹中找到了未知文件，我认为这可能是入口点，但我不确定。
我非常感谢对服务器黑客进行良好的事后分析的步骤，以便我将来可以避免这种情况。
调查后审查
经过一番调查，我想我知道发生了什么。首先，在 08 年 8 月至 09 年 10 月的时间范围内，机器尚未联机。在此期间，发现了一个安全漏洞，即MS08-067 漏洞。“这是一个远程执行代码漏洞。成功利用此漏洞的攻击者可以远程完全控制受影响的系统。在基于 Microsoft Windows 2000、基于 Windows XP 和基于 Windows Server 2003 的系统上，攻击者可以利用此漏洞无需身份验证即可通过 RPC 运行，并且可以运行任意代码。” 2008 年 10 月发布的 KB958644 安全更新修复了此漏洞。
由于当时机器处于离线状态，错过了这次更新，我相信这个漏洞是在 09 年 10 月机器重新上线后不久被利用的。我发现对一个被描述为后门程序的 bycnboy.exe 程序的引用，该程序会对受感染的系统造成严重破坏。机器上线后不久，自动更新安装了补丁，关闭了远程控制系统的能力。由于后门现已关闭，我相信攻击者随后在该机器上创建了物理帐户，并能够再使用该机器一周，直到我注意到发生了什么。
在积极清除恶意代码、.exes 和 .dlls，删除自托管网站和用户帐户后，机器现在再次处于工作状态。在不久的将来，我将监视系统并查看服务器日志，以确定事件是否重复发生。
感谢您提供的信息和步骤。