网吧卡挖矿进程

① 关于网吧电脑上的几个进程，高手请进

除了这个还能远程操控你的客户机，比如玩CS时候监控人员帮你开枪o∩_∩o反正就是这些进程可以做任何事情在客户机上，包括偷取密码（如果网管不道德的话）。

② 求助服务器被挖矿程序入侵，如何排查

新客户于最近向我们SINE安全公司咨询，说他的服务器经常卡的网站无法打开，远程连接

服务器的慢的要命，有时候PING值都达到300-500之间，还经常掉包，听客户这么一说，一般

会判断为受到了CC+DDOS混合流量攻击，再具体一问，说是机房那面没有受到流量攻击，这

就有点奇怪了，不是流量攻击，还导致服务器卡，网站无法打开，这是什么攻击？为了解决客

户服务器卡的问题，我们随即安排安全工程师对他的Linux服务器进行了安全检测与安全部署。

挖矿木马还设计了挖矿进程如果被客户强制停止后，会自动启动继续挖矿，达到不间断的挖矿，

仔细检查发现是通过设置了每个小时执行任务计划，远程下载shell挖矿木马，然后执行，检查

当前进程是否存在，不存在就启动挖矿木马，进行挖矿。

对客户的linux服务器进行详细了安全检测发现幸亏没有加密服务器的数据，以及感染蠕虫的病

毒，如果数据被加密那损失大了，客户是做平台的，里面的客户数据很重要，找出挖矿木马后，

客户需要知道服务器到底是如何被攻击的？ 被上传挖矿木马的？ 防止后期再出现这样的攻击

状况。

通过我们安全工程师的安全检测与分析，发现该服务器使用的是apache tomcat环境，平台的开

发架构是JSP+oracle数据库，apache tomcat使用的是2016年的版本，导致该apache存在严重

的远程执行命令漏洞，入侵者可以通过该漏洞直接入侵服务器，拿到服务器的管理员权限，

SINE安全工程师立即对apache 漏洞进行修复，并清除木马，至此问题得以解决，客户服务器

一切稳定运行，网站打开正常。

③ 悬赏30了 跪求网吧收费系统一卡通在任务管理器里的进程名字

一、
打开我的电脑输入:"C:\Program Files\HC\HCard"找到(RUNME.EXE)这个文件是一卡通收费器的代号. 找到这个以后点那3个连在一起的环.右击属性。 点安全再点拒绝.点确定,.然后在按CTRL+SHIFT+ESC出来任务管理器 把(RUNME.EXE)这个文件删掉。. .就能实现免费上网。(防治方法：在一卡通“参数设置”中将“开机自动运行”选项勾选。)
二、
近发现有人老是破网络管理员的密码，老是退出偷上，后来发现一卡通的一个漏洞，在一卡通的安装文件夹内有一个文件SERVER双击已记事本打开，里面有PASSWORD=十六进制 共8位 改PASSWORD=00000000 保存，再退卡下机 好了 只要不重启 管理员密码就是0000 。
防止方法（我没试过）
保护SERVER不能被修改 批处理
;防止一卡通管理员密码被修改
@echo off
cd\
c:
cd program Files
attrib +s +h +r Hc\Hcard\SERVER
三、
一卡通破解流程攻略

（1）：修改管理员密码
首先找到一卡通程序的安装目录，一般位于C:\Program Files\HC\HCard下（设c盘为系统盘），一卡通主程序的图标像是一朵蓝色的花，大家不要看错了。在程序安装目录下，一定可以找到2个名为SERVER，SERVER2未知文件类型的文件(如图1)*******************，将它们用记事本程序打开，可以看到如下代码：
[地址信息]
地址=192.168.0.250
[用户信息]
password=03C48000
[Ftp用户]
ftpuser=admin
[Ftp密码]
ftppass=admin
[FtpIP]
ftpip=192.168.0.1
[运行]
autorun=Y
URL=无
，其中password=03C48000一行记录的是管理员密码信息。03C48000是经过加密后的密文，无法直接读出密码，至于密文的算法本人还没有研究出来（要是是md5加密算法该多好啊^-^）。不管他，直接将这段密文删除，并且保存这两个文件(如图2)**************，现在一卡通程序的管理员密码就为空了。当你的余额为0时，一卡通程序便会锁定屏幕，点击右下角的“管理员”按钮，会出现一个密码输入框，将其放空，直接点击“退出”按钮，就可以以管理员身份免费上网啦！不过此时，在网吧主机的一卡通主控端上会显示出此机是以管理员身份运行的，千万别在专注型网管管理的网吧里使用此招，切记切记！
（2）：让一卡通程序“一边凉快去”
当卡上的钱用完后，一卡通程序会自动锁定你的屏幕，重新启动计算机。在出现计算机品牌logo图标后，长按F8键，一段时间后，屏幕上会出现系统启动模式菜单供你选择。按键盘上的“↑”“↓”键选择“带网络连接的安全模式”后回车，然后便可以直接进入到系统之中而不会受到一卡通的“拦截”。因为系统以安全模式启动会不加载任何正常启动时加载的程序，一卡通自然也不例外，不过在安全模式下，上网虽然没有问题，QQ也照样开，但是有一部分网络游戏会出现无法进入的情况（比如笔者喜爱的“街头篮球”）。同时，系统的图标和菜单通常会比平常大上一号，桌面上也会出现“安全模式”的提示字样。而在网吧主机的一卡通主控端上会显示出此机已经锁定，所以千万别被巡视的网管敲出端倪来。
小提示：在进入安全模式后，可能会出现无法切换输入法的情况，这是因为输入法指示器ctfmon.exe（位于C:\Windows\system32下）没有随系统启动而加载。按下组合键“Win+R”，在弹出来的窗口中输入ctfmon后回车，便可解决这一问题(如图3)*******************。
（3）：水瓶神拳冻结一卡通锁屏程序
这里我们要用到一个软件，就是《网友世界》以前曾经介绍过的网吧破解利器——机时小偷6.0 。下载机时小偷6.0后，打开主程序，在左下方的任务列表中找到“lockscreen”任务，再点击右边的“终结”，确认终结后便可以完成破解(如图4)***********************。当你卡上没有余额后，一卡通也无法锁定你的屏幕，锁屏程序已经被冻结无法运行了。同样的，网吧主机的一卡通主控端上会显示出此机已经锁定，你仍然可以想嘛来嘛。

④ 我网吧的电脑进程里总是有个mmc.exe

进程文件： mmc or mmc.exe
进程名称： Microsoft Management Console

进程名称： mmc.exe是Windows管理控制程序，是显示管理插件的控制面板，例如驱动器管理。这不是纯粹的系统程序，但是如果终止它，可能会导致不可知的问题。

出品者： Microsoft Corp.
属于： Windows

系统进程： 是
后台程序： 否
使用网络： 否
硬件相关： 否
常见错误： 未知N/A
内存使用： 未知N/A
安全等级 (0-5): 0
间谍软件： 否
广告软件： 否
Virus: 否
木马: 否

mmc.exe应用程序错误
错误现象：打开一个窗口就弹出一个选项了written。点取消，再打开别的窗口就弹选项read.
还有一玩游戏（全屏的）就会蓝屏接着重启。蓝屏的代码是：
IRQL_NOT_LESS_OR_EQUAL
***stop:0×0000000A（0×E10F1A0,0×00000002,0×0000000.0×8081:6E70）
解决：
1、新硬件
首先, 应该检查新硬件是否插牢, 如果确认没有问题, 将其拔下, 然后换个插槽试试, 并安装最新的驱动程序. 同时还应对照微软网站的硬件兼容类别检查一下硬件是否与系统兼容.
2.新驱动和新服务
如果刚安装完某个硬件的新驱动, 或安装了某个软件, 而它又在系统服务中添加了相应项目(比如:杀毒软件、CPU降温软件、防火墙软件等), 在重启或使用中出现了蓝屏故障, 请到安全模式来卸载或禁用。
3.检查BIOS和硬件兼容性
对于新装的电脑经常出现蓝屏问题, 应该检查并升级BIOS到最新版本, 另外, 还应该对照微软的硬件兼容列表检查自己的硬件.
4.最后一次正确配置
一般情况下, 蓝屏都出现于更新了硬件驱动或新加硬件并安装其驱动后, 这时Windows 2K/XP提供的"最后一次正确配置"就是解决蓝屏的快捷方式. 重启系统, 在出现启动菜单时按下F8键就会出现高级启动选项菜单, 接着选择"最后一次正确配置".
5.安装最新的系统补丁和Service Pack
有些蓝屏是Windows本身存在缺陷造成的, 应此可通过安装最新的系统补丁和Service Pack来解决.

⑤ 玩lol的时候就会有个进程BCWeb。exe的进程在后台偷偷挖矿，然后玩游戏会特别卡，关闭该进程后游戏正常

那个是个恶意程序，你右键这个进程，然后进入其所在的文件夹，然后清理即可

⑥ 网吧拆机的显卡和矿卡相对来说是不是网吧拆机的要好一点

如果相对比较是网吧拆出来的显卡更好点，因为网吧机子很多也有休息一下的时候，虽然显卡使用频率还是很高，但是满载使用也不多毕竟只玩游戏，而矿卡就不一样了，24小时满载状态下使用显卡，而且是温度高情况下，这样挖矿对显卡损害可想而知，矿卡一般坏的最多就是核心显存问题，所以能不买矿卡就不要买，网吧也不推荐买，二选一肯定是网吧拆机的显卡

⑦ 检测网吧客户机是否有挖矿程序

有这个必要么！网吧是无盘的重启就还原了，用上网费去挖矿也敢想啊不亏的裤头都没了

⑧ 这个显卡是矿卡还是网吧拆机卡

矿卡一般都是中高端A卡，没听说过拿N卡来挖矿的，中低端A卡挖矿会亏本

⑨ 如何将网吧一卡通禁止用进程退出

任务管理器是我们查看、管理当前系统运行的程序和进程的窗口，Windows XP默认的安全设置是允许所有人都能够打开任务管理器，这样就给安全带来一定的隐患，因此我们需要管好任务管理器。

一、禁止访问任务管理器

首先打开“运行”窗口，输入“gpedit.msc”后回车打开组策略编辑器，在左侧的窗口中依次选择“本地计算机策略—用户配置—管理模板—系统—Ctrl+Alt+Del选项”，在右侧双击“删除任务管理器”，然后将其设为“已启用”并保存设置即可。

二、指定用户访问访问

通过上面的方法默认是禁止所有用户都无法访问任务管理器，这显的太苛刻，因此可以让个别合法用户允许访问。

进入C:WindowsSystem32目录，找到TaskMgr.exe文件并右击，在其弹出的菜单中选择“运行方式”，在打开的窗口中选中“下列用户”项，并在用户名和密码中输入可以使用任务管理器的账户名称信息，最后单击“确定”按钮即可。