![如何追踪哪个进程登录失败?](https://linux22.com/image/513055/%E5%A6%82%E4%BD%95%E8%BF%BD%E8%B8%AA%E5%93%AA%E4%B8%AA%E8%BF%9B%E7%A8%8B%E7%99%BB%E5%BD%95%E5%A4%B1%E8%B4%A5%EF%BC%9F.png)
Windows Server 2003,VMWare VirtualCenter 2.5。
某些东西不断尝试使用已禁用的域帐户登录 VirtualCenter;VirtualCenter 会将失败的登录尝试记录在其自己的日志中,Windows 则会将失败的登录尝试记录在安全事件日志中。这种情况大约每隔一两分钟就会发生一次。登录尝试的来源是 127.0.0.1,因此一定是服务器本身上运行的某个进程。
此用户帐户下没有运行任何服务,系统中也没有计划作业。任务管理器也没有显示此帐户下正在运行的任何进程。
在注册表中找不到该用户帐户的名称。
但有些进程试图使用它,但失败了。它可能不是某个关键进程,因为除了那些日志条目之外,一切似乎都运行良好;它可以只是很久以前安装并被遗忘在那里的东西。
无论它是什么,它可能在另一个用户帐户(可能是系统帐户)下运行,但正在积极尝试使用这些凭据登录 VC,这些凭据可能保存在某个配置文件中,因为它们没有存储在注册表中。
我如何通过审核 Windows 或 VirtualCenter 来跟踪哪个进程正在尝试(并失败)这些登录尝试?
答案1
我会尝试使用进程监控并根据用户 ID 进行过滤。这样应该会显示偶尔以该用户身份运行的所有程序。
答案2
它是一个监控程序的旧代理(不再使用)。
我如何找到它:
- 猜测它正在打开与虚拟中心(TCP 端口 443)的连接,尝试进行身份验证,失败,关闭连接。
- 在事件日志条目出现后,使用 NETSTAT 查找处于关闭状态的连接。
- 找到进程 ID。
- 找到进程。
- 服务停止,活动停止。
该程序的日志证实其始终登录失败。
成功卸载(不再使用),问题解决:-)