Восстановление взломанной системы 2003

[Yampo]

В наличии:

Контроллер домена Windows Server 2003 Std. SP1
Возможность загрузиться с любых съемных носителей и разобрать компьютер.
Права System (до логона вместо хранителя экрана запускается CMD.exe
Архивная копия Systemstate, актуальность 10 дней
Архивная копия *.asr

Ситуация:

Систему атаковал неизвестный.
В AD отключены ВСЕ возможные учетные записи.ю в том числе администратора
Создана учетная запись User, которая имеет полные административные права
Прав System недостаточно для создания учетных записей и изменения членства в группах,
нет возможности восстановить систему при помощи ntbackup (также нет прав)

Задача:

Войти в систему с административными правами.

[kim-aa]

Я бы грузился с Linux-дискетки для востановления/стирания паролей и редактирования реестра Win систем.
Не знаю как в 2003, но в 2000 и NT4.0 блокировать встроенного администратора не представлялось возможным ибо у него SID был предопределен и постоянен, за сим переименовать было можно, а вот блокировать нет.
Но даже если запись блокирована прямым редактированием реестра, то вышеуказанная дискетка Вас спасет (там можно снимать блокировку).

[monkkey]

Может спасти и ERD Commander от sysinternals

[SkyF]

всем привет.
Если есть (и вообще актуально) резервная копия контроллера - то она всегда может спасти ситуацию.
Не суть что нет административны прав на текущую ОС - вы пожете установить новую систему и войдя с чистой административной учетной записи воспользваться вашей резервной копией для восстановления службы каталогов и ее данных.

В зависимости что резервировалось в архив - восстановление этого и получите. У нас статья есть на OsZOne.Net посвященная и резервированию и вариантам восстановления.