WIN2k3 Svr Std. Reboot Error

[holunder 10]

Hallo,

 

habe einen SVR der beim Shutdown oder Reboot den Benutzer abmeldet und dann im Graystyle hängt. Dabei ist es Unerheblich, ob man es manuell auslöst oder per Batch mit -f. Gibt es eine Möglichkeit heruaszufinden warum das so ist? SP2 ist installiert. Updates aktuell. Einzige Besonderheit ist vllt. der SLNet Telnetserver aber den habe ich schon deaktiviert gehabt. Ohne Erfolg. Firmaware vom Board aktuell. Treiber aktuell. Aber jede Releaseanhebung brachte auch Nix. Domänenmitgliedschaft als File und RRAS Server.

 

Danke für Hilfe

bearbeitet 20. September 2009 von holunder

[zahni 554]

Was ist dieser SLNET Terminalserver genau ?

 

Und was meinst Du mit "Graystyle"

 

-Zahni

[holunder 10]

ist ein Telnet-Server (war mein Fehler) für W-LAN Clients (Barcodescanner). Mit Graystyle meinte ich das was noch zu sehen ist auf dem Bildschirm, nachdem noch die erfolgreiche Mitteilung zu lesen war, dass der Benutzer sich erfolgreich abgemeldet hat. Bis dahin keine Probleme. Die Meldung wird geschlossen und danach grau. Und das war es dann auch.

 

@Edit: SLNet 2.6 is a Telnet software for Windows NT/2000/2003 optimized for the wireless environment. so der Hersteller

 

Dieser wird als Dienst gestartet und kann manuell ohne Bindungen an andere Programme beendet werden. Habe es auch schon einmal probiert mit "ohne Benutzer". Dienst beendet obwohl kein Scanner vorher angemeldet war. Ohne Erfolg.

 

Ist ziemlich ärgerlich :/ man kann kaum was am System ändern ohne den SVR zu resetten.

bearbeitet 20. September 2009 von holunder

[zahni 554]

Windows versucht beim Shutdown Dienste sauber zu beenden. Dabei bockt wohl einer. Kandidaten sind: Virenscanner, Viren oder andere Fremdsoftware.

 

Kann ich leider von hier nicht beurteilen.

 

Eventuell probiert Du mal http://www.trendsecure.com/portal/en-US/tools/security_tools/hijackthis und postet hier den Log.

 

-Zahni

[holunder 10]

Virenscan brachte keine Meldungen. Mit Adaware habe ich noch gesucht und hier das Log von Hijackthis:

 

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:12:57, on 21.09.2009
Platform: Windows 2003 SP2 (WinNT 5.02.3790)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TRANSDATA\Komalog\EWServerService.exe
C:\Programme\RealVNC\VNC4\WinVNC4.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\nvraidservice.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://shdoclc.dll/softAdmin.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.google.de/
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O4 - HKLM\..\Run: [NVRaidService] C:\WINDOWS\system32\nvraidservice.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - 

C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O15 - ESC Trusted Zone: http://runonce.msn.com
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - 

http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1234263270871
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - 

http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = test.local
O17 - HKLM\Software\..\Telephony: DomainName = test.local
O17 - HKLM\System\CCS\Services\Tcpip\..\{675A71E4-8109-4CC2-B62C-3123FEB0FD7C}: NameServer = 192.168.2.1

 

Hoffe es hilft etwas beim Fischen im Trüben :/

[holunder 10]

Teil 2 (Zeichenbegrenzung vom Board

 

O17 - HKLM\System\CCS\Services\Tcpip\..\{D6AF2103-69B5-4554-B6A8-598877E84025}: NameServer = 192.168.2.1
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = test.local
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = test.local
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = test.local
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: TD Entfernungswerk Dienst (EWServerService) - Unknown owner - 

C:\Programme\TRANSDATA\Komalog\EWServerService.exe
O23 - Service: Seattle Lab Telnet Server (SLnet) - Seattle Lab, Inc. - C:\PROGRA~1\SLnet\SLnet.EXE
O23 - Service: VNC Server Version 4 (WinVNC4) - RealVNC Ltd. - C:\Programme\RealVNC\VNC4\WinVNC4.exe

[zahni 554]

Denkbare Ursache:

 

- "Komalog"

- VNC (wozu, Remotdesktop tut es auch)

- Der RAID-Treiber von Nvidia (sowas sieht der Server nicht gern, oder ich ;) )

 

Einen Virenscanner kann ich nicht entdecken.

Ein Flashplayer braucht der Server auch nicht.

 

-Zahni

[Dr.Melzer 191]

Einen Virenscanner kann ich nicht entdecken.

 

Weshalb ich mal schnell einen scann von einem bootfähigen Rettungsmedium machen würde. Ohne Virenscanner bekommt die Option "Befall mit Schadsoftware" eine deutlich höhere Relevanz...

[holunder 10]

Hatte Virenscanner deinstalliert. Noch zur Verfügung stehnde MS Updates installiert und re-settet. Nach meinem posting habe ich Virenscanner wieder installiert, vollständige Systemprüfung (NAV 10.1), mit adaware, Security Taskmanger und danach CCleaner. Nichts. Sauber. Komalog und SLNET gehören zusammen. Beide Dienste waren zum Zeitpunkt des Reboots beendet und deaktiviert. Ohne Erfolg. Der Raidcontroller kann es natürlich sein. Gibt es eine Möglichkeit der Protokollierung?

 

gruss holunder

[lepus 10]

Moin,

 

gibt es eventuell Einträge im Eventlog die noch ein paar zusätzliche Informationen liefern könnten?

 

Grüße

Nils

[zahni 554]

NAV 10.1 (Corporate Edition ?) Ist auch nicht mehr ganz frisch und enthält, je nach Build, div. z.T. heftige Fehler).

 

-Zahni

[holunder 10]

Keine Fehler im Eventlog. Der SVR läuft sonst auch super. Gibt es die Möglichkeit einer Protokollierung, die das Verhalten beim Reboot komplett mitloggt?

 

gruß holunder

[holunder 10]

Das Mainboard war der Übeltäter. Kenn mich jetzt nicht so in Thematik Mainboard, Netzteil, ATX aus, um da eine plausible Erklärung abgeben zu können. Für mein Empfinden hat das Mainboard den Befehl ausschalten, teilweise ignoriert.

 

Gleiches, neus Board, selben Einstellungen und der Server kann hoch- und heruntergefahren werden.