zhengzhen

把没有用的端口关闭了
你下载个天网来，看他们是进攻哪个端口
再把那个端口关闭

isunyee

还是简单说两句吧

如果你的服务器没有重装, 你可以先查看下事件日志.
Windows server 2003的话, 运行"开始->程序->管理工具->事件日志", 使用那个被创建的用户名进行搜索, 瞧瞧搜索到的条目是否有所提示,例如 用户是哪个进程用什么身份在什么时候创建的, 最好再尽量多的查看下这个时间段内的条目. 还可以看看服务本身提供的日志(例如Web服务的日志)

再用Windows的搜索功能搜索下这个时间段内有没有系统文件被修改, 系统目录下创建了什么陌生文件等

用这些发现的异常信息到google搜索, 运气好的话可以查到入侵使用的攻击手段. 然后修补相应的漏洞.