arp病毒查杀_arp病毒攻击有哪些典型现象

arp病毒查杀_arp病毒攻击有哪些典型现象XX公司网络卡断问题1.问题现象2017年XX公司机关网络出现几次异常情况,并寻求内外部专家对异常情况进行诊断分析,均未找到原因,具体情况如下:1.XX分公司机关网络IP地址为10.0.0.1

大家好,又见面了,我是你们的朋友全栈君。如果您正在找激活码,请点击查看最新教程,关注关注公众号 “全栈程序员社区” 获取激活教程,可能之前旧版本教程已经失效.最新Idea2022.1教程亲测有效,一键激活。

Jetbrains全系列IDE使用 1年只要46元 售后保障 童叟无欺

XX公司网络卡断问题

 

https://www.aliyun.com/product/cas?source=5176.11533457&userCode=kv73ipbs&type=copy

 

 

 

1.  问题现象

2017年XX公司机关网络出现几次异常情况,并寻求内外部专家对异常情况进行诊断分析,均未找到原因,具体情况如下:

  • 1.XX分公司机关网络IP地址为10.0.0.1-10.0.0.254,上半年约有15台电脑出现不能上网现象,但是修改IP地址后可正常使用,约三四天后还需再修改IP地址才能正常使用,该现象大约持续2个月左右。
  • 2.10月中旬,有一台电脑突然出现断网现象,经过修改IP地址后可以正常使用,目前再未出现问题。
  • 3.9月、11月和12月共有三台电脑正在使用的时候突然断网,用笔记本电脑测试网线正常,IP地址配置正常,但是不能上网,最后更换网卡后,网络恢复正常。
  • 4. 12月6号上午视频会期间网络出现闪断3次, 12月7号上午视频会期间网络出现闪断1次,下午闪断1次,12月8号上午视频会期间网络出现闪断2次,断网时间约在1分钟之内,然后网络自行恢复。
  • 5.12月10日,业务运作部网络突然断开,重启交换机后,网络恢复,反复出现三次。
  • 6. 9月21日,下午4点公司到分支机构的所有网络(包含高清监控)全部断开,持续到下午6点恢复,联通公司也未找到原因,但是高清视频监控一直卡顿严重,登录后约5分钟就会自动掉线,再次登录总是提示CMS连接失败,多次尝试才能登录成功,并且还会自动掉线,不能回放,服务器能ping通,一直未测试出真正原因。

2.  环境

 arp病毒查杀_arp病毒攻击有哪些典型现象

 

 

3.  问题定位及排查

3.1.  定位

arp攻击,PC主机中病毒

3.2.  排查

3.2.1.   跟踪arp报数据

在S5756-01跟踪后发现10.0.0.25的arp请求和发送包较多,列为怀疑对象。

3.2.2.   查看arp表

[CT-01]dis arp all

查看两次12.29日和1.9日的arp缓存表(见文后附件)

1.9日发现mac为9934-a431-9d00的机器最为可疑,缓存对应了多达43个ip,但不对应0.25的机器。

3.2.3.  PC端

PC机arp -d,arp -a测试

1、在客户机运行路由跟踪命令如:tracert -d www.baidu.com,正常情况是路由跟踪执行后的输出第一条应该是默认网关地址,由此判定第一跳的那个非网关IP地址的主机就是罪魁祸首。在局域网内随机找出几台主机,arp -a发现网关是10.0.0.254,而不是mac为9934-a431-9d00的主机。

2、清除缓存重新获取时依然会出现大量指向9934-a431-9d00的记录,初步判定为arp攻击。

3.2.4.   抓包

3.2.4.1. 配置端口镜像

arp病毒查杀_arp病毒攻击有哪些典型现象

 

 arp病毒查杀_arp病毒攻击有哪些典型现象

 

 

3.2.4.2. 包数据

【1月9日17-36】和【1月10日11-00】

分析的时候也没有发现大量异常的数据包,但是看到了一条嫌疑mac的记录,决定第二天查看10.0.0.53的主机情况。

 

3.2.5.  处理

3.2.5.1. 思路和方法

由于ip地址是静态的,所以很快找到目的主机,但其ip是10.0.0.162,看看是不是“10.0.0.53”的mac9934-a431-9d00如果是,则与抓包数据对应。

先随机在局域网主机上arp -a 查看缓存表应该还是大量的mac9934-a431-9d00

断开问题主机,arp-d,清除缓存,五到十分钟再arp -a下,如果不再大面积出现53的mac证明已隔离完毕。

3.2.5.2. 现场

ipconfig查看时发现此主机缓存了大量的ip,而且根据客户描述静态输入其他ip地址时,主机会自动跳转到10.0.0.162。

拔掉网线,隔离。

3.2.6.  观察

1、PC机arp -d,arp -a测试后发现不再出现大量arp缓存,也没有指向9934-a431-9d00的记录了。

2、联系视频会议人员进行连接测试,观察连通情况。

3、将问题主机低格后重新安装操作系统,连接到局域网内

4.  视频监控

4.1.  排查

      根据客户反映的视频监控卡顿问题进行排查:

一开始以为也是arp问题,后来PC机无异常后视频还是卡,所以用自己电脑和网线直连交换机测试,发现没有任何延迟和卡顿,观察机柜环境时,发现网线质量很差,怀疑是网线问题,请分公司换了E5的网线后立竿见影。

4.2.  观察

1、随机打开两台主机科达监控客户端进行测试

2、ping 10.0.0.240(监控主机)观察延迟及丢包情况

5.  结束

由于公司人员调整频繁,无法固定使用ip,为管理方便,故没有采用核心交换和pc端绑定mac策略。

结束:

1、 核心交换arp表不再出现大量9934-a431-9d00的缓存。

2、 局域arp表不再出现大量9934-a431-9d00的缓存,且上网正常,无异常现象。

3、 视频监控无卡顿现象,基本无丢包。

4、 视频会议测试数据为15000-9丢包率,考虑到中间会经过运营商,所以属于正常。

6.  相关知识

ARP (地址解析协议)

地址解析协议,即ARP(Address Resolution Protocol),是根据IP地址获取物理地址的一个TCP/IP协议。主机发送信息时将包含目标IP地址的ARP请求广播到网络上的所有主机,并接收返回消息,以此确定目标的物理地址;收到返回消息后将该IP地址和物理地址存入本机ARP缓存中并保留一定时间,下次请求时直接查询ARP缓存以节约资源。地址解析协议是建立在网络中各个主机互相信任的基础上的,网络上的主机可以自主发送ARP应答消息,其他主机收到应答报文时不会检测该报文的真实性就会将其记入本机ARP缓存;由此攻击者就可以向某一主机发送伪ARP应答报文,使其发送的信息无法到达预期的主机或到达错误的主机,这就构成了一个ARP欺骗。ARP命令可用于查询本机ARP缓存中IP地址和MAC地址的对应关系、添加或删除静态对应关系等。相关协议有RARP、代理ARP。NDP用于在IPv6中代替地址解析协议。

版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 举报,一经查实,本站将立刻删除。

发布者:全栈程序员-用户IM,转载请注明出处:https://javaforall.cn/167273.html原文链接:https://javaforall.cn

【正版授权,激活自己账号】: Jetbrains全家桶Ide使用,1年售后保障,每天仅需1毛

【官方授权 正版激活】: 官方授权 正版激活 支持Jetbrains家族下所有IDE 使用个人JB账号...

(0)
blank

相关推荐

  • 卡盟网站怎么做_卡盟的货源哪里来

    卡盟网站怎么做_卡盟的货源哪里来服务器系统:cenos7.x64位(购买vps都知道ba?安装7.x以上系统)宝塔安装命令:bt.cn(自行获取)(baota我已经安装好了,接下来给大家演示如何操作搭建卡信乐)ssh输入宝塔命令会自动安装好自己查看一下登陆地址和账号密码就可以登陆面板后安装apache2.4+mysql5.5+php5.6phpadmin4.7(应该都会安装把!)登陆宝塔,打开网站的根目录的home文件夹,上传源码然后解压上传好后解压文件修改vhost文件里的域名创建一个数据库yunos数据库

  • SQL Server 2008 R2 超详细安装图文教程

    SQL Server 2008 R2 超详细安装图文教程一、下载SQLServer2008R2安装文件ed2k://|file|cn_sql_server_2008_r2_enterprise_x86_x64_ia64_dvd_522233.iso

  • Arduino单片机控制步进电机

    Arduino单片机控制步进电机步进电机是一种将电脉冲转化为角位移的执行机构。当步进电机的驱动器接收到一个脉冲信号,它就驱动步进电机按设定的方向转动一个固定的角度(即步长)。通过控制脉冲个数来控制角位移量,达到准确定位的目的;通过控制脉冲频率来控制电机转动的速度和加速度,达到调速的目的。下面是连接图,右上角是Arduino与驱动器的连线,VCC、脉冲、方向、使能是单片机提供的4个引脚,字面意思是对于驱动器而言,与Ar…

  • 【01】初识ThreadX

    【01】初识ThreadX简介ThreadX是一个成熟的商用硬实时嵌入式操作系统,被广泛应用于消费电子、航空航天、通信、工业控制与医疗等应用领域中,至今已服务超过62亿设备。它以轻量级的规模,提供了良好的实时性、可靠性与易用性,是嵌入式开发中不错的RTOS选择。凭借良好的发展势头,其母公司ExpressLogic于2019年被微软收购。技术上,ThreadXRTOS提供了高级调度、通信、同步、定时器、内存…

    2022年10月27日
  • 用模拟器加载基于ARM平台的WinCE6.0 内核(NK.bin)

    用模拟器加载基于ARM平台的WinCE6.0 内核(NK.bin)

  • matlab fmincon优化,求教Matlab用fmincon做优化计算

    matlab fmincon优化,求教Matlab用fmincon做优化计算本人利用fmincon做优化计算,其程序如下:1,主程序clearallx0=[0.1,0.3,0.2,0.3,0.1,45,0.214,0.05,0,0.45,0.15,0,0.4,0.12,0,0,0,0,0,0,0,0,0,0,0,0];A=[1-1-110000000000000000000000;11-1-10000…

发表回复

您的电子邮箱地址不会被公开。

关注全栈程序员社区公众号