欢迎关注:1，欢迎关注本博客，你可点击右手边的【QQ邮件订阅】订阅本博客！2，本博客推出江湖救急计划，主要为工作中遇到疑难杂症的兄弟提供远程技术支持和分析，如有需要，请在江湖救急计划页面给我留言！

省局门户网站地市信息公开栏目访问异常应急处置

作者：竹林再遇北极熊 发布于：2017-12-2 11:40 Saturday 分类：网络分析

1 情况概述

1.1 拓扑结构

点击查看原图

   服务器通过交换机、WAF、IPS，经防火墙映射对外提供服务，办公外网与互联网通过出口交换机访问服务器。

1.2 情况简介

   2017年11月17日有市局反应省局门户网站地市信息公开栏目访问异常。

点击查看原图

   点击信息公开栏目后如下图所示：

点击查看原图

   大部分市局...

阅读全文>>

标签: 疑难故障 策略误报 报文分析 策略分析

评论(1) 引用(0) 浏览(10016)

省厅A登陆省厅B预算系统异常应急处置

作者：竹林再遇北极熊 发布于：2017-11-28 21:59 Tuesday 分类：网络分析

1 情况概述

1.1 拓扑结构

   如上拓扑所述，省厅A的客户端1和客户端2属于两个不同的安全域，通过防火墙代理，经过互联网，访问省厅B一台层层安全防护的预算系统服务器。

1.2 情况简介

   预算系统分别使用B/S、C/S架构对外提供服务，服务端域名是xxx.com，解析后的公网IP分别是X.X.X.155和X.X.X.22，浏览器访问比客户端访问多...

阅读全文>>

标签: 疑难故障 应用故障 策略误报

评论(1) 引用(0) 浏览(9022)

策略误报导致应用保存失败的分析案例

作者：易隐者 发布于：2013-4-20 14:13 Saturday 分类：案例讨论

       某用户应用，需要将一些修改信息提交保存至业务服务器，在这个保存过程中出现无法保存的现象（保存失败，点击保存按钮后，IE页面进度条长时间处于加载状态），我出于帮忙，到用户现场捕获了业务保存时的交互报文，如下图所示：
点击查看原图

       查看这个交互的过程，我们可以非常清晰的看到，客户端与服务器TCP三次握手正常，问题出在客户端提交POST请求的报文被中间设备丢弃了。比较有趣的是，客户端在尝试两次重传之后，较为聪明的将这个POST请求字段（长度为859B）拆分为两个长度分别为536B和323B的字段，并先将长度为536B的应用字段重传给服务器，我们清楚的看到服务器对这个应用字段作出了确认，这说明这个长度的应用字段正常到达了应用服务器，但是后续长度为323B的应用字段一直被丢弃，这很容易想到是中间设备策略误报一直丢弃某些固定报文导致的，我们来看一下这个应用字段里到底封装的是什么应用数据，我们首先看这个报文的应用字段解码如下：

点击查看原图

       这个看得有点头晕，我们将这段字符解码一下，如下图所示：
点击查看原图
       解码之后，我们可以看到这个应用字段中存在“varchar(60)”等关键字，这可能引起WAF、IPS等设备将此报文误报为SQL注入的尝试。      

阅读全文>>

标签: 应用故障 IPS 策略误报 POST WAF SQL注入

评论(7) 引用(0) 浏览(6376)

视频点播服务间歇性中断故障分析案例

作者：易隐者 发布于：2012-8-1 22:15 Wednesday 分类：网络分析

故障环境

1 网络拓扑

点击查看原图

2 说明

1、VOD在线视频是通过web页面观看的，通讯流全部使用HTTP的80端口传输数据；
2、客户端与服务器是纯路由环境下完成数据交互的。

故障现象

1、客户端通过浏览器在线观看VOD视频时，不定时（有时几分钟、有时十几分钟，没有规律）的出现中断情况；
2、使用ping命令长时间测试VOD服务器的连通性，一直正常；
3、异常时，VOD服务器的web页面访问正常。

阅读全文>>

标签: IP标识 sack tcpdump 重传 IPS 策略误报 视频点播故障 IPID

评论(1) 引用(0) 浏览(15815)

Powered by 易隐者 基于emlog 皖ICP备12002343号-1