欢迎关注:1，欢迎关注本博客，你可点击右手边的【QQ邮件订阅】订阅本博客！2，本博客推出江湖救急计划，主要为工作中遇到疑难杂症的兄弟提供远程技术支持和分析，如有需要，请在江湖救急计划页面给我留言！

针对随机组播地址的ping攻击案例

作者：易隐者 发布于：2012-9-25 11:22 Tuesday 分类：网络安全

       前段时间，某兄弟在用户处遇到一个问题，说是在无线环境下，生产系统中的条码系统经常卡机，迟迟难以定位，网上找到我，并将报文发给我，让我帮忙看看。
       根据他的描述，一开始我以为是个应用系统故障，准备建议其在生产客户端与服务器端同时抓包做对比分析，后来仔细看起报文时，发现了一个主机针对随机的组播IP地址发送ping请求报文，如下图所示： 

点击查看原图

我们查看其中某个报文的解码： 

点击查看原图

       这个主机的网络交互行为特征大致有以下几点：

1，该主机发送了大量的ping报文，但是正常情况下，生产主机不会发送跟生产业务无关的报文，包括ping报文；
2，ping报文的目的地址都是随机的组播地址；
3，ping组播地址的发包频率虽有变化，但是其发包高峰时可以达到毫秒以内的时间间隔

       结合上述三点，我们可以确定为该主机异常行为。

       主机对多播报文的处理流程决定了网内过多的多播报文会对主机和网络性能带来严重的影响。而目前这个很可能只是大规模爆发之前的预演，发包时间间隔较为随机，有些是几毫秒，有些几十秒，真正爆发时，以该数据包文件来看，这台主机可以做到每秒数万的报文，到时候，估计将会出现全网瘫痪的现象。

       一台机器足以单挑一个的网络了！ 

阅读全文>>

标签: 组播 多播 ping 攻击 行为特征 发包频率 随机组播地址

评论(0) 引用(0) 浏览(21793)

Powered by 易隐者 基于emlog 皖ICP备12002343号-1