蠕虫攻击一例
作者：Top孤狼 发布于：2013-11-15 10:12 Friday 分类：网友文章
故障描述
接近年关不少单位要求对网络进行检测，在分析内网时发现问题。网络出口带宽是10兆，客户机大约200台，服务器15左右，拓扑图如下：
由于是对内网分析，所以抓取的数据在核心层连接防火墙的网口。抓包时间1分钟。从下图中可以看流量峰值达到32M，流量较大，但用户称网络正常。于是选择这段时间。
选择这段时间流量下载，查看概要试图：
在1分钟的时间里信息诊断有点偏多。
查看数据包的大小分布情况如下：
从图中可以看到，传输字节数量大于1518字节占多数，说明当前网络中存在大量的数据传输。另外小于64字节的数据包也较多，说明网络可能存在扫描等现象。
然后紧接着查看ip地址统计
结果发现ip地址数很多，在内网中当前的ip地址数量远远超过实际的ip地址数。
其次查看tcp统计
从图中可以看出tcp的同步发送与tcp的同步确认发送比例将近7比1，可以怀疑网络中存在tcp泛洪。
查看诊断统计：
在诊断统计中可以发现主要诊断事件是tcp重复的连接尝试。同时也验证了我们上面的猜测。
紧接着查看tcp重复连接尝试诊断发生的主要地址:
随手看看协议统计：
网络中存在共享，难道是cifs在作怪。
通过诊断发生地址，进行定位分析的结果和通过协议定位分析的结果一样网络中存在cifs共享式蠕虫攻击。
在诊断地址中进行定位查看ip会话如图：
发现10.28.100.71这个地址只有发送没有接收。
然后查看tcp会话情况如图：
目的地址都是10.28.0.0 段，目标端口都是445。
随后查看矩阵如图：
可以发现10.28.100.71地址于768台主机通讯，而且接收包只有4个，很明显是在扫描这些主机。
紧接着查看数据包解码如图：
可以看到TCP同步为均为1，至此可以断定该主机存在TCP同步泛洪攻击。网络中有2台主机都出现此情况，这样对核心交换机的性能会照成影响，同时会影响网络通讯，严重时可能出现网络瘫痪。
针对上面这种情况，通过和网管沟通找到这2台主机，发现这两台主机因配置低没装杀毒软件而照成感染了蠕虫，最后对其断网查毒处理。
总结
对于CIFS共享式蠕虫病毒，只要定位到相应的主机，然后查看IP会话、TCP会话、矩阵以及数据包解码，只要满足如上所说的几点活动特性可以断定中了蠕虫病毒。为了起到防患于未然，最后建议网络管理员定期对没有安装杀毒软件的主机进行杀毒，当然其他的也要杀毒了。
-
QQ邮箱订阅
-
搜索
日历
最新日志
链接
分类
最新碎语
- 如果一个人想要做一件真正忠于自己内心的事情，那么往往只能一个人独自去做"——理查德·耶茨
2019-06-25 21:34
- 日后我们知道，真正的人生道路是由内心决定的。不论我们的道路看上去如此曲折、如此荒谬地背离我们的愿望，它终归还是把我们引到我们看不见的目的地。（茨威格《昨日世界》）
2019-03-16 21:27
- 如果你渴望得到某样东西，你得让它自由，如果它回到你身边，它就是属于你的，如果它不会回来，你就从未拥有过它。——大仲马《基督山伯爵》
2018-10-09 22:07
- 人生有两大悲剧：一个是没有得到你心爱的东西；另一个是得到了你心爱的东西。人生有两大快乐：一个是没有得到你心爱的东西，于是可以寻求和创造；另一个是得到了你心爱的东西，于是可以去品味和体验。——弗洛伊德
2018-09-25 18:06
- 一个人越有思想，发现有个性的人就越多。普通人是看不出人与人之间的差别的——布莱兹·帕斯卡尔
2018-08-30 18:44
存档
- 2020年11月(2)
- 2018年1月(1)
- 2017年12月(1)
- 2017年11月(6)
- 2017年6月(1)
- 2017年5月(1)
- 2017年4月(1)
- 2017年3月(1)
- 2016年11月(1)
- 2016年4月(1)
- 2015年7月(2)
- 2015年6月(1)
- 2015年5月(5)
- 2014年12月(1)
- 2014年11月(1)
- 2014年10月(1)
- 2014年8月(1)
- 2014年7月(1)
- 2014年6月(1)
- 2014年5月(1)
- 2014年4月(3)
- 2014年2月(2)
- 2014年1月(2)
- 2013年12月(1)
- 2013年11月(1)
- 2013年10月(2)
- 2013年9月(1)
- 2013年8月(1)
- 2013年7月(3)
- 2013年6月(2)
- 2013年5月(1)
- 2013年4月(3)
- 2013年3月(1)
- 2013年2月(2)
- 2013年1月(2)
- 2012年12月(11)
- 2012年11月(12)
- 2012年10月(12)
- 2012年9月(26)
- 2012年8月(29)
- 2012年7月(18)
- 2012年6月(2)
- 2012年5月(25)
- 2012年4月(16)
- 2012年3月(13)
- 2012年2月(6)
标签
blogger
