FS，源地址都是192.168.5.119，而目标地址则随机产生，目标端口都是445，且数据包的TCP标记位都将同步位置1，这说明192.168.5.119这台机器正在主动对网络中主机的TCP 445端口进行扫描攻击，原因可能是192.168.5.119主机感染病毒程序，或者是人为使用扫描软件进行攻击。


（图3　192.168.2.119主机的数据包解码信息）
    找到问题的根源后，正准备对192.168.5.119主机进行隔离，这时因其它事情中断分析工作约10分钟左右。
继续工作，隔离192.168.5.119主机的同时再次将启动科来网络分析系统5.0捕获分析网络的数据通讯，约2.5分钟后停止捕获并分析捕获到的数据包。
    分析捕获到的数据包，网络中又出现了3台与192.168.5.119相似情况的主机，且这些主机发起的同步连接数都大大超过192.168.5.119，图4所示的即是其中一台主机在约2.5分钟内的发起的连接数，其中同步连接达到了6431个。
     通过这个情况，我们可以肯定192.168.5.119和新发现的三台主机都是感染了病毒，且该病毒会主动扫描网络中其它主机是否打开TCP 445端口，如果某主机打开该端口，就攻击并感染这台主机。如此循环，即引发了上述的网络故障。
  


（图4　192.168.4.34主机的TCP连接信息）
     网管人员立即对新发现感染病毒的3台主机进行隔离，ping测试响应时间立刻变为1ms，网络通讯立刻恢复正常。
    在分析中，我们还发现，192.168.101.57主机占用的流量较大，其通讯数据包的源端和目的端都使用UDP 6020端口，且与192.168.101.57通信的地址227.1.2.7是一个组播IP地址，签于此，我们推测192.168.101.57可能在使用在线视频点播之类的应用，并因此对网络资源造成了一定程度的耗费，其通讯数据包如图5所示。对于这种情况，网管人员也应对其进行检查，确定其合法性，以避免网络带宽被一些非关键业务所耗费。


（图5　192.168.101.57主机的通讯数据包信息）
     在第一次和第二次捕获之间，相隔仅10分钟的时间，网络中就被新感染主机三台。由此我们可以想象，如果不使用网络检测分析软件捕获分析网络中传输的数据包，仅通过查看交换机的端口流量，或者使用单纯的流量软件，将很难找到问题的根源，这样网络中感染的主机会越来越多，最终将导致整个网络的全部瘫痪。
以上便是笔者使用科来网络分析系统5.0诊断该校园网故障的全过程，在网络出现速度慢、时断时续、不能访问时，网管人员均可使用这种方法对故障进行诊断排查。

上一页  [1] [2]&

本文来源：天下网吧 作者：网吧方案