如何查看攻击者在内网虚拟出来的IP的源头在那？

逍遥一指令 · 发表于 2006-12-6 02:34:44

比如攻击者在内网中虚拟了一个IP 192.168.0.123 出来
但是在内网中却无法找到 192.168.0.123 这台机器，同时本内网中也根本就不存在 192.168.0.123 这么一个IP
请问各位兄弟，这个时候如何用科来来定位这个虚拟出来的IP的源头在那呢？

sbyguli · 发表于 2006-12-6 07:37:59

帮你顶啊!偶也想知道呢!

caidaowang · 发表于 2006-12-6 08:40:58

从收发数据包中找出它的mac地址，mac地址才是网卡的真正标志。

菜鸟人飞 · 发表于 2006-12-6 09:05:27

是的，楼上所言及是，通过查MAC找出真正的元凶。

java-g · 发表于 2006-12-6 09:27:08

从收发数据包中找出它的mac地址，mac地址才是网卡的真正标志

学习了

逍遥一指令 · 发表于 2006-12-6 10:22:46

但是这个时候查到的MAC地址是否也是伪造的呢？

iwanthome · 发表于 2006-12-6 10:32:39

很多种情况，如果在局域网里好办，通过MAC可以看到凶手在哪里，就算是伪造的MAC也没关系，只要你是可管理的交换机，就可以通过MAC查出接入地点。这个是因为交换机学习MAC的原理。

如果不是局域网，那就难办了，应该说没有什么好的办法，因为这时的MAC已经被很多路由器替换过了。

这个时候只有在所有的CLIENT的局域网端口上在IN的方向指定只能本网段的IP才能通过，或者通过CISCO的ip verify unicast rpf来防范。

逍遥一指令 · 发表于 2006-12-6 11:07:53

问题是现在很多交换机并不带网管功能啊

逍遥一指令 · 发表于 2006-12-7 11:43:11

还有什么好的办法吗？

逍遥一指令 · 发表于 2006-12-7 18:52:01

难道就没有任何办法了吗？

abitggmm · 发表于 2007-4-12 22:59:08

将多余的IP禁用掉兴许是个好办法

jrs13579 · 发表于 2007-4-13 14:58:11

这个估计没有办法解决，因为mac也可以伪造的。

如何查看攻击者在内网虚拟出来的IP的源头在那？

从数据包中分析

评分