中狗路由被攻击，附加包

快乐居士 · 发表于 2008-6-14 09:06:28

包在附件，自己看吧`~~狗的原体被我丢到360去了

sbyguli · 发表于 2008-6-14 12:43:54

真的是原体吗?去看看!

yucl_0 · 发表于 2008-6-14 22:42:46

ip分段厉害，大包过多

kodin · 发表于 2008-6-15 09:30:12

居士，是不是AU3论坛那个？感觉名字好相似。

oldjiang · 发表于 2008-6-16 08:36:27

1、“狗”指什么？木马？
2、192.168.1.34，他的UDP-OTHER包，IP标志是一样的，都是0xD12D，其他协议则不是这样。他攻击的是218.61.201.117，包够密集。
3、为何本机有两个mac和IP？

[ 本帖最后由 oldjiang 于 2008-6-16 08:50 编辑 ]

garyx · 发表于 2008-6-16 09:34:27

强!短时间内这么有强度的攻击!这样!应该整个路由的带宽都会给吃掉..是吧?

oldjiang · 发表于 2008-6-16 10:05:42

楼主，在这样的攻击下，路由是不是OVER了？

bingxuelin · 发表于 2008-6-16 10:46:28

估计肯定上不了网了吧，1。05分钟内这么高的流量，带宽早就吃光了
中的是机器狗病毒？我们这边也有中的，不过没有像你这台机器攻击这么厉害的
不过还是有一些疑问，同上本机怎么有两个MAC和IP，双网卡？
还有192。168。1。123机器怎么一直是ARP太多无响应的请求。他在扫描还是攻击？而且没有目的IP
只是有点不解，病毒为什么只攻击218.61.201.117（是辽宁大连网通的IP）看来是有什么深仇大恨似的，而且攻击包偶也看不明白里面都是些什么东西。

[ 本帖最后由 bingxuelin 于 2008-6-16 10:48 编辑 ]

oldjiang · 发表于 2008-6-16 10:59:37

ARP太多无请求应答，他在欺骗路由器。
定位00:01:6C:FA:FF:D5，也有扫描。
从他的ARP数据包来看，过程应该是扫描-欺骗-解除欺骗-再扫描。

[ 本帖最后由 oldjiang 于 2008-6-16 11:01 编辑 ]

bingxuelin · 发表于 2008-6-16 11:40:04

俺比较菜，能看出来那台电脑有过扫描，不过看不出来后面的欺骗-解除欺骗-再扫描
如果是这样，欺骗了后解除欺骗有什么目的？估计后面应该还是重复扫描欺骗这个过程吧。。
我看了一下那个MAC，里面似乎没什么数据包，是不是那几个TCP会话里看出来的？

oldjiang · 发表于 2008-6-16 12:45:16

回复 10# 的帖子
我是这样看的：
1、在诊断视图，定位

2、在协议视图点ARP

3、在协议视图查看数据包

可见前5个是欺骗网关，中间5个是解除欺骗（自己定义的词），后面是新一轮扫描（隐藏了一部分数据包）
4、对比真实的IP和MAC

"解除欺骗有什么目的"，既然是欺骗，也不能一骗到底，还要恢复一下，让其他机器能正常通讯，不然断网了就暴露了。
ARP是MAC的数据包而不是IP的数据包，参考http://www.csna.cn/forum.php?mod=viewthread&tid=1311
人非生而能知，无所谓菜不菜，大家各有所长，CSNA论坛是学习和交流的地方。

[ 本帖最后由 oldjiang 于 2008-6-16 12:48 编辑 ]

yucl_0 · 发表于 2008-6-16 13:31:36

人非生而能知，无所谓菜不菜，大家各有所长，CSNA论坛是学习和交流的地方。

bingxuelin · 发表于 2008-6-16 15:04:59

哈哈，谢谢姜斑竹的解答
又学了不少东西，刚才看数据包的时候没注意那些ARP里面的MAC地址，还以为那些回应请求都是真实主机的应答呢。。。

oldjiang · 发表于 2008-6-16 22:37:59

学习需要热情，而热情是有波动的
一个问题，如果三番五次看不懂，就会有挫折感
执着的人会跟贴提问，不执着的则就此放弃了
为此，给10#加一分。

中狗路由被攻击，附加包

本帖子中包含更多资源

好包

回复 8# 的帖子

回复 9# 的帖子

评分

本帖子中包含更多资源

回复 11# 的帖子

有感而发