[分享] 寻找ARP攻击源的小心得

fei2388

首先,不知道说是ARP攻击是否恰当,因为我的电脑受到的攻击来源并不是ARP欺骗攻击,只是被大量的UDP攻击造成网络严重堵塞.
网络情况是这样的:
校园网,以太网组的,一个C类网有一个路由器,一个DHCP.一个网关校园网由N个C类网组成.
我暂且认为一个寝室的4个接口是在一个交换机,不在也隔不了几层吧?当时的奇怪情况是,我的机器ping校园网服务器,延时达到了600+ms,tracert跟踪不可达.但同寝室的一台很正常.后来抓了下包,发现大量来自校园网另外一个子网的某些台机器(比较集中,少数的)发给我所在子网的分散的UDP包.并且端口很一致,来自6110端口,去向6112端口.我认为,目标IP不是我本机IP的,来自非本地子网的UDP包是不会到达我的网卡的,会在交换机层被过滤嘛.但为什么我接到这么多的UDP包我到现在也不太清楚...望达人指点
对网卡抓到的包进行分析,这次发现了arp包的特点:发送ARP的机器IP不是网关,而是本子网内某一IP,发送量非常大,并且是把本子网所有IP几乎是依次问个遍.把这个机器停用网络之后,现在网络状态良好,只有2台中毒的机器发傻,狂发arp包问不是本子网IP的地址.

总结:网络堵塞的时候抓下包,对包进行分类分析.对症下药就容易找到问题所在了

[ 本帖最后由 fei2388 于 2007-5-24 15:08 编辑 ]