解决方案：如何使用数据包捕获工具找出计算机病毒

下面，根据扫描网络地址的网络病毒的特征，我将向您介绍一种非常实用的方法：使用数据包捕获工具查找病毒的来源。

您是网络管理员吗？您是否曾经有过这样的经历：在某天的早晨，您突然发现网络性能急剧下降，无法正常提供网络服务，服务器访问速度极慢甚至无法访问，网络交换机端口指示灯疯狂闪烁，并且网络退出路由器已经处于满负荷状态，路由器CPU已达到100％的负载...在重新启动后的几分钟内，该现象再次出现。

出什么问题了？设备损坏了吗？多个设备不可能同时出现问题。必须有一些高流量数据文件耗尽了网络设备的资源。这些是什么？你怎么看他们？此时，经验丰富的网络管理员将考虑使用LAN数据包捕获工具进行分析。

您一定听说过臭名昭著的网络杀手，例如Red Code，Nimda，Shockwave和Sasser。是他们创造了上述邪恶行为。它们来势汹汹，阻塞了网络并感染了主机，使网络管理员感到痛苦。当出现网络病毒时，我们如何及时发现受感染的主机？下面，我将根据扫描网络地址的网络病毒的特征，介绍一种非常实用的方法：使用数据包捕获工具查找病毒的来源。

1。安装数据包捕获工具。目的是使用它来分析网络数据包的内容。找到免费或试用版的数据包捕获工具并不难。我使用了一个名为SpyNet3.12的数据包捕获工具，该工具非常小且运行速度非常快。安装后，我们有一个数据包捕获主机。您可以设置通过SpyNet捕获数据包的类型，例如要捕获IP数据包还是ARP数据包，还可以根据目标地址设置更详细的过滤参数。

2。配置网络路由。您的路由器是否有默认网关？如果是这样，它指向何处？在病毒爆发期间将默认网关指向另一个路由器是非常危险的（除非您要破坏此路由器）。在某些公司网络中，通常仅指出网络地址段中的路由，而未添加默认路由。然后将默认路由指向数据包捕获主机（它不会掉下去，谁去死了？当然，该主机具有最佳性能，最好更高，否则容易被病毒杀死）。这样可以自动传送那些病毒主机发送的大多数扫描。或将网络出口映射到捕获主机，然后将分析所有外部访问的网络数据包。

3。开始捕获数据包。数据包捕获主机已经设置好，并且网络中的数据包已发送，因此让我们看看网络中正在传输什么。打开SpyNet，然后单击捕获。您会看到很多数据显示。这些是捕获的数据包。列出捕获的数据包的序列号，时间，源和目标MAC地址，源和目标IP地址，协议类型，源和目标端口号。不难看出，IP地址为10.32.20.71的主机在很短的时间内向大量不同的主机发送了访问请求，目的端口为445。

4.找出受感染的主机。在数据包捕获方面，主机10.32.20.71值得怀疑。首先，让我们看一下目标IP地址。这些地址是否存在于我们的网络中？这些段可能根本不在网络中。其次，在正常情况下，访问主机是否有可能在这么短的时间内启动这么多访问请求？在毫秒内发送数十个甚至数百个连接请求是否正常？显然，此10.32.20.71主机一定有问题。让我们看一下Microsoft-DS协议。该协议容易受到拒绝服务攻击。连接端口是445，这进一步证实了我们的判断。这样，我们可以轻松找到被感染主机的IP地址。剩下的工作是修补主机操作系统以杀死病毒。

既然我们已经捕获了病毒包，让我们看一下该数据包的二进制解码内容：

这些数据包的长度为62个字节。数据包的前12个字节包括目标MAC和源MAC的地址信息。接下来的2个字节指示数据包的类型。 0800代表IP数据包格式，而0806代表ARP数据包格式。接下来的20个字节是封装的IP标头，包括源IP地址和目标IP地址，IP版本号和其他信息。其余28个字节封装在TCP标头中，其中包括源端口和目标端口，TCP链接状态信息等。这构成一个62字节的数据包。可以看出，除了报头数据之外，此数据包不携带任何其他有效负载，因此，这是一个空数据包，TCP要求端口445进行同步，即病毒主机正在扫描端口445。一旦被感染的主机同步如果主机的445端口没有保护措施，它将利用系统漏洞传播感染。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shouji/article-337815-1.html