| |
Jul 09 15:54:21 %ACL_LOG-I-PERMIT, ACL [out]
on "uplink" ICMP 209.24.79.200 -> 219.157.38.52
Jul 09 15:54:21 %ACL_LOG-I-PERMIT, ACL [out]
on "uplink" ICMP 209.24.79.200 -> 219.167.139.16
Jul 09 15:54:21 %ACL_LOG-I-PERMIT, ACL [out]
on "uplink" ICMP 209.24.79.200 -> 61.132.1.43
Jul 09 15:54:23 %ACL_LOG-I-PERMIT, ACL [out]
on "uplink" ICMP 209.24.79.200 -> 24.232.18.109
Jul 09 15:54:23 %ACL_LOG-I-PERMIT, ACL [out]
on "uplink" ICMP 209.24.79.200 -> 211.146.112.211
…………………….
其中“209.24.79.200”是路由器的上聯(lián)接口地址，我不知道為什么會出現(xiàn)這么多從路由器發(fā)到這些沒有規(guī)律的IP的ICMP數(shù)據(jù)包。查查這些IP，有的來自國內(nèi)各省，有的來自日本，有的來自美國、阿根廷、新加坡，毫無規(guī)律。難道是有人在攻擊路由器？或者是內(nèi)部有肉機被人用來攻擊？而且奇怪的是只有出去的數(shù)據(jù)包的記錄，卻沒有記錄進入的數(shù)據(jù)包？
說起ICMP，大家肯定是熟悉不過的了。最常見的ping命令就是使用ICMP的。ICMP的全稱是Internet Control Message Protocol（網(wǎng)間報文控制協(xié)議），它是IP不可分割的一部分，用來提供錯誤報告。一旦發(fā)現(xiàn)各種錯誤類型就將其返回原主機，基于ICMP的攻擊方法也多種多樣。到底是什么原因?qū)е律蛇@樣的日志？讓我?guī)Т蠹乙黄饋聿橐徊椤?
我校的拓撲結(jié)構(gòu)是一個簡單的星型結(jié)構(gòu)，中心節(jié)點就是一臺三層交換式路由器（Enterasys 公司的SSR8000）。其中一個端口上聯(lián)到CERNET，其他端口都是內(nèi)部連接，且為內(nèi)部網(wǎng)絡基于端口劃分了多個VLAN。為了查看該信息是否從網(wǎng)絡內(nèi)部發(fā)出，又給內(nèi)部VLAN的各個接口設(shè)置了日志，還是沒有相關(guān)的ICMP記錄（原先的日志只是記錄上聯(lián)接口的數(shù)據(jù)）。排除了內(nèi)部計算機發(fā)出ICMP數(shù)據(jù)包的可能，那問題就可能出現(xiàn)在上聯(lián)接口上，而日志記錄只能記錄到協(xié)議層的信息，不能記錄更深層次的數(shù)據(jù)包。如何查看上聯(lián)接口的數(shù)據(jù)包呢，比較方便的方法就是使用端口鏡像功能，利用連接在鏡像端口上的計算機來抓取和分析數(shù)據(jù)包。
首先下載數(shù)據(jù)包分析軟件WINDUMP（下載地址：http://windump.polito.it）。在A計算機上，安裝之，然后連接到將要鏡像的RJ45端口上。再在B計算機上，也安裝WINDUMP，并連接到當前的VLAN1（網(wǎng)關(guān)：222.222.222.1，掩碼：255.255.255.0）中。
一切準備就緒后，接著就是開始端口鏡像。使用計算機B登錄到路由器，進入配置模式，輸入以下命令：
SSR(config)# port mirroring dst-ports et.1.3 src-ports gi.4.1
上面的命令把上聯(lián)端口（gi.4.1）鏡像到目標端口（et.1.3），目標端口就是計算機A連接的端口。在計算機A上，進入DOS提示符，轉(zhuǎn)到WINDUMP所在的目錄，輸入命令：
C:\> WINDUMP –N
windump30alpha: listening on \Device\NPF_{911DB410-C01E-49E8-B524-50132C6A56A8}
………
15:57:17.516203 IP 222.222.222.17.80 > 221.215.142.50.1264:
. 46721:48181(1460) ack 0 win 16336 (DF)
15:57:17.516337 IP 222.222.222.17.80 > 221.215.142.50.1264:
. 48181:49641(1460) ack 0 win 16336 (DF)
15:57:17.518043 IP 220.198.22.202.3196 > 222.222.222.99.8882:
. 137236:138676(1440) ack 260501 win 64800 (DF)
15:57:17.518162 IP 218.79.246.212.64627 > 222.222.222.191.16881:
S 2898301189:2898301189(0) win 64240 (DF)
15:57:17.518558 IP 209.24.79.200> 218.79.246.212: icmp 36:
host 222.222.222.191 unreachable (DF)
………..
（上面的記錄已做過篩選。第一句的參數(shù)“-N”表示IP地址或者端口號轉(zhuǎn)換為主機名或端口名，第二句表示windump開始在所選網(wǎng)卡上監(jiān)聽，第三句開始就是WINDUMP記錄的信息。） |
|
|
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
