1、 某单位网络故障排查记
故障描述
客户描述:网络中存在病毒但无法定位。经常会不定时的出现网络数据无法上传。严重影响工作效率。
网络拓扑图及网络现状
该单位使用独立的内网、网络有十多个分所，每个分所三到四台电脑。网络中杀毒软件近期没有及时升级。操作系统也没有升级。
2.故障分析
2.1分析方法
通过分析核心和接入交换机的数据通信情况，挖掘出网络中的病毒和其他因为网络部署不当引起的故障问题
2.2部署科来网络回溯分析系统
在核心交换机接入交换机处抓包分别深度分析。找出网络中的存在病毒。解决网络访问缓慢故障。
3分析及
2、结论
部署设备十分钟，查看网络数据，了解网络的数据和会话组成和比重。
数据通讯的tcp同步确认和同步请求差距较大，较异常。共享的CIFS和NetBIOS数据流量居然排在第二和第三位。网络管理人员反应、网络中没有设置共享业务、工作组也没有正常利用。分析具体的协议和数据通讯情况，来一查究竟吧！
3.1飞客蠕虫
飞客蠕虫是利用Windows操作系统MS08-067漏洞来传播，同时也能借助任何有USB接口的硬件设备来感染的计算机蠕虫病毒，据不完全统计，目前全球已有超过1500万台电脑受到感染。终端计算机感染该病毒后，存在被远程控制、泄密等潜在危害，并可能通过发起大范围的网络欺诈和攻击等
3、手段危及公共互联网安全。大家要注意升级杀毒软件和操作系统吧！
看到这图表有没有感觉很面熟，对这就是最近比较流行的飞客蠕虫。飞客蠕虫现在变种较多，甚至拥有杀毒软件都无法检测的免杀力。蠕虫成功运行后会向指定的域名发送请求，该蠕虫每天尝试从50000个域名中随机挑选500个域名以试图与恶意软件制造者通信，因此会产生大量的奇怪的域名解析如图：
3.2cifs蠕虫
CIFS蠕虫发起大量的CIFS连接、这些攻击所发送的数据包均为64B左右的小包，这些大量的数据包需要经过接入层交换机、本分公司的核心交换机、路由器以及市中心机房的网络设备，给这些网络设备的转发能力增加了很大压力，造成了该网络链路
4、的拥塞。对交换机和路由器的处理能力造成了很大的负担。甚至造成设备假死或宏机。
共享蠕虫CIFS也在作怪，其特点是随机端口大战共享445端口。数据包为11或者12个 接收字节很规整的779B、网络行为呢也是在猜测密码！
3.3 NBNS请求
NBNS = NetBIOS Name Service，应该是在做命名查询。微软WINS的实现就是一个例子。例如开启了WINS的主机就会发出目的地址地址.*.*.255进行广播，使用UDP协议，连137端口。
初步分析了一下捕获到的数据，基本认定原因在于好多个人计算机内包含恶意/流氓软件，会不停地访问、、等域名，同时，windows的名字解析
5、机制的顺序是：
1. hosts
2. NetBIOS, Wins, LMhosts
3. DNS
所以，就会在网络中产生大量nbns的数据包，在网络阻塞时广播包会更多。
对百度和搜狐域名的访问如图所示！
最近也发现很多接入交换机出现类似的情况，因为接入交换机端口所属VLAN在核心交换机上也有，最终竟然导致接入交换机和汇聚交换机、核心交换机间的链路阻塞，使得网络变得基本不通。
4故障解决建议
1汇聚交换机更换功能强些的。建议启用接入交换机的广播抑制10%功能或者在汇聚层做acl访问控制NBNS广播。
2定期升级杀毒软件、操作系统的更新、更改电脑密码。
3使用飞客专杀工具查杀中招的主机关闭服务器不使用的139和445端口
4使用u盘前先查杀，关闭自动播放等功能。
浙ICP备2021020529号-1 | 浙B2-20240490 
