作者vintw (阳光好青年)
看板AntiVirus
标题Re: [中毒] 小红伞扫到的JS/Iframe.NL
时间Mon Jun 23 02:26:56 2008
引言恕删
在推文中已经有人提到了，这情形看起来应该是ARP spoofing攻击
关於类似的攻击，在中有详细的说明
我在这边提一下自己遇过的例子，这是之前发生在敝系的案例
首先先是实验室的学长发现学校系统的网页被挂马
可是同样的网页我连上去看却看不到有异常
然後当天稍晚我在看server log的时候(管server的每天看daily log report是好习惯XD)
发现有机器在跟default gateway抢IP...
解决方式後来是回报系上网管，然後查是哪一台中毒这样
如果没有server log可以看
建议可以从本机的ARP table去看，是不是有人在跟default gateway抢IP
避免方式大概有两种
1.从设备端去过滤ARP packet，敝系的设备似乎是不支援XD
2.把default gateway的MAC在本机的ARP table锁死
这应该行的通，缺点就是麻烦XD
如果有人有其他更好的解决方式欢迎补完
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 220.136.0.160
1F：推 lcjjaff:14860 ARP简单防护XD 我以前有写过耶^^ 06/23 11:17
2F：→ lcjjaff:然後在lab适用的成效还不错，特别是针对使用arp攻击的 06/23 11:17
3F：→ lcjjaff:Netcut网路剪刀；缺点是近端网路内连会有问题 06/23 11:18
4F：→ lcjjaff:比如说*.*.X.1要远端连线到*.*.X.3 会无法连线 06/23 11:19