作者Peterick (内有名片自介 ♂)
看板NetSecurity
标题Re: [问题] 区网内有电脑中殭屍病毒?
时间Wed Jun 2 17:26:18 2010
我想我还是回一下文章好了 ...
其实因为他那边网路环境就是 一台很简单的分享器 好像是民国 89 年买的
还有一台 Dlink 很旧的 16 port switch
有的网路线是直接从机房拉出去到用户端的电脑
但是有的办公室就是一条网路线从机房拉过来
然後在 接在 5 port 或者是 8 port switch 分享给大家
所以才会有这个 16 port switch 可是三四十台电脑在用
因为分享器太旧 所以 mac 绑定好像只能绑几组而已 ...
中殭屍病毒的那台电脑似乎也不是随时都在对外做攻击
可能这个星期五突然收到 ISP 的通知 ...IP 是 XXX.XXX.XXX.XXX (行政中心做 NAT)
对外网站进行攻击
可能时间会列表出来 ...
18 2010/5/28 上午08时46分01秒 CST 3293: IRC: NICK/USER Registration
Request XXX.XXX.XXX.XXX 64998 213.154.225.135 1234
1 2010/5/28 上午04时05分33秒 CST 3293: IRC: NICK/USER Registration Request
XXX.XXX.XXX.XXX 65115 213.154.225.135 1234
客户的 IP 我暂时用 XXX 取代
可是收到报告之後似乎又安静了一阵子 ...
我已经查过满多台电脑也用防毒软体扫毒过
的确是有一两台电脑中毒也清楚了
但是其实我不太有把握 就是这两台扫出有毒的电脑在攻击
大家有甚麽比较好的建议吗 ....
我有朋友建议我乾脆叫他们换设备最快 = =||
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 60.250.93.157
1F：推 joe80075:不然你就是先查你原来的switch在作乱~如果别的单位的话 06/03 10:36
2F：推 joe80075:查来转NAT的MAC位置，之後再来做处理噜 祝你好运! 06/03 10:40
3F：→ kobala:找熟网路解析的人员 作封包解析? 06/23 17:52
4F：→ kobala:既然已经有动作了 那应该不难抓到纪录 06/23 17:52
5F：→ kobala:除非对方还做到一些修改发送端(你公司电脑)的方式 06/23 17:53
6F：→ kyshiao:挂SNIFFER抓一下封包吧 06/26 17:02