作者littleboy ()
看板Network
標題[問答] 沒有安裝網路監控軟體的情況下能查出過去的封包記錄嗎?
時間Sat May 21 02:20:53 2011
不知道po在此版有沒有違反版規，如果有違反還請來信告知。
我的學校嚴格禁止使用P2P，然後在昨天我收到了一封信，告知我在5/15 16:46 ~ 17:36
有使用過P2P的記錄，如果我沒有辦法找出原因來解釋並且提出預防方法，
則我的筆電就必須要被收去強制重新安裝系統。
給我的提示只有一行:
2011,P2P: PPStream Traffic Detected, 10138
我的確有安裝PPStream，不過我沒有在學校使用過，最近兩三個月內也沒有使用過，所以
我只有三個方向懷疑。(那時候研究室就只有我一個人，所以不會是別人用的)
1. PPStream 自己在背後有traffic，例如上傳已看過影片
//不過這個疑點是:
(1)我的PPS沒有設成開機會自動啟動，
不過我檢查了一下ppsap.exe那個加速器倒是自己有開著
(2)安裝PPS也是很久以前的事情了，如果有早就應該會抓才是
2. PPStream 當時做了不定期的更新動作
//這個疑點是:
(1)網路上我找不到PPS當時有更新的證據
(2)更新應該不是使用P2P吧?(我猜的)
3. 根本就不是PPStream搞的鬼，而是其他類似行為的P2P軟體
//不過我那時候應該是沒有使用任何P2P軟體才是，包括Skype也沒有
唯一有可能的就是點網路上的影片在聽歌，類似Youtube那種
(這個會有可能是P2P嗎?例如土豆網之類的雖然我不記得自己有沒有使用...)
因此，我想請問以下幾點，
1. 有辦法查出上次執行某程式的時間嗎?
我想要證明那個時間點我沒有開啟PPS，可是我試過
打開資料夾後的(修改日期 建立日期 存取日期 上次儲存日期 日期)，
沒有一個會因為開啟檔案而改變。 (我的OS是Win7)
控制台裡面的"程式和功能"，打開"上次使用在"的選項卻都是空白的。
2. 有辦法查出PPS在什麼時間點有做更新的記錄嗎?
或者是有哪些常見的P2P軟體可能在背後做梗呢?
(當然我沒有開PPS,Skype,eMule等等的軟體)
3. 有辦法在之前沒有安裝網路監控軟體的情況下，查出過去的封包記錄嗎?
(雖然感覺好像不太可能...)
教授說，如果找不出來當時確切的原因，就算刪掉PPStream也不行，因為可能根本原因就
不是來自於那裡，有可能有漏網之魚...
阿咧...#$@#%!@
如果有人知道有什麼辦法可以解決以上任何一個問題，
還請幫幫忙教教小弟，我真的會非常非常感謝你!!
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 222.151.44.176
1F：→ wst2080:PPS 很容易鬼鬼"崇崇" 的... XD 去工作管理員關閉 05/21 06:08
2F：→ wst2080:然後再觀察網路流量比較實際... 05/21 06:08
3F：→ wst2080:光只是關閉PPSTream是不夠的 還有PPSAP之類的 05/21 06:09
4F：→ wst2080:兩個程式都須經過工作管理員強制關閉後 才算真正關閉 05/21 06:10
5F：推 liskenny:列一堆理由 卻不肯合理懷疑原始安裝時已中後門或木馬 05/21 08:18
6F：→ likol:很多軟體都躲在後台偷吃頻寬(尤其大陸軟體 05/26 06:32
7F：→ likol:防火牆直接deny掉就好了,就算你把autorun delete下次你開 05/26 06:33
8F：→ likol:他還是會幫你自動啟動 05/26 06:33