2024年3月22日发(作者：)

安全攻略　

利用抓包工具分析与解决　

因ＡＲＰ广播风暴导致的网络故障　

黄凯华　

（江西省抚州市信息中心，江西抚州３４４０００）　

摘要：通过实例详细介绍了如何利用抓包软件等网管工具分析和解决因ＡＲＰ广播风暴导致的网络故障，以保障网络的安全、　

稳定运行。　

关键词：抓包工具；ＡＲＰ广播风暴；网络故障　

Ａｎａｌｙｓｉｓ　ａｎｄ　Ｓｏｌｕｔｉｏｎ　ｆｏｒ　Ｎｅｔｗｏｒｋ　Ｆａｕｌｔ　ｂｙ　Ｓｎｉｆｆｅｒ　

ＨＵＡＮＧ　Ｋａｉ—ｈＵａ　

（：ｕｚｈｏｕ／Ｔ　ｅｎ吉ｅｒ．ＦＵＺｈＯＵ，Ｊ／ｅｎｇｘｌ￣４４０００，ｃ　娩１）　

Ａｂｓｔｒａｃｔ：Ｔｈｉｓ　ｊＳ　ａ　ｃａｓｅ－－ｂａｓｅｄ　ｐａｐｅｒ　ｗｈｉｃｈ　ｄｅｔａｉｌｓ　ｈｏｗ　ｔｏ　ｕｓｅ　ｓｎｉｆｆｅｒ　ｔｏｏｌ　ｔｏ　ａｎａｌｙｓｅ　ａｎｄ　ｓｏｌｖｅ　ｔｈｅ　ｎｅｔｗｏｒｋ　ｆａｕｌｔ　ｔｈａｔ　ｃａｕｓｅｄ　ｂｙ　ＡＲＰ　ｓｐｏｏｆ　ｊｎ　

ｏｒｄｅｒ　ｔ０　ｅｎｓｕｒｅ　ｔｈｅ　ｎｅｔｗｏｒｋ　ｔｏ　ｋｅｅｐ　ｓｔａｂｌｅ．　

Ｋｅｙ　ｗｏｒｄｓ：Ｓｎｉｆｆｅｒ；ＡＺＰ　ｓｐｏｏｆ；Ｎｅｔｗｏｒｋ　Ｆａｕｌｔ　

１引言　

状况，其流量也很正常。流量没什么异常，为何网络不通，　

众所周知，电子政务是政府在其管理和服务职能中　而且是大部分单位的业务都不正常呢？看来这次故障和以　

运用现代信息和通信技术，实现政府组织结构和工程　往那些病毒主机大量发包占用网络带宽的情况不同。由于　

流程的重组优化，超越时间、空间、和部门分割的制　所有单位的网关都做在核心交换机￥８０１６上面，于是笔者　

约，全方位地向社会提供优质、规范、透明服务的重要　

开始怀疑是不是￥８１０６出了什么问题。当即登录上去，查　

手段。它涵盖了政府内部办公和面对公众的信息服务两　

看其系统Ｅ１志、告警信息以及配置信息等，均未发现什么　

大方面，故其安全性显得尤为重要。目前，国内政务网　

异常。既然通过流量监控等手段无法查明故障原因，看来　

的安全主要存在以下几个方面的风险：一是ＤｏＳ／ＤＤｏＳ　

只有改变策略，配置端口镜像抓包，通过对数据包进行详　

攻击、ＤＮＳ欺骗攻击，会造成服务器服务的中断，影响　细分析进而找出问题所在。而￥８０１６处于网络接入的核　

业务的正常运行；二是内部用户通过Ｓｎｉｆｆｅｒ等嗅探程序，　心层，其接入端口众多，流量也很大，如果对所有端口同　

获得系统用户名和口令等关键信息或其他机密数据，进　时进行抓包的话，抓包所用的电脑性能再好也很难快速处　

而假冒内部合法身份进行非法登录，窃取内部网重要信　

理如此多的数据包。因此，只能对各个端口分别进行抓包。　

息；三是内部用户通过扫描软件获取其他用户系统或服　

于是，笔者决定先对￥８０１６下面所接单位受影响最为严重　

务器的各种信息，并利用这些信息对整个网络或其他系　

的一个端口进行抓包处理。抓包情况如图１、图２所示。　

统进行破坏。除此之外，它还时刻面临着来自网络病毒　

蛀汁　当苜彗　

霉撬　臻鼙戗　字节　鼍羹　

等的威胁。因此，作为政务网管理人员需要时刻保持高　

拜拣瞎辨　２　Ｃ｛Ｂ－ｉ一　

拜螂雕目　ｉ：：０１：４４　

持续雕递　０：∞：４：　

度警惕，当网络安全受到威胁时能够及时果断出击，保　

籍　蠹蕉毪　字节　蠹蔼　

麓事节　２　９２，≮　：，　

障其稳定运行。　

息茫赘整雹　：　，∈　

厂播意｛ｔ　２｛÷　≥’０　—　｛　，０：　

耋播怠汁　ｌ　：：｛　：　，｝　

平均哮拥牵酒≈峨　５一∈　；　

平均删璃霉　５７，＃ｉ　，９１７　１一：　

２网络故障的分析与解决　

当前划精攀（百对　￡　ｓ｛　３；　

当前　甩举白　辩　ｓ｛，　０４一：２　

最竞刹霸事　封　ｇ｛“｛　

２．１网络故障的分析　

§★帛　黧１ｂ”｝　秘，Ｉ｛｝　４￡　

笔者作为一名网管人员，每天都会遇到不同的网络故　

图１数据包统计情况　

ＩＰ　蠢蒜琶　掌节　纛篮　

障。近Ｅｌ笔者所在政务网就出现大面积断网故障，当天上　

－Ｃｐ　Ｓ｛ｆｃ　ａ　，０　ｇ　Ｓ　

ＴＣＰ　Ｂ　《　

午相继接到十多个单位电话报告网络异常，上网断断续续，　

ＴＣＰ＆Ｓ％　２９　

Ｐ＆…ｂ　：４　，：§　，　∈　；？　

２—０　§　０　９２　

基本上处于瘫痪状态。由于笔者以前也遇到过不少类似情　

蚺　§　雒　ｆ　ｆｅ０　２４：　§４０　

￣．ＡＲＦ　…　￥０　０　

况，基本上都是由于某个（些）单位内部爆发病毒，占用　

ＲＡＲＰ％…；　０　

姐　躺☆ｅ　ｅ　０　

网络带宽，导致网络拥塞，造成正常流量无法传递。所以，　

图２　ＡＺＰ请求及响应情况　

笔者在接到报告后，第一反应就是网络爆发病毒了。于是，　

从图１软件的统计结果中我们可以看出，在４１秒　

笔者立即在网管服务器上打开流量监控软件，首先查看核　

的时间里，共捕获数据包６１８６４８个，其中广播包就有　

心交换机￥８０１６各端口的实时流量，未发现流量异常。紧　

２４９５７０个。而根据图２的ＩＰ协议分析结果，我们不难　

接着分别查看了￥８０１６下面所连的各接入交换机端口的　

看出，其中发送的ＡＲＰ请求的广播包有２４９１５６个，占　

据广播包总量的９９．８％。而核心交换机￥８０１６响应的　

ＡＲＰ请求只有２１３个，响应率不足１‰。由此，我们可　

以分析得出，网络中存在ＡＲＰ广播风暴。局域网中肯　

定存在一台（或一些）病毒主机，它（们）不断地向核　

心交换机￥８０１６发送ＡＲＰ广播包，这势必影响￥８０１６　

处理来自客户端正常的ＡＲＰ请求的效率。当病毒主机　

发送的ＡＲＰ请求在数量和速度上到达￥８０１６的处理极　

限时，它就无法予以响应。一旦客户端发送的ＡＲＰ广　

播请求，得不到及时响应，就不能获得目标主机的正确　

ＭＡ　Ｃ地址，也就无法正常访问业务。这也正是为何很　

多单位的客户端上网断断续续，甚至根本无法访问网络　

的原因。既然知道问题所在，接下来要做的就是分析数　

据包的详细信息，找出病毒主机的来源，将其断网杀毒，　

故障自然就会得以解决。同时，经过上述分析，我们判　

断网络中存在ＡＲＰ广播风暴，为了快速定位网络病毒来　

源，我们可以将ＡＲＰ广播包过滤出来，结果如图３所示。　

＃　日　《　．－　｝ｇ　《日　

图５过滤出来的ＡＲＰ包　

从图３我们不难看出，所有的ＡＲＰ请求基本上都是　

来自ＭＡＣ地址为００：２１：２７：８Ｃ：３４：１Ｅ的主机。由此可　

以断定这台主机一定有问题，它很有可能就是影响整个　

网络的“元凶”。经过对部分数据包的进一步分析，它的　

ＩＰ地址（如图４所示）为１９２．１６８．１．１。而网络中根本　

不存在这个地址，所以应该是伪装的。　

～…ｔ＊０　ｃ　

、　～　’

＝

…　，　一一　０一　

０　一　一２一’：４　＝　

｛　一　

冀　鐾叠　ｉ生！！ｔ　

＃　．　

蝴　：　

搿　“　

协　ｈ　４　

ｊ　ｍ　

；｝　。　。　’　

…　““　一　。

Ｉｃ＝ｏ量　

々　ｔ　、“　　‘ｔ　－　

｝　Ｉ１　｛　

ｙｔ《　

　、｝　一　

ｓ　Ｆ　…　ｅ　

＃．　…　ｉ　～：　

图４数据包解码　

２．２　ＡＲＰ广播风暴的处理　

为了能够尽快减小ＡＲＰ广播风暴对整个政务　

网的影响，笔者在￥８０１６镜像端口下联的二层交换　

机￥３０２６配置了Ａ　ＣＬ，禁止对来自ＭＡ　Ｃ地址为　

（）０：２ｌ：２７：８Ｃ：３４：１Ｅ的数据包进行转发。命令如下：　

［Ｏｕｉｄｗａｙ］ａｃｌ　ｎｕｍｂｅｒ　４０００　

［Ｑｕｉｄｗａｙ～ａｃｌ—ｌｉｎｋ一４０００］ｒｕｌｅ　０　ｄｅｎｙ　ｉｎｇｒｅｓｓ　ａｎｙ　

ｅｇｒｅ￣００：２ｌ：２７：８Ｃ：３４：１Ｅ　００００－００００－００００　

安全攻略　

［ＱＵｉｄｗａＹ—ａｃｌ—ｌｉｎｋ－４０００】Ｆｕｌｅ　１　ｄｅｎＹ　ｌｎｇｒｅｓｓ　

００：２ｌ：２７：８Ｃ：３４：ｌＥ　００００—００００—０Ｏ００　ｅｇｒｅｓｓ　ａｎｙ　

蝴蛳　辨㈣　鼬　瓣赫　鲫鞫瓣鳓　肼鼢瓣栅瓣辫辩　

【Ｑｕｉｄｗａｙ］ｐａｃｋｅｔ－ｆｉｌｔｅｒ　ｌｉｎｋ—ｇｒｏｕｐ　４０００　ｒｕｌｅ　０　

［Ｑｕｉｄｗａｙ］ｐａｃｋｅｔ—ｆ￣ｔｅｒ　ｌｉｎｋ—ｇｒｏｕｐ　４０００　ｒｕｌｅ　１　

与此同时，为了彻底解决病毒对全网的影响，还　

需要找出病毒主机的确切位置，即ＭＡ　Ｃ地址为　

ｏ０：２ｌ：２７：８Ｃ：３４：ｌＥ的主机所在网段。而数据包解码显　

示它的ＩＰ地址是伪装的，看来要找出它的真实地址还真　

需要费一番周折。好在笔者平时有备份ＩＰ和ＭＡＣ的习　

惯，通过查找ＩＰ—ＭＡＣ备份记录，发现该ＭＡＣ地址　

来自网段１０．３３．１４５．０／２４。于是笔者马上与使用此网段　

的单位取得联系，告知其局域网存在ＡＲＰ攻击，希望　

尽快找出病毒主机，对其隔离并进行杀毒处理，以免影　

响全网的安全稳定运行。鉴于该单位无专门网络管理人　

员，笔者也在第一时间赶到现场，以从旁协助。在该单　

位网络机房，笔者发现其内部网络很简单，只有一台华　

为二层交换机，上行端口通过光电收发器连接至笔者所　

在的政务网主机房，其他的端口都为下行口，连接各办　

公室的客户端。于是，笔者把疑似病毒主机的ＭＡ　Ｃ及　

可能ＩＰ告知对方，希望他们能够迅速找出该主机。可惜　

他们缺乏专业的技术人员，根本没有相应的ＩＰ和ＭＡ　Ｃ　

记录。正当笔者准备用笔记本对该单位的接入交换机进　

行抓包以找出该主机所来自的端口时，发现有两个端口　

指示灯异常。其中一个就是上行口，另　个为连接客户　

＾　一；：：