我和.net

主要讲述Sharepoint以及OfficeSystem和在.net下的开发和应用

导航

恼人的ARP病毒

这两天检查交换机日志,发现日志里报告ip冲突 :

2006-12-21 09:27:26    Local7.Warning    172.20.100.180    Dec 21 09:42:20 2006 Quidway ARP/5/DUPIP:IP address 172.20.35.3 collision detected, sourced by 0014-2247-7dc9 on Ethernet0/8 of VLAN35 and 0010-c6dd-570f on Ethernet0/8 of VLAN35

2006-12-21 09:27:26    Local7.Warning    172.20.100.180    Dec 21 09:42:20 2006 Quidway ARP/5/DUPIP:IP address 172.20.35.3 collision detected, sourced by 0014-2247-7dc9 on Ethernet0/8 of VLAN35 and 0010-c6dd-570f on Ethernet0/8 of VLAN35

2006-12-21 09:27:36    Local7.Warning    172.20.100.180    Dec 21 09:42:30 2006 Quidway ARP/5/DUPIP:IP address 172.20.35.3 collision detected, sourced by 0010-c6dd-570f on Ethernet0/8 of VLAN35 and 0014-2247-7dc9 on Ethernet0/8 of VLAN35

2006-12-21 09:27:36    Local7.Warning    172.20.100.180    Dec 21 09:42:30 2006 Quidway ARP/5/DUPIP:IP address 172.20.35.3 collision detected, sourced by 0010-c6dd-570f on Ethernet0/8 of VLAN35 and 0014-2247-7dc9 on Ethernet0/8 of VLAN35

2006-12-21 09:27:42    Local7.Warning    172.20.100.180    Dec 21 09:42:36 2006 Quidway ARP/5/DUPIP:IP address 172.20.35.4 collision detected, sourced by 0014-2247-7dc9 on Ethernet0/8 of VLAN35 and 0010-c6dc-faf9 on Ethernet0/8 of VLAN35

2006-12-21 09:27:42    Local7.Warning    172.20.100.180    Dec 21 09:42:36 2006 Quidway ARP/5/DUPIP:IP address 172.20.35.4 collision detected, sourced by 0014-2247-7dc9 on Ethernet0/8 of VLAN35 and 0010-c6dc-faf9 on Ethernet0/8 of VLAN35

2006-12-21 09:27:51    Local7.Warning    172.20.100.180    Dec 21 09:42:45 2006 Quidway ARP/5/DUPIP:IP address 172.20.35.4 collision detected, sourced by 0010-c6dc-faf9 on Ethernet0/8 of VLAN35 and 0014-2247-7dc9 on Ethernet0/8 of VLAN35开始的时候,觉得是认为原因造成的,后来部长分析应该是0014-2247-7dc9这个MAC地址的计算机上有病毒或黑客程序一直在冒充 其他人的地址。

使用nbtscan扫描172.20.35.0/24这个网段,找到这个及其,经过和DHCP服务器核对无误 。然后,登录这个机器所在的172.20.100.35这台交换机,找到这个mac地址所在的端口,关闭该端口,确认是否的确是该mac的计算机在搞破坏。经过确认后,初步估计是病毒再捣乱。

经过我和两个同事一番折腾,最终没有找到原因,我想到了经常使用的"冰刃",于是下载了一个,问题出现了,在冰刃中查看进程,发现一个"wmbose.exe"的进程,关闭这个进程,世界就清净了,然后查看启动项,在MCU\microsoft\windows\currentversion\run\下,有一个启动项就是用来启动这个wmbose的,但是在系统自带的 regedit中却看不到这个项目。用冰刃删除之,问题总算解决了。

posted on 2006-12-22 11:45  皮皮  阅读(1656)  评论(1编辑  收藏  举报