在收到他发过的来数据包之前,偶还在捉摸着有哪些的可能性,生怕他捕的包看不出问题,那样恐怕得跑上一趟了。
等到他把数据包发过来后,偶立刻打开,看到第一页,偶就松了口气,看起来,故障非常简单。请看图:
从上图我们看到,192.168.0.66的那台机器在0.000276秒的时间内连续往不同主机的ms-sql-S 端口发出了5个大小为66字节SYN(看上图红线所指)数据包,而且没有任何ACK的回应。这是极不正常的。再往下看,主机所发往EPMA(135)的数据包也是如此。由此我们基本可以猜测,他的内网有机器中毒了。为了证实这种猜测,我们继续分析。我现在想得到的数据是,看他此类数据包在整个流量内的比重。因为此类数据包有两个重要特征,一个是大小,都为66字节,一个只是SYN,没有Ack,所以,我们先从这两方面下手。看下图:
上图所示,65-127的数据包占全部通信量的81.96%。接着看:
联系客服