菜鸟斗法:巧利用Iris来查找蠕虫
近些年，蠕虫病毒的每一次大规模爆发，都给网络天下带来了深重的灾祸。蠕虫病毒有着很强的粉碎性，一个局域网中只要有一台电脑感染了蠕虫病毒，就有可能惹起网络性能下降、网络阻塞，严重的还会招致网络瘫痪。
对于蠕虫病毒的检测，平凡用户通常经过更新杀毒软件的病毒库，来果断电脑是否感染了蠕虫病毒；但作为局域网的办理者，是否有须要亲自去更新每台电脑的病毒库呢？何况纵然更新了杀毒软件的病毒库，也未必一定能检测出最新的蠕虫病毒。下面笔者向各人推荐一个叫Iris软件，它是网络办理员的好帮手，能疾速有效地查找出网络中的蠕虫病毒。
W32.Sasser(“震荡波”)系列病毒是一种利用微软操纵体系的Lsass缓冲区溢露马脚(MS04-011)举行流传的蠕虫病毒。由于该蠕虫在流传过程中会发起大量的扫描，因而对网络运行会形成很大的打击。W32.Sasser.B.Worm(以下简称Sasser.B蠕虫)是该系列的一个变种，此病毒经过在已被感染的机器上开启TCP端口5554建立FTP服务器，并经过445端口扫描随机的IP，向毗连成功的机器发起攻击，进一步感染其它机器。受感染的体系会呈现倒计时对话框，频沉重新启动，体系运行速度显着减慢或死机，上网只能持续很短时间就无法浏览网页等征象。
想疾速检测是否感染此病毒可以经过如下操纵：
在下令状态下输入“netstat -an”下令。要是呈现类似如图1所示的清单，则说明已经感染。
从上我们可以获得以下信息：Sasser.B蠕虫在445端口的状态(State)不是监听(Listening)，也不是建立(Established)，而是等待毗连(SYN_SENT)，且它要求等待毗连的地址都是随机孕育发生的地址，根本无法抵达，所以当这些要求毗连的数据包传送到互换设备后，由于目标地址不行能抵达，很容易形成大量数据驻留，从而惹起网络瘫痪。
利用Iris检测SasserB蠕虫，具体步骤如下:
在做署理大概地址转换的主机上安装Iris软件
Sasser.B蠕虫所发送的数据包并不是播送包，而是有明确目标地址。这些数据包间接颠末署理大概地址转换寻找目标地址，并非像ARP播送包一样发送到局域网中的每一台主机。所以我们说，Iris软件只能安装在做署理大概地址转换的主机。
启动Iris软件举行端口设置
选择“Filter”下拉菜单下的“Edit Filter”下令，在弹出的“Edit filter settings”对话框中，选择右边框架中“Ports”下令，把445端口作为端口过滤东西。Sasser.B蠕虫病毒试图经过445端口建立数据毗连，并非其他端口，所以只要对445端口举行监控即可。
捕捉数据阐发数据
选择东西栏上“开始”下令按钮，开始捕捉数据。
从捕捉到的数据中我们可以获知：一台IP地址为10.44.5.73的主机在短时间内经过端口445向目标地址发送大量数据包，而且这些目标地址都是随机孕育发生的，是不行抵达的。
随着时间的积累，大量数据包因找不到目标地址，很容易驻留在互换设备中，惹起网络阻塞。若呈现上述环境，我们就可以判定该主机中了Sasser.B蠕虫病毒。
下面的实例详细说明了Iris软件的利用要领，固然Iris软件中还有许多功能，比如统计功能，日志功能等，对蠕虫病毒的监测也很有帮助。
固然蠕虫病毒在互联网上放肆泛滥，给人们带来了很大的丧失，但只要我们提高网络宁静办理的水平，加强用户的宁静认识，就一定能把丧失降到最低。
- 文章作者: 福州军威计算机技术有限公司
军威网络是福州最专业的电脑维修公司,专业承接福州电脑维修、上门维修、IT外包、企业电脑包年维护、局域网网络布线、网吧承包等相关维修服务。
版权声明：原创作品，允许转载，转载时请务必以超链接形式标明文章原始出处 、作者信息和声明。否则将追究法律责任。
TAG:
|
评论加载中...
|
