解读防火墙记录(四)6

le包：
　　
　　00 00 BA 5E BA 11 00 60 97 07 C0 FF 08 00 45 00
　　00 38 6F DF 00 00 80 01 B4 12 0A 00 01 0B 0A 00
　　01 C9 03 03 C2 D2 00 00 00 00 45 00 00 47 07 F0
　　00 00 80 11 1B E3 0A 00 01 C9 0A 00 01 0B 08 A7
　　79 19 00 33 B8 36
　　
　　其中字节03 03是ICMP的类型和代码。最后8个字节是原始UDP头，解码如下：
　　08A7 UDP源端口 port=2215，可能是临时分配的，并不是很重要。
　　7919 UDP目标端口 port=31001，很重要，可能原来用户想连接31001端口的服务。
　　0033 UDP长度 length=51，这是原始UDP数据的长度，可能很重要。
　　B836 UDP校验和 checksum=0xB836，可能不重要。
　　
　　你为什么会看到这些？
　　
　　“诱骗UDP扫描”：有人在扫描向你发送ICMP的机器。他们伪造源地址，其中之一是你的IP地址。他们实际上伪造了许多不同的源地址使受害者无法确定谁是攻击者。如果你在短时间内收到大量来自同一地址的这种包，很有可能是上述情况。检查UDP源端口，它总在变化的话，很可能是Scenario。
　　
　　“陈旧DNS”：客户端会向服务器发送DNS请求，这将花很长时间解析。当你的DNS服务器回应的时候，客户端可能已经忘记你并关闭了用于接受你回应的UDP端口。如果发现UDP端口值是53，大概就发生了这种情况。这是怎么发生的？服务器可能在解析一个

页码：[1] [2] [3] [4] [5] [6] [7] 第6页、共7页

设为首页 | 加入收藏 | 广告服务 | 友情链接 | 版权申明