逆雪寒 发表于 2013-04-25 16:48

如何快速判断机房内网ARP？

这几天遇到黑客 黑首页。。。经过两天排查 最后发现是 ARP劫持。。 走了很多弯路。。

最后是 通过ifconfig em0 -arp

让外网IP 暂不响应 ARP 来进行判断。。    这回 黑客就无法劫持了。。   我想请教下 大家有木有更好的直接了当的办法判断？

tcpdump -i em0       看里面有很多arp 记录。。   但似乎都是正常的。。。

求指点..感谢

环境是：

freebsd 8 系统

macafee 发表于 2013-04-25 17:27

直接在上层交换机上绑定就行，另外单独划分VLAN即可解决。

逆雪寒 发表于 2013-04-25 17:39

嗯 是的。 这个是解决这个问题。。。 但我想直接 咋第一时间判断是ARP 劫持呢。

HonestQiao 发表于 2013-04-25 17:58

机房arp是机房告诉你的哦

逆雪寒 发表于 2013-04-25 18:10

回复 4# HonestQiao

机房告诉个P 。。。。 还是我自己发现的呢。。

   

HonestQiao 发表于 2013-04-25 18:20

回复 5# 逆雪寒


   
机房不告诉的话，当年您老是怎么放机器进去的呢？
或者你的前任，前前任呢？

chenyx 发表于 2013-04-25 18:21

没问题的时候,记下网关的mac,直接静态绑定,他就没招了吧

逆雪寒 发表于 2013-04-25 18:24

回复 7# chenyx


嗯 bsd 这边 绑定了 网关的MAC但是 一样被ARP劫持 黑了首页


我想是因为 你从服务器版定的 MAC 是服务器 ->网关

但是网关 -> 服务器 这边没有绑定 就直接被黑了。。所以还得在路由上或交换上做绑定才行


   

chenyx 发表于 2013-04-25 18:26

嗯,让机房的人做绑定.
不过绑定也有缺陷,你的网卡换了,麻烦点

逆雪寒 发表于 2013-04-25 18:31

回复 9# chenyx


嗯 机房刚做了 端口绑定了。。。呵呵 就是在想 系统级咋 检测咋预防。。。
页: [1] 2
查看完整版本: 如何快速判断机房内网ARP？