某台主机被欺骗，需要截取什么样的包来分析？

ssffzz1

从第一个抓包来看：

IP 192.168.11.1 MAC 00：15：58：27：01：40
IP 192.168.11.62 MAC ：00:0a:eb:9c:ec:d0

从第二个抓包来看：
IP 192.168.11.1  MAC :00:30:6E:2C:5F:C6
IP 192.168.11.62 MAC :00:0A:EB:9C:EC0

两个比较不难发现 192.168.11.1的MAC存在问题，请再次核对该IP的正确MAC，以及你这个机器和对方机器的MAC地址表是否正确。

huopin

核对过，在任何一台主机上，包括被黑的那个主机，11.1的MAC地址都是正确的。00:30:6E:2C:5F:C6
11.62的正确MAC是00-1b-97-fd-43-f5
截图中看到的MAC是伪造的。

[ 本帖最后由 huopin 于 2009-1-20 10:13 编辑 ]

ssffzz1

既然两端ARP表正确就说明你没有被欺骗，估计你网络慢是病毒攻击的原因了。

无论如何出现的上面的那个MAC不正确的包都是不正常的，除非你中间过了3层，但是从你的拓扑看是没有的。

ttplay

从硬件入手, 网卡, 交换机端口,甚至交换机,:重启,替换.更换驱动

为什么要死死只看ARP呢?

huopin

原帖由 ttplay 于 2009-1-21 08:47 发表
从硬件入手, 网卡, 交换机端口,甚至交换机,:重启,替换.更换驱动

为什么要死死只看ARP呢?

因为内网有人盯上它了，我换MAC，换IP，换网卡它都OK，但只有一会。

[ 本帖最后由 huopin 于 2009-1-21 10:24 编辑 ]

ttplay

原帖由 huopin 于 2009-1-21 10:21 发表

因为内网有人盯上它了，我换MAC，换IP，换网卡它都OK，但只有一会。

你装个360,用里面的ARP防火墙就可以, 折腾啥呀