xu言:

最近生了一场病,虽然不是给自己找理由不写。不过果不其然还是没有坚持每天发一篇啊。不过,有时间我还是会把一些有意思的事情记录下来。以作备忘吧。这人老了记性就不好了。哈哈哈,当然,也侧面说明了。做一件小事,坚持很重要。当然,比坚持更重要的是思路和方法。

昨日,无意在公司开了一下Xarp工具(高级ARP欺骗检测工具)。 = 。=之前做实验发现的一个工具,自己感觉用起来还不错。突然发现了大量频繁的某mac地址和某ip在发送ARP包:

对应提示的IP地址是192.168.137.135 (ip地址和mac均载局网内找不到) 从ip地址结构来看,类似安装了虚拟机分配的一个临时ip地址

奇怪的事,内网我在核心华为交换机上 dis arp all | incl <mac节略部分> 仅查到一个相仿的2个mac地址

90-b1-1c-26-00-e1 (dell服务器em1网卡)

90-b1-1c-26-00-e2 (dell服务器em2网卡)

所以,排查思路首先定位到相仿的一台Dell服务器上面:从网卡命名规律来看,应该是这台dell服务器的第三张网卡.

然而...这服务器仅仅只有2张物理网卡!!!

这就“灵异”了。。。

本着打破砂锅问到底的精神,尝试设置了一个和192.168.137.x同段的ip地址去ping,还真能ping通。。然后使用nmap去查也并未有收获。

突然,思路就想把这台相仿的服务器网卡拔掉看看。

果然,拔掉em1的物理网卡的时候。192.168.137.135出现的丢包。证明物理接口给这个诡异的ip和mac提供底层。

然后,这个服务器上安装的是一个centos6.9的系统,寻找到权限后继续排查。从网卡配置文件上看到了这个“灵异”MAC

为了确认这个MAC地址是否为初始的mac还查看了cat  /etc/udev/rules.d/70-persistent-net.rules 这个配置文件

发现应该是人为做“桥接”模式的时候修改的这个mac地址。

MAC修改回来后,把服务器做了一次关机。然后重新开启,局网内没有再见到发送ARP包。

后续研究:

后来对本次的局网的ARP报进行了下查询

Gratuitous ARP也称为免费ARP。无故ARP。Gratuitous ARP不同于一般的ARP请求,它并不是期待得到IP相应的MAC地址,而是当主机启动的时候,将发送一个Gratuitous arp请求,即请求自己的IP地址的MAC地址。

也就是说,正常情况下为了检测ip地址冲突,在主机启动的时候会发送一个这个包。像我发现的这种大量的包,应该就是出现了异常。

Sum:

1.回顾了下Tcpdump 和 wireshare的使用

2.排查思路上,针对发现局网内出现的这种“灵异”mac地址。也始终要相信“电脑不会撒谎”,问题事在人为!

3.对于异常的网络数据包,一定要追究其真相。整个过程也是学习思考的一个很重要的过程。

参考资料:

https://www.cnblogs.com/gavanwanggw/p/6721384.html

https://www.cnblogs.com/f-ck-need-u/p/7064286.html

记一次排查局网内的ARP包 “不存在的” MAC 地址及 “不存在的”IP 所发的ARP包的更多相关文章

  1. content内网,会显示内容,没有内容可地址存在就是这个情况

    漏洞地址:http://note.youdao.com/memory/?url=http://www.wooyun.org(如需登录,请注册登录) 正文预览的地方会读取URL地址的<meta n ...

  2. PHP中获取内网用户MAC地址(WINDOWS/linux)的实现代码

    做一个内网根据MAC地址自动登录的应用,在WINDOW 2003可以正常使用,函数如下   复制代码 代码如下: function ce_getmac() { if(PHP_OS == 'WINNT' ...

  3. 查找网内活跃IP和自动传输文本

    ifconfig p32p1|egrep -o "broadcast [^ ]*" |grep -o "[0-9.]*"grep -o "broadc ...

  4. 如何优雅排查现网服务器cpu飙高的问题

    1.排查现网服务器cpu飙高问题的思路 1.查看java进程id ps -ef|grep java 2.使用top -Hp 进程id 查看cpu比较高的线程 3.执行jstack 进程id > ...

  5. 通过js获取计算机内网ip,计算机名,mac地址

    <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xht ...

  6. 怎么查询局域网内全部电脑IP和mac地址等信息?

    在局域网内查询在线主机的IP一般比较简单,但局域网内全部电脑的IP怎么才能够查到呢?查询到IP后我还要知道对方的一些详细信息(如MAC地址.电脑名称等)该怎么查询呢??? 工具/原料 Windows ...

  7. 怎么查询局域网内全部电脑IP和mac地址..

    在局域网内查询在线主机的IP一般比较简单,但局域网内全部电脑的IP怎么才能够查到呢?查询到IP后我还要知道对方的一些详细信息(如MAC地址.电脑名称等)该怎么查询呢??? 工具/原料 Windows ...

  8. Android 获得本地IP地址、外网IP地址、本设备网络状态信息、本地Mac地址

    本地内网IP和外网IP的区别: 根据我的经验一台电脑需要两个ip才可以上网,一个是本地的内网ip 一个是外网的ip 本地的ip 一般是192.168.1.2这种样子  只要在不同的路由器上可以重复 外 ...

  9. 使用ARP获取局域网内设备IP和MAC地址

    根据Arp列表数据,查询本地设备在线状态 使用 arp -a 获得所有内网地址,首先看Mod对象 public struct MacIpPair { public string HostName; p ...

随机推荐

  1. bzoj 2844 albus就是要第一个出场 - 线性基

    题目传送门 这是个通往vjudge的虫洞 这是个通往bzoj的虫洞 题目大意 给定集合$S$,现在将任意$A\subseteq S$中的元素求异或和,然后存入一个数组中(下标从1开始),然后从小到大排 ...

  2. CEF3开发者系列之Cookies管理和共享

    涉及网页登录相关的技术,Cookies肯定是忽略不了的.由于项目的需要,要做一个双核的产品.双核间切换会涉及到登录状态的问题,共享Cookies是一个很好的方案.既然涉及到共享cookies,那么读取 ...

  3. Python3 tkinter基础 Canvas background 创建白色的画布 create_line width 画宽的线

             Python : 3.7.0          OS : Ubuntu 18.04.1 LTS         IDE : PyCharm 2018.2.4       Conda ...

  4. Requests 源码阅读笔记

    models.py class Request(RequestHooksMixin): def __init__(self, method=None, url=None, headers=None, ...

  5. 总结: 在fc23中, 安装音频mp3 视频flv 的播放插件其实很简单, 只要一步就可以了: dnf install gstreamer1-libav

    同样是 firefox, 单词的在线发音, 跟 百度mp3的在线播放不是一样的!!! 百度/优酷 的在线播放, 用的确实是 flash player , 所以 你安装好libflashplayer后, ...

  6. ppoint的使用

    ppt中的所有东西都要看作是 "对象" . 对 "对象"的操作逻辑是: 单击, 右键单击,双击(右键的时候, 直接就右键, 不必先选中再右键操作) 在ppt中, ...

  7. How can I move a MySQL database from one server to another?

    My favorite way is to pipe a sqldump command to a sql command. You can do all databases or a specifi ...

  8. html 之 position 绝对定位与相对定位(待补充)

    相对定位:对于区块标签而言,占着原有的空间 绝对定位:对于网页而言,不占原来的空间

  9. oracle 之 统计函数、子查询、操作符

    统计函数 COUNT():查询表中的数据记录 AVG():求出平均值 SUM():求和 MAX():求出最大值 MIN():Q求出最小值 子查询   [单行多列] select * from a wh ...

  10. LuoguP5221 Product

    题目地址 题目链接 题解 注,下方\((i,j)\)均指\(gcd(i,j)\),以及证明过程有一定的跳步,请确保自己会莫比乌斯反演的基本套路. 介绍本题的\(O(n)\)和\(O(n\sqrt{n} ...