BT流量走TCP端口占用和蠕虫攻击案例解决专项方案.docxVIP

BT流量走TCP80端口占用和蠕虫攻击

故障描述

最近一用户反应她们网络很慢，打开网页很慢，邮件有时也无法正常收发。她们想了解是什么原因造成网络这么慢。

开始用户把自己子网100.0这个网段van流量做了镜像。然后向分析为何这么慢，我看了下抓取数据，发觉100.0这个网段数据是正常，只是比较慢。然后又问了下用户只是100.0这个网段慢吗？用户说是整个网络全部很慢。假如整个网络全部慢那只在一个网段抓包，那取得数据是不全方面。于是我提议用户将镜像改为镜像网络总出口流量。

用户网络拓扑是经典企业网络：

Internet(铁通15M）-----FW----关键SW---汇聚SW--各接入SW

将关键SW上联到FW端口镜像。然后设定对应分析方案。依据用户实际网络带宽我们将网络带宽配置成15M（电话给SP了解，15M是总带宽，包含上行和下行带宽。上下行百分比不做限制）图：

依据用户需求，用户想了解自己网管网络IP节点情况，于是想将100.0这个网段能独立监控。我在IP节点里面添加这个网段就能够了

前期设置完成我们选择全方面分析方案进行抓包。

分析过程

在抓包过程中我们边进行了分析，设置了网络利用率后发觉网络一直处于利用率100%状态，图：

我们知道100%网络利用率就意味着网络满负荷运行，没有多出带宽来支撑新网络服务，而正在运行Internet服务也会是延时较大

诊疗视图也验证了我们见解。

我们看到TCP应答慢，TCP数据包重传和HTTP服务器慢响应等等这些诊疗信息全部告诉了我们，网络延时很大。

以上全部是我们能够了解现在网络状态情况。那到底是什么造成网络利用率如此之高呢？

首先我们对内网IP做一下流量排名；

然后针对排名较为靠前IP做下分析发觉她们之所以有如此大流量，实际上是进行是BT传输。但用户立即反驳说她们在防火墙上设置了严格策略对BT流量进行限制，封了UDP和TCP高端口，而且对要求了每个IP连接数等策略，按道理不会有BT传输，但实际是这么吗？

首先我们来看流量最大IP矩阵：

发送数据包，比接收数据要多。而且UPD会话流量较大，但采取UDP小端口进行：

而且最难以防范是BT走正常TCP80端口传输。我们在流量比较大主机上全部发觉了这种情况，TCP80端口被占用：

这种大量80端口被BT占用所产生数据量，造成80端口流量占总流量达成80%以上。而且此种80传输是防火墙默认放行（总不能让人不上网吧！）而且其连接数也不多。恰好能够绕过防火墙设置进行下载，而且现在大多数BT协议全部支持这种借用80端口进行传输，如迅雷，经过简单设置就能够实现：

另外在此次网络检验中我们也发觉了蠕虫情况。对内网IPTCP会话进行排名我们发觉IP7流量较小只有122KB但其TCP会话排名第二位，（第一位是其内部服务器）我们对此IP进行定位分析，看其TCP会话发觉蠕虫特征图：

图，该IP在向互联网随机IPTCP445端口发送大量SYN数据包。而且大多全部无响应。矩阵视图，直观链接图：

经过以上部分特点我们能够得出该IP中了共享式蠕虫并向互联网做探测。

分析总结

经过网络分析了解网络慢是比较直观和正确。BT协议越来越智能化，对于这种协议我们能够经过部分流控设备进行控制，日常安全检验是十分有必需，没有绝对安全网络，即使网络中有IDSFW这些安全设备，但新型蠕虫和病毒木马仍然能够渗透网络。