网管经验谈：内网病毒缉拿记

　　安装Sniffer针对出问题的网段进行扫描，笔者发现MAC地址为000BDBC2F6C5的机器频繁发送广播数据包，数量比较大。（如图4）

　　图4

　　将MAC地址切换到IP信息后笔者发现这台可疑机器的IP地址为10.82.4.89，另外从扫描的图表中我们看到了10.82.4.89这台计算机不光频繁发送广播包，还发送了基于239.255.255.250地址的组播包，这在我们平时各种服务和应用中更是少见，这点增加了他的可疑性。（如图5）

　　图5

　　为了确定笔者的想法本人通过sniffer只针对该一台机器进行扫描，并且在扫描的同时通过网络来访问之前出现问题的两台服务器应用，结果发现只要笔者在浏览器中输入地址访问办公邮件系统或信息平台，回车后10.82.4.89这台机器就马上发送数据到239.255.255.250地址，进行组播数据传输。看来这台机器是罪魁祸首的可能性已经超过百分之八十。（如图6）

　　图6

　　小提示：

　　通过主机扫描笔者发现该机器名为dellesp，地址是10.82.4.89，MAC信息是000BDBC2F6C5。可惜该分支机构DELL机器有几十台，由于平时没有按照科室的序号对计算机命令，所以无法从dellesp信息来定位故障来源。这点需要引起重视，应该在以后的维护中将各个员工机按照一定的顺序命令和归纳。

　　（2）过滤可疑机：