路由劫持是怎么回事 如何解救被劫持的路由器

　　路由劫持是怎么回事?

　　路由劫持可能是上層交換機(jī)或者電信核心交換機(jī)出現(xiàn)了故障。如果是這種原因，公司網(wǎng)絡(luò)內(nèi)部仍然是暢通的，路由器和交換機(jī)設(shè)備處于工作正常狀態(tài)。這種情況也是時(shí)有發(fā)生的

　　下面，我們就來(lái)看看如何解救被劫持的路由器。

　　一、案例再現(xiàn)——路由器被劫持了!

　　1、故障描述

　　某公司的內(nèi)網(wǎng)是在三層交換處劃分的VLAN，最后通過(guò)路由器與遠(yuǎn)程連接，網(wǎng)內(nèi)有近二百臺(tái)主機(jī)。前段時(shí)間網(wǎng)絡(luò)出現(xiàn)了這樣一個(gè)故障：公司網(wǎng)絡(luò)網(wǎng)速緩慢，且出現(xiàn) 延遲現(xiàn)象，登錄服務(wù)器很久都沒(méi)有響應(yīng)，時(shí)常提示超時(shí)。當(dāng)初判斷是網(wǎng)絡(luò)中有異常數(shù)據(jù)流，因?yàn)榫W(wǎng)絡(luò)中的交換機(jī)和路由器燈長(zhǎng)明、狂閃xp系統(tǒng)下載。

　　2、定位中毒客戶(hù)端

　　最初以為公司網(wǎng)絡(luò)部署不嚴(yán)密或者在網(wǎng)絡(luò)中存在ARP欺騙，ARP風(fēng)暴吞噬了網(wǎng)絡(luò)帶寬，影響了網(wǎng)絡(luò)速度。鑒于接入網(wǎng)絡(luò)機(jī)器太多，手動(dòng)全部查找很麻煩，決定借 助分析軟件來(lái)查。將安裝軟件的筆記本接入到中心交換機(jī)端口，經(jīng)過(guò)一個(gè)小時(shí)，根據(jù)軟件得到的數(shù)據(jù)分析，感覺(jué)是感染了蠕蟲(chóng)病毒，是些病毒在網(wǎng)絡(luò)中感染了其他機(jī) 器，產(chǎn)生了數(shù)據(jù)風(fēng)暴，使網(wǎng)絡(luò)性能下降。

　　根據(jù)軟件“診斷視圖” 中顯示的連接嘗試，發(fā)現(xiàn)有一臺(tái)IP為172.16.56.7的主機(jī)不正常。進(jìn)行定位分析后，判斷此主機(jī)可能感染了蠕蟲(chóng)病毒，且該病毒正在試圖感染其他主 機(jī)。病毒自動(dòng)通過(guò)網(wǎng)絡(luò)與其他主機(jī)的TCP 445端口建立連接，試圖感染其他主機(jī)，嚴(yán)重消耗了網(wǎng)絡(luò)資源，造成網(wǎng)絡(luò)性能下降，嚴(yán)重時(shí)會(huì)使整個(gè)網(wǎng)絡(luò)癱瘓。于是對(duì)此主機(jī)進(jìn)行了隔離，病毒查殺后，重新接入 網(wǎng)絡(luò)。

　　3、故障重現(xiàn)

　　本以為問(wèn)題得到解決，可第二天又出現(xiàn)了以前的情況，只是沒(méi)有以前大面積長(zhǎng)時(shí)間斷

　　網(wǎng)或停滯，還是有規(guī)律地發(fā)生網(wǎng)絡(luò)擁堵，網(wǎng)速緩慢。再次用分析軟件進(jìn)行抓包分析，通過(guò)分析發(fā)現(xiàn)大流量的數(shù)據(jù)是從外網(wǎng)通過(guò)路由器轉(zhuǎn)發(fā)到一個(gè)MAC地址為00- A0-D1-E5-17-05的主機(jī)上，這個(gè)數(shù)據(jù)占了外網(wǎng)流入量的80%以上。通過(guò)檔案資料查到了此主機(jī)為一臺(tái)服務(wù)器，主要用來(lái)實(shí)現(xiàn)內(nèi)部文件共享的文件服 務(wù)器。通過(guò)對(duì)此服務(wù)器進(jìn)行檢查，結(jié)果發(fā)現(xiàn)此服務(wù)器配置成了代理服務(wù)器，懷疑被人入侵了。

　　那么為什么配成代理服務(wù)器呢?是不是路由器也被入侵了?登錄路由器，發(fā)現(xiàn)路由器設(shè)置了端口轉(zhuǎn)發(fā)，許多端口轉(zhuǎn)發(fā)都轉(zhuǎn)到了這臺(tái)文件服務(wù)器上。現(xiàn)在原因已經(jīng)很清楚了，有人入侵了此文件服務(wù)器，并將它設(shè)置成了代理服務(wù)器，然后控制了路由器，在路由器上設(shè)置了端口轉(zhuǎn)發(fā)，把外網(wǎng)數(shù)據(jù)轉(zhuǎn)到服務(wù)器上，最后在自己的機(jī)器上設(shè)置代理上網(wǎng)，通過(guò)P2P軟件大量下載造成網(wǎng)絡(luò)擁堵系統(tǒng)下載。因?yàn)楣疽?guī)定除個(gè)別機(jī)器可以上網(wǎng)外，絕大部分機(jī)器不能接入Internet網(wǎng)，所以通過(guò)路由器進(jìn)行了限制。由于公司路由器采用的是默認(rèn)用戶(hù)名，只是簡(jiǎn)單地設(shè)置了密碼，這樣路由器就被控制了。

　　4、故障徹底解決

　　運(yùn)行網(wǎng)絡(luò)分析軟件，首先取消了文件服務(wù)器的文件共享，設(shè)置網(wǎng)絡(luò)監(jiān)控軟件，很快獲得了大量數(shù)據(jù)。根據(jù)幾個(gè)可疑MAC及所存的檔案，很快找到了相應(yīng)的主機(jī)。然后恢復(fù)文件服務(wù)器共享功能，取消代理服務(wù)器設(shè)置，重新設(shè)置路由器密碼。至此問(wèn)題徹底解決。 ?