身為網管，是否經歷過：清晨發現網路效能暴跌、服務無法提供、伺服器存取極慢、交換機指示燈狂閃、出口路由器滿載、CPU 100%？重啟幾分鐘又復發。這不是設備故障，而是大流量惡意封包耗盡資源。利用區域網路封包擷取工具分析，依據網路病毒「掃描網路位址」特徵，可快速鎖定染毒主機。

實作步驟

1. 安裝封包擷取工具

目的：分析網路封包內容。免費/試用工具易取得，筆者使用 SpyNet 3.12，體積小、速度快。安裝後即成擷取主機。可設定擷取類型（IP/ARP 封包）、依目的地址設定過濾參數。

2. 設定網路路由

• 若路由器有預設閘道，病毒爆發時指向另一路由器極危險（除非想癱瘓該路由器）。
• 企業網常僅設內網路由、無預設路由，將預設路由指向擷取主機（此主機效能須佳，否則易被病毒衝擊癱瘓）。
• 或將網路出口鏡像至擷取主機，所有對外存取封包均被分析。

3. 開始擷包分析

開啟 SpyNet 點擊 Capture，主體視窗顯示：封包序號、時間、來源/目的 MAC、來源/目的 IP、協定類型、來源/目的埠號。易發現 10.32.20.71 在極短時間內向大量不同主機發起連線請求，目的埠皆為 445。

4. 鎖定染毒主機

• 目的 IP 多為網路不存在的網段。
• 正常主機不可能毫秒級發起數十/百次連線請求。
• 查證 Microsoft-DS 協定（埠 445）存在拒絕服務漏洞，進一步佐證判斷。

輕鬆找到染毒主機 IP，後續工作：給該主機作業系統打補丁、殺毒。

封包深度解碼

擷得封包長度均為 62 位元組：

• 前 12 位元組：目的/來源 MAC 位址
• 緊接 2 位元組：封包類型（0800=IP、0806=ARP）
• 接 20 位元組：IP 封包頭（來源/目的 IP、IP 版本等）
• 剩 28 位元組：TCP 封包頭（來源/目的埠、TCP 連線狀態）

無任何有效資料酬載，純 TCP SYN 空封包，掃描 445 埠。一旦同步上無防護主機 445 埠，即利用系統漏洞傳播感染。