核心路由器/交換機異常繁忙、路由處理器 CPU 飆高、無效路由封包暴增、網路服務癱瘓——這類故障往往不是硬體損壞，而是惡意流量、配置錯誤或終端中毒引發的風暴。本文記錄一起真實案例：研究院 ATM 骨幹網核心交換機 Fore 7110 遭遇蠕蟲病毒引發的拒絕服務攻擊，展示從症狀觀測、流量嗅探、協定分析、定位源頭到徹底清除的完整排查流程與工具鏈。

故障現場：核心交換機「假忙、真癱」

• 設備： Fore 7110 (具路由功能核心交換機) + 3×Fore 7105 构建 ATM 骨幹，星型樹拓撲，9 個子網 (10.65.100.0~111.0)，2300 IP，1248 PC + 138 工作站。
• 現象： 系統指示燈狂閃，交換極慢，Ping 通但延遲 300~900ms，路由封包監測顯示無效路由封包 10 秒內從 10⁵ 暴增至 10⁷，有效路由服務癱瘓 — 典型 拒絕服務 (DoS) 攻擊特徵。

排查步驟：從宏觀統計到微觀封包

1. 核心設備統計分析 (`stats` 指令)

Telnet 10.60.11.62
PB1_JSZ3:ip# stats -P IP
IP statistics:
 Datagrams forwarded: 170073
 Datagrams rcvd: 175164
 No route to send: 5507   <-- 無效路由請求 (無路可達) 快速增長

進一步查看介面統計，發現 8.3、8.5、8.6 埠無效路由封包暴增，鎖定可疑區段。

2. VLAN 鏡像 + 協定分析器 (Snoop/Sniffer)

無專業 Sniffer 情況下，利用 Fore VLAN 功能將可疑埠 (8.3/8.5/8.6) 與裝有 Snoop 功能的 Sun 工作站 (jsz3, 埠 8.1) 劃入同一 VLAN，並開啟 `monitor set 8.3 to 8.6 on 8.1` 鏡像流量。

PB1_JSZ3:media# segment pdisable 8.3,8.5,8.6
PB1_JSZ3:media# monitor set 8.3 to 8.6 on 8.1

在 Sun 工作站執行 `snoop` 捕獲封包，發現 IP 為 10.60.12.17、10.60.12.59、10.60.10.57 的主機發送大量無效路由請求 (目的 IP 為 0.22.*.* 等非法位址)。

3. 遠程登錄疑似主機，進程與檔案系統取證

# Telnet 10.60.10.57
# snoop  <-- 確認本機持續發送異常封包
# ps -eaf | more  <-- 列出進程

關鍵發現： `/Dev/cuc` 目錄下存在可疑執行檔 `chinaworm.exe` 及相關 tar 檔，經驗證為蠕蟲病毒 (ChinaWorm 變種)。病毒掃描全網、發送大量偽造路由請求、佔滿核心交換機路由處理資源。

解決與驗證

1. 隔離與清除： 斷開受感染主機網路連接，刪除病毒檔案 (`chinaworm.exe`、tar 包)，關閉不必要的遠程服務 (RPC、Telnet、FTP 等高危埠)。
2. 系統加固： 修補作業系統漏洞 (Solaris 修補包)、更新防毒軟體特徵碼、全網掃描清除殘留副本。
3. 核心設備恢復： 病毒源頭移除後，核心交換機 `stats` 顯示無效路由封包增長率降回 10¹~10² 級 (正常背景噪音)，CPU 占用率歸正，網路服務全面恢復。

工具鏈與方法論總結

階段	工具/指令	關鍵產出
症狀觀測	指示燈、Ping 延遲、核心設備 `stats`、介面計數器	確認 DoS、鎖定可疑介面 (8.3/8.5/8.6)
流量捕獲	VLAN 鏡像 (`monitor set`) + Sun `snoop` / Wireshark / tcpdump	捕獲異常封包，識別源 IP (10.60.10.57 等)
主機取證	遠程登錄、`ps -eaf`、`ls -la /Dev/cuc`、檔案哈希比對、病毒掃描	確認蠕蟲病毒 (`chinaworm.exe`)、感染路徑
處置驗證	隔離、刪毒、修補、關閉高危服務、核心設備統計回歸正常	網路恢復、無效路由封包率歸正

核心經驗與最佳實踐

1. 先軟後硬、由核心到邊緣、由統計到封包： 不要一上來就換硬體、重開機，先看計數器、日誌、流量。
2. 善用既有設備鏡像/監控功能： 核心交換機 SPAN/RSPAN/ERSPAN、VLAN 鏡像、NetFlow/sFlow、內建 `snoop`/`tcpdump`，無專業 Sniffer 也能戰。
3. 終端安全是網路安全的基石： 核心設備再強，終端中毒發風暴照樣癱瘓。EDR/殺毒、補丁管理、最小權限、網路准入控制 (NAC/802.1X) 缺一不可。
4. 路由協議認證、uRPF、ACL 反欺騙、控制平面保護 (CoPP/CPPr) 是核心設備自衛的最後一道防線，必須配置。
5. 文檔化、腳本化、演練化： 將排查流程固化為 SOP、自動化腳本 (Expect/Ansible/Netmiko)、定期紅藍軍演練，讓團隊「肌肉記憶」式應對。

結語

這起故障看似核心設備效能不足，實為終端蠕蟲病毒發起的協議層洪水攻擊。通過系統化的觀測、鏡像、分析、取證、清除，不僅恢復業務，更沉澱出可復用的排查方法論。在 Unix/Linux/Windows 混合環境下，蠕蟲病毒掃描風暴、ARP 風暴、廣播風暴 仍是高發威脅，網管團隊必須具備「懂協議、會抓包、敢取證、能加固」的綜合實戰能力。