[Wireshark]交换机设置镜像端口并使用Wireshark抓包异常流量分析病毒种类

前言

最近多家用户报告相继中毒，通过对区级用户网络抓包分析后发现三级网内存在多种类型病毒，下面介绍局域网中如何通过设置镜像端口抓包流量通过Wireshark分析几种目前常见的病毒类型。

0x00 华为交换机镜像设置端口抓包

1、 全局模式下指定一个镜像端口

observe-port 1 interface g 0/0/4 

2、指定一个监测端口

int g 0/0/5
port-mirroring to observe-port 1 outbound

inbound是服务器到内交换机的流量,outbound是交换机到服务器的流量

0x01 H3C 交换机配置

Mirroring group 1 local
Mirroring port g1/0/1（镜像端口）

0x02

1、在指定的端口上接入一台PC或者服务器，此网络口不做IP设置
2、Wireshark抓包

0x03 虚拟机、VLAN 设置镜像端口

1、在交换机上设置一个监测端口

Monitor port（监听口） //H3C交换机 配置

observe-port 1 interface G 0/0/4  //华为交换机配置

2、根据IP地址判断其所在的VLAN，在VLAN下配置

int vlan 20
mirroring to observe-port 1 inbound

3、在指定的端口上接入一台PC或者服务器，此网络口不做IP设置

4、Wireshark抓包

0x04 Wireshark 端口抓包设置

捕获-选项：
①抓包的端口开启混杂，缓存100

②设置路径和报文大小