server 2016 不斷廣播 udp 封包 (port 138)

smb broadcast windows server netbios spoofing

meowlike 2017-09-13 09:30:15 ‧ 13972 瀏覽

大家好...

這台win server 2016 只有安裝web、php、mysql的服務
但安裝好之後網管就說這台會一直廣播SMB封包
我是給他這份資料告訴他「 smb scan port 的問題跟遠端桌面服務有關，約從2008開始，遠端桌面可以直接複製檔案，所以會用到smb port」

但是網管似乎受不了了，把log直接丟給我要求我解決
他說四分鐘內廣播了八萬筆的封包

我實在是摸不著頭緒，剛安裝完server不太可能中毒
那為什麼會一直廣播封包...
server IP是: 10.1.1.211

Description: Address spoofing
Destination:10.1.255.255
Protocol:17 (UDP)
Destination Port:138
Source:10.1.1.211
Message Information:Address spoofing

有七萬九千多筆都是上面這個訊息...

看更多先前的討論...收起先前的討論...

窮嘶發發發 iT邦高手 1 級 ‧ 2017-09-13 10:01:32 檢舉

照理說，伺服器服務都是採監聽服務，不太可能主動廣播的，所以，你的狀況是伺服器被攻擊了，有可能是 DOS 之類，或是 ARP
還有最後這個 Address spoofing => 這個請自行去查看看這是什麼警告，你就能找到解決方法了

hon2006 iT邦大師 1 級 ‧ 2017-09-13 11:51:07 檢舉

先停掉看看我試了一下也是可以複製貼上
https://blog.miniasp.com/post/2009/09/15/Which-ports-should-open-for-UNC-SMB-CIFS-connection.aspx

Daniel iT邦新手 2 級 ‧ 2017-09-13 16:28:02 檢舉

先用 Windows 防火牆檔一下，再看看本機哪個服務會因此失敗才能抓出兇手。

就像瓊嘶大說的伺服器發廣播有點怪，會不會是 Windows 網路探索這功能造成的(只想到它)？

meowlike iT邦新手 5 級 ‧ 2017-09-14 09:17:43 檢舉

謝謝ss512new和hon2006大大的建議，我先試試看

meowlike iT邦新手 5 級 ‧ 2017-09-14 09:55:48 檢舉

剛剛被他們網管打槍，說走UDP封包怎麼擋......還說一定是某個漏洞導致的，根本就無法溝通.....一副就是我比你懂所以我說的都對的那樣，欠X......

直播研討會

{{ item.channelVendor }} {{ item.webinarstarted }} |

直播中

Ray

iT邦大神 1 級 ‧ 2017-09-16 15:46:36

我的觀點:

您那篇文章我看不出 udp 138 有甚麼理由可以在 4 分鐘內廣播 8 萬筆封包出來?....(Q: 那到底正常的頻率應該是多少?)
我做了一個測試: 在我的環境內有一台 Server 2012 R2, 我開 RDP 從遠端連線進去, 然後從外面的 Switch 去聽 UDP port 138 的廣播, 結果: