鳥毅的Blog

最近公司的光纖升級後，防火牆時常送出網路斷線的通知信給我，大概幾秒鐘後就會再送一封網路連線的通知信；多的時間一天7、8次，有時候又沒有。

最近半年來，敝公司看P2P TV的同事激增，不知是不是新進年輕員工增加，還是大家增長知識了？ 原本我也不反對大家中午休息時看一下影片，但是因為 PPStream 加速器(PPSAP.exe)會在背景上傳大量資料占頻寬，所以造成網路變慢。別忘了還有可能引發資安問題的Foxy... 由於現在的P2P都很聰明，單純擋port絕對是擋不住，又沒有NetScreen這種高檔的工具能夠做封包過濾，所以在下敝人小弟我採用最簡單的方法。 在內網DNS Server建立ppstream.com、pps.tv等網域。 若怕被人發現，可在Firewall擋DNS Server以外的DNS Query (port 53 tcp/udp)，如此一來他們只能向內部DNS查詢。 參考資料： 如何關閉PPS加速器(PPSAP.exe)？ ~多種關閉方式一併呈現！

　　今天早上覺得網路比較慢，連到 pfSense 防火牆用 bandwidthd 和 darkstat 看流量，發現某台電腦的上傳流量高得驚人（是的，敝公司很窮也很省，所以沒有可以monitor網路的switch），占了全公司上傳流量的90%。 　　用XP的nbtstat -A [ip]，找出是公司的工讀生用的電腦，此時在下敝人小弟我，連忙拿出 Process Explorer 和 Active Ports 、 WireShark 來監控，想當然爾光靠 Process Explorer 是找不出東西，但是很明顯在 Active Ports 有不明的程式在送出網路流量。這支木馬很聰明，只要keyboard和mouse有在使用就不動作，等到停下來時才開始送出封包，所以使用者雖然覺得電腦變慢，卻不會覺得慢到無法忍受。 　　此時我只能用 IceSword 來找出這支木馬，不過由於有千人斬實力的工讀生要先備份資料，所以抓毒的事明日請早。

又一篇個人筆記，最近實在沒有生產力呀... 今天用一台桌上型商用PC灌Windows 2003 Server x64，一直灌不起來，調整BIOS裏各種參數均無效。Windows 2003 Server x64安裝程式無法進入安裝畫面，load driver後就 BSoD ，連死在哪個.sys都沒有。這已經是我用nLite做出的整合光碟，沒有更新的driver了。 原本用兩顆HD做Raid 1，但似乎有嚴重的問題，不但開機光碟進不去，連TrueImage都只能進Safe Mode，調整回AHCI模式才能使用TrueImage的Full Mode。但是Windows 2003 Server x64安裝程式仍舊是無法進入安裝畫面，幸好有以前同機型的tib備份檔，就使用TrueImage還原到AHCI模式的硬碟。 這件事告訴我們：以後要灌Windows Server，還是買台真正Server吧。（除非灌Linux/FreeBSD）

今天真不是個開玩笑的好日子。 星期一早上，正準備開始寫要交給優秀長官的報告時，有人反映網路磁碟不太穩，到了九點多，整台機器完全連不上去。跑到機房去看，根本整台hang住，連ping都沒反應。只好hard reset，經過2小時漫長的check disk後，幸好沒有嚴重的錯誤，等到13:00也重開成功。沒想到才半小時，機器又當掉了，這次不敢再讓機器慢慢的check disk，重開後先停用NOD32。記得在NOD32 3.0剛發布時也有類似的情況，這次有可能是NOD32 4.0惹得禍，不由得懷念起表現得中規中矩的OfficeScan。 昨天下午公司忽然網路出現異狀，查看之下發現有電腦亂發arp資訊，相信是中了arp病毒。 本部落格的忠實讀者應該記得，敝公司和相關企業是class B broadcast的網段，總公司與分公司也透過VPN連線，約有1000台PC在一個Lan... 因此，整個企業的網路就這樣被一台中毒的PC癱瘓。記得十幾年前，中央大學全校走一個gateway，因為某一台電腦把自己的IP設成gateway而造成全校網路不通。 由於Core Switch是相關企業負責，等了２小時後，相關企業資訊部查出來是敝公司的分部殺的人，小弟只好先拔VPN，今天再去 擦屁股 找出元兇。 早上八點就趕往分部，沒想到遇到白爛司機，說話比史特龍還不清楚，假設史特龍含了一顆蛋，他大概含了兩顆蛋。雖然敝公司分部位於市郊，但好歹也算是台北市，居然有司機路搞不清楚，叫他走平面就硬給我走高架橋，多繞了兩公里；又在單行道開過頭，害我平時150元能到的地方硬是跑到220元。 由於借了部門經理的高檔Notebook出門，當然到了分部就把Notebook接上switch hub，用二分法找出元兇，這部份花不到半小時就搞定。但因為分部的網路線拉得很怪異，本來想用埠號找出元兇實行上很困難，只好在SZ上偷偷地裝了 WinPcap 和 WireShark ，其實這個狀況用 SmartSniff 就夠了，因為我是把連到元兇的網路線直接插上SZ，只要能看到IP或Windows機器名稱即可。找到機器後用Trendmicro提供的好工具 iClean 去掃毒，可惜沒掃完 iClean 就hang住，試了幾次無效只好帶回公司重灌。 回到公司已經中午，下午處理些雜事後幫優秀長官的team開了一個 Subversion ...