本人使用ethereal抓包工具的的发现的问题：

晨想

有一个方法，可以试试，不过不太科学。。。

全盘搜索，把带有 192.168.2.99 这个字符串的文件 都搜索出来。如果有结果，那也许就可以解决问题了。。

当然，你可以试试清除木马，因为有可能中木马了。

luweinet

不知道问题解决没有？etheral是可以分析包内容的啊
当你理解arp包格式和arp原理以后就很快能定位了，
arp广播包的原始发送的mac和ip都能在包里面找出来的。 应该是中毒

bobkey

Post by windyzhang
我使用netstat -an|grep 192.168.2.99，可是没有相关的进程啊

你应该用lsof|grep 192.168.2.99

wastebaby

高手真多啊，看看哪个是异常的进程。

luzx

期待问题结果呀！

huzi1986

我和楼主一样的问题解决了


netstat -an | grep 192.168.0.22
lsof | grep 192.168.0.12

看到进程是uGuard
ps -ef | grep uGuard
kill -9 uGuard

这个进程是一个UPS的进程.由于UPS不在了.所以,两台LINUX SERVER一直在找0.22这台主机

导致网络广播太多.路由器死机

[root@backup1 root]# netstat -an | grep 192.168.0.22
udp        0      0 192.168.0.35:32769      192.168.0.22:200        ESTABLISHED
[root@backup1 root]#


netstat -antp
没有结果

[root@backup1 root]# netstat -antp
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 127.0.0.1:8005          0.0.0.0:*               LISTEN      671/java
tcp        0      0 0.0.0.0:8009            0.0.0.0:*               LISTEN      671/java
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      671/java
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      502/sshd
tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN      537/sendmail: accep
tcp        0    148 192.168.0.35:22         192.168.0.53:1911       ESTABLISHED 999/sshd
tcp        0      0 192.168.0.35:32786      192.168.0.20:1521       ESTABLISHED 671/java


lsof找到进程名字

[root@backup1 root]# lsof | grep 192.168.0.22
uGuard    1046  root    4u  IPv4       5695               UDP backup1.wanxin.com.tw:32769->192.168.0.22:200
[root@backup1 root]#


[root@backup1 root]# ps -ef | grep uGuard
root      1045     1  0 18:22 ?        00:00:00 /etc/uGuard -s
root      1046  1045  0 18:22 ?        00:00:00 /etc/uGuard -s
root      1087  1001  0 18:24 pts/0    00:00:00 grep uGuard
[root@backup1 root]#


kill -9 1045
kill -9 1046

广播问题解决!

applinux

你可以在你的终端运行 netstat -n查看哪些ip在向你发送数据啊！