信息安全 - 我的网络中有奇怪的 STP 流量，可能是中间人攻击？ - 吾爱随笔录

我住在一个学生宿舍，在那里我们连接到一个学生网络。此网络的管理员忘记在非基础设施端口上禁用 STP 广播。

定期，我失去了我的网络连接，我决定看看 STP 配置是否可能是问题所在。

这是我每秒收到的正常数据包：

4   0.179081    Alcatel-_c3:a8:91   Spanning-tree-(for-bridges)_00  STP Conf. Root = 32768/0/00:d0:95:88:dc:d6  Cost = 4  Port = 0x722f

当网络中断时，我检查了我的wireshark日志，出现了以下内容：

3   0.597039    Alcatel-_c3:a8:91   Spanning-tree-(for-bridges)_00  STP Conf. Root = 32768/0/00:d0:95:c3:a8:68  Cost = 0  Port = 0x722f
6   1.577752    04:4b:80:80:80:03   Spanning-tree-(for-bridges)_00  STP Conf. TC + Root = 32768/0/06:4b:80:80:80:03  Cost = 0  Port = 0x8000
8   2.599098    Alcatel-_c3:a8:91   Spanning-tree-(for-bridges)_00  STP Conf. Root = 32768/0/00:d0:95:c3:a8:68  Cost = 0  Port = 0x722f
9   2.599133    04:4b:80:80:80:03   Spanning-tree-(for-bridges)_00  STP Topology Change Notification

当网络“关闭”时，每秒都会收到以下 STP 数据包：

1619    38.636743   Alcatel-_c3:a8:91   Spanning-tree-(for-bridges)_00  STP Conf. Root = 32768/0/00:d0:95:c3:a8:68  Cost = 0  Port = 0x722f

当网络再次正常工作时，我收到以下信息：

2932    584.778568  Alcatel-_c3:a8:91   Spanning-tree-(for-bridges)_00  STP Conf. Root = 32768/0/00:d0:95:88:dc:d6  Cost = 4  Port = 0x722f

幸运的是，我决定用谷歌搜索硬件地址 04:4b:80:80:80:03，因为它看起来有点奇怪。事实证明，有很多人对 nVidia 芯片组有问题，他们将此 NIC 地址设置为默认值......

我对此的想法是，一些台式机正在试验 STP 攻击。这是我遇到的第一个 STP 网络，所以我不确定我在这里看到了什么，希望比我更有洞察力的人可以帮助我了解正在发生的事情。

编辑：

最近，数据包现在发生了变化：

58  114.145230  Alcatel-_c3:a8:91   Spanning-tree-(for-bridges)_00  STP Conf. Root = 61440/4095/ff:ff:ff:ff:ff:ff  Cost = 4  Port = 0x722f

根网桥系统 ID 为 ff:ff:ff:ff:ff:ff。这是在我没有网络中断的情况下。我试图找到这个广播硬件地址被宣布为根桥的目的的文档，但没有运气......