web-dev-qa-db-ja.com

Wiresharkキャプチャの不明なEtherタイプ0x880aおよび0x5524

過去数日以来、タスクマネージャーは、アプリケーションを開かずにアイドル時に200〜300Kbps（小さいb）がネットワークを受信することを示しています。ファイアウォール内のすべてのアプリ（システムPID 4を除く）をブロックしましたが、タスクマネージャーは同じネットワークアクティビティを表示します。 Wiresharkを開いてネットワークパケットを確認すると、奇妙なネットワークアクティビティが表示されます。このイーサタイプでさえ0x880aおよび0x5524は IEEE 802 Numbers に記載されていません。また、そのMACアドレスは、イーサネットIPv4サブネットワーク（/ 25）のどのホストにも属していません。プレーンテキストのパケットのメタデータとデータは次のとおりです。

Source                Destination Protocol Length Sender IP address Info
Shenzhen_01:35:b2     Broadcast   0x880a   60                       Ethernet II

Ethernet II, Src: Shenzhen_01:35:b2 (50:0b:91:e1:35:b2), Dst: Broadcast (ff:ff:ff:ff:ff:ff)
Data (46 bytes)

0000  00 6c 6f 6f 70 62 61 63 6b 00 00 00 00 00 00 00   .loopback.......
0010  00 00 00 00 00 2d 36 35 06 5f 68 74 74 70 73 00   .....-65._https.
0020  00 00 00 00 00 00 00 00 00 00 00 00 00 00         ..............
    Data: 006c6f6f706261636b0000000000000000000000002d3635...
    [Length: 46]

Ether Type 0x880a.PNG

Source                Destination Protocol Length Sender IP address Type       Info
ChengduM_e9:e9:3d     Broadcast   0x5524   64                       0x5524     Ethernet II

Ethernet II, Src: ChengduM_e9:e9:3d (00:01:7a:e9:e9:3d), Dst: Broadcast (ff:ff:ff:ff:ff:ff)
Data (50 bytes)

0000  80 00 00 01 7a e9 e9 3d 00 00 00 00 80 00 00 01   ....z..=........
0010  7a e9 e9 3d 00 00 00 13 00 00 00 00 00 00 00 00   z..=............
0020  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0030  00 00                                             ..
    Data: 800000017ae9e93d00000000800000017ae9e93d00000013...
    [Length: 50]

Ether Type 0x5524.PNG

  • 質問：これらの未知のイーサネットパケットは何ですか？それらは悪意がありますか？ ISPネットワークはこれらのネットワークパケットに責任がありますか？
networkingethernetwireshark
3
Biswapriyo

ネットワークには、「Shenzhen zhong ju Fiber Optical Co. Ltd」によって設計、製造、または販売されているデバイスまたはネットワークインターフェイスチップセットが含まれていますか？多分ファイバートランシーバーまたはGPONターミナルまたはファイバーSFPモジュールか何かのように？

これは、名前のないベンダーが、安っぽい独自のブロードキャストベースのステータス/検出プロトコルを作成するときに、割り当てられていないEtherTypeにしゃがんだように見えます。含まれている情報は、「loopback」、「-65」、および「_https」のみです。その光信号強度が-65dBであり、その管理インターフェイスがHTTPS経由で到達可能であることを宣伝している可能性があります。ループ検出を実行しようとしている場合や、ループバックテストを実行しようとしている場合もあります。

それは、悪意のあるものというよりも、だらしなく非標準的な何かをしているくだらない無名のベンダーのように見えます。

3
Spiff