Tìm hiểu phần mềm WireShark Mạng nâng cao
Phân tích gói tin với WIRESHARK
1.Giới thiệu qua một chút về Wireshark
WireShark có một bề dầy lịch sử. Gerald Combs là người đầu tiên phát
triển phần mềm này. Phiên bản đầu tiên được gọi là Ethereal được phát hành
năm 1998. Tám năm sau kể từ khi phiên bản đầu tiên ra đời, Combs từ bỏ công
việc hiện tại để theo đuổi một cơ hội nghề nghiệp khác. Thật không may, tại
thời điểm đó, ông không thể đạt được thoả thuận với công ty đã thuê ông về
việc bản quyền của thương hiệu Ethereal. Thay vào đó, Combs và phần còn lại
của đội phát triển đã xây dựng một thương hiệu mới cho sản phẩm “Ethereal”
vào năm 2006, dự án tên là WireShark. WireShark đã phát triển mạnh mẽ và
đến nay, nhóm phát triển cho đến nay đã lên tới 500 cộng tác viên. Sản phẩm
đã tồn tại dưới cái tên Ethereal không được phát triển thêm.
Lợi ích Wireshark đem lại đã giúp cho nó trở nên phổ biến như hiện nay.
Nó có thể đáp ứng nhu cầu của cả các nhà phân tích chuyên nghiệp và nghiệp
dư và nó đưa ra nhiều tính năng để thu hút mỗi đối tượng khác nhau.
Các giao thực được hỗ trợ bởi WireShark:
WireShark vượt trội về khả năng hỗ trợ các giao thức (khoảng 850 loại), từ
những loại phổ biến như TCP, IP đến những loại đặc biệt như là AppleTalk và
Bit Torrent. Và cũng bởi Wireshark được phát triển trên mô hình mã nguồn
mở, những giao thức mới sẽ được thêm vào. Và có thể nói rằng không có giao
thức nào mà Wireshark không thể hỗ trợ.
• Thân thiện với người dùng: Giao diện của Wireshark là một trong những
giao diện phần mềm phân tích gói dễ dùng nhất. Wireshark là ứng dụng đồ
hoạ với hệ thống menu rât rõ ràng và được bố trí dễ hiểu. Không như một
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
1
Tìm hiểu phần mềm WireShark Mạng nâng cao
số sản phẩm sử dụng dòng lệnh phức tạp như TCPdump, giao diện đồ hoạ
của Wireshark thật tuyệt vời cho những ai đã từng nghiên cứu thế giới của
phân tích giao thức.

• Giá rẻ: Wireshark là một sản phẩm miễn phí GPL. Bạn có thể tải về và sử
dụng Wireshark cho bất kỳ mục đích nào, kể cả với mục đích thương mại.
• Hỗ trợ: Cộng đồng của Wireshark là một trong những cộng đồng tốt và
năng động nhất của các dự án mã nguồn mở.
• Hệ điều hành hỗ trợ Wireshark: Wireshark hỗ trợ hầu hết các loại hệ
điều hành hiện nay.
1.1. Vài tác dụng của phần mềm Ethereal:
- Nhà quản trị mạng có thể sử dụng phần mềm này cho việc giải quyết vấn đề
mạng (Network Troubleshoot)
- Những chuyên gia về bảo mật có thể thử các vấn đề bảo mật thông qua sản
phẩm này.
- Chúng ta có thể dùng phần này để thấy được sự thực thi của các protocol.
- Có thể dùng để học các giao thức mạng ở bên trong.
1.2. Các đặc điểm của phần mềm.
- Có thể chạy trên môi trường UNIX hay Windown
- Capture các packet với những thông tin cực kỳ chi tiết
- Có thể mở ra và lưu dữ những dữ liệu capture
- Có thể import và export những packet đến và từ nhiều chương trình capture
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
2
Tìm hiểu phần mềm WireShark Mạng nâng cao
- Lọc các gói tin packet trên nhiều tiêu chuẩn
- Tìm các gói tin trên nhiều tiêu chuẩn
- Có thể bôi màu những gói tin dựa vào những tiêu chuẩn filter
Phần mềm này không thể làm những việc.
Như bất kỳ một công cụ nào khác, wireshark có thể được dùng cho một số việc và
không cho một số việc khác. Ở đây là một số việc mà wireshark không thể làm
- Nó không thể dùng để vạch ra một mạng. Thay vào đó cong cụ Nmap có thể đảm
nhiệm chức năng này.
- Nó không sinh ra các dữ liệu mạng, nó là một công cụ bị động. Những công cụ

như Nmap, ping và traceroute là ví dụ về các công cụ có khả năng sinh ra các dữ
liệu mạng. Những công cụ này là công cụ chủ động.
- Nó chỉ có thể chỉ ra thông tin chi tiết về các giao thức mà nó thật sự hiểu. Nó
hiểu được rrats nhiều các giao thức và có thể mở rộng ra, vig vậy bạn có thể thêm
vào các giao thức hỗ trợ cho nó nếu không hiểu. Tuy nhiên bạn sẽ chỉ có thể xem
được các dữ liệu mà nó bắt được dưới dạng hexdump
- Nó chỉ có thể bắt được dữ liệu tốt khi giao diện driver của hệ điều hành hỗ trợ.
Ví dụ của việc này là việc bắt dữ liêu thông qua mạng không dây. Nó không làm
việc tốt với môt số phần mềm và phần cứng kết hợp
1.3. Cài đặt WireShark.
Wireshark là một ứng dụng mã nguồn mở và có thể download miễn phí tại
trang . Sau khi download Wireshark về, tập tin lưu trên
máy có dạng wireshark-setup-x.y.z.exe. Để khởi động tiến trình cài đặt, bạn thực
thi file trên.
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
3
Tìm hiểu phần mềm WireShark Mạng nâng cao
Các bước cài đặt như sau:
Nhấn kép vào file cài đặt
Hình 1: Bắt đầu cài đặt
Ấn Next để tiếp tục.
Hình 2: Thông tin bản quyền.
Nhấn “I Agree” để tiếp tục.
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
4
Tìm hiểu phần mềm WireShark Mạng nâng cao
Hình 3: Trang Components của Wireshark
GTK1 và GTK2 là 2 bộ giao diện đồ họa của WireShark. Chỉ nên chọn
GTK1 khi bạn đang ở chế độ đồ họa 256 màu (thường ở chế độ này GTK2 hoạt
động không được tốt), hoặc khi GTK2 hoạt động không được tốt vì một lý do nào

đó. ngoài ra, bạn nên chọn GTK2 với nhiều tính năng nâng cao hơn so với GTK.
TShark là giao diện dòng lệnh của WireShark. Phần Plugin/Extensions và Tools
bạn để ở chế độ mặc định.
Hình 4: Cửa sổ Additional Tasks
Nhấn “Next” để tiếp tục.
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
5
Tìm hiểu phần mềm WireShark Mạng nâng cao
Hình 5: Chọn đường dẫn đến thư mục bạn định cài Wireshark
Mặc định, wireshark sẽ được cài đặt trong thư mục C:\Program
Files\Wireshark. Bạn có thể chọn đường dẫn khác bằng cách nhấn vào
“Browse…”
Sau cùng, Nhấn “Next” để tiếp tục.
Hình 6: Bạn có cài winpcap không?
Để Wireshark có thể hoạt động được, bạn phải cài đặt driver Winpcap trên
máy tính của bạn. Trình cài đặt wireshark sẽ kiểm tra xem bạn đã cài đặt winpcap
chưa. Nếu chưa cài đặt winpcap hoặc bạn đã cài rồi nhưng phiên bản cũ hơn,
chương trình sẽ hỏi bạn có cài winpcap không?
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
6
Tìm hiểu phần mềm WireShark Mạng nâng cao
Start WinPcap service "NPF" at startup: Cho phép user không có quyền
admin có thể bắt gói tin bằng wireshark.
Hình 7: Đang trong tiến trình cài đặt
Hình 8: Cửa số cài đặt Winpcap
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
7
Tìm hiểu phần mềm WireShark Mạng nâng cao
Hình 9: Cửa số cài đặt Winpcap
Nhấn “Next” để tiếp tục.

Hình 10: Thông tin bản quyền của Winpcap
Nhấn “I Agree” để tiếp tục.
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
8
Tìm hiểu phần mềm WireShark Mạng nâng cao
Hình 11: Bạn đã cài đặt xong Winpcap
Nhấn “Finish” để hoàn thành cài đặt Winpcap và tiếp tục cài đặt Wireshark.
Hình 12: Tiếp tục tiến trình cài đặt Wireshark
Nhấn “Next” để tiếp tục.
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
9
Tìm hiểu phần mềm WireShark Mạng nâng cao
Hình 13: Hoàn thành việc cài đặt Wireshark trên Windows
1.4. Giao diện và một số hướng dẫn sử dụng.
Khởi động Wireshark trên windows đơn giản bằng cách nhấn kép vào
shortcut trên menu Start. Điều này sẽ giúp mở ra màn hình chính của Wireshark.
Hình 14: Giao diện của Wireshark
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
10
Tìm hiểu phần mềm WireShark Mạng nâng cao
Giao diện của Wireshark rất đơn giản.
1. Title bar: Thanh này sẽ chứa những thông tin khác nhau phụ thuộc vào
những gì Wireshark đang làm. Nếu nó đang bắt dữ liệu mạng, nó sẽ hiểu thị giao
điện đang sử dụng. Nếu nó đang hiển thị dữ liệu từ lần bắt dữ liệu trước đó, tên
của file chứa trong dữ liệu bắt được đó sẽ được hiển thị (untitled sẽ được hiển thị
nếu lần bắt đó được trình diễn, dừng lại và không được lưu lại). Ngược lại nó sẽ
hiển thị tên của ứng dụng: Wireshark network Protocol Analyzer.
2. Menu bar: Thanh này cung cấp khả năng truy cập đến các tính năng của
ứng dụng.
a. File - Chức năng làm với việc với dữ liệu bắt được như lưu lại và export

đến các định dạng file khác nhau.
b. Edit - Chức năng tìm kiểm packets, thiết đặt thay đổi thời gian và tham
khảo các thiết đặt.
c. View - Chức năng thay đổi cách hiển thị thông tin của Wireshark.
d. Go - Chức năng tìm vị trí của một packet chỉ rõ.
e. Capture - Chức năng bắt đầu và dừng lại các lần bắt, lưu lại các filter và
làm việc với các giao diện mạng.
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
11
Tìm hiểu phần mềm WireShark Mạng nâng cao
f. Analyze - Chức năng giải thích và lọc dữ liệu bắt được.
g. Statistics - Chức năng thống kê phân tích dữ liệu bắt được.
h. Help - Chức năng trợ giúp.
3. Main tool bar: Lối tắt để sử dụng các chức năng thường dùng trong thanh
menu.
4. Filter tool bar: Truy cập nhanh đến chức năng filter.
5. Packet list pane: Hiển thị tất cả các packet trong file bắt hiện tại.
6. Packet details pane: Chỉ rõ các chi tiết của packet được chọn hiện tại
trong khung Packet List.
7. Packet bytes pane: Chế độ xem hexdum của packet hiện tại trong Packet
List.
8. Status bar: Cung cấp các thông điệp và thông tin phản hồi đến người
dùng.
Ví dụ về cách làm việc của wireshark
Trong ví dụ này, Wireshark bắt các packet trên mạng không dây của laptop. Sau
đó khởi động Thunderbird để lấy lại email từ Comcast và Gmail.
1. Đầu tiên khởi động wireshark
2. Sau đó chọn Capture -> Interfaces từ thanh menu.
3. Sau đó hộp thoại Interfaces sẽ được mở ra. Chọn giao diện mà bạn muốn sử
dụng. Đây là điều quan trong khi Wireshark (như với bất kì trình phân tích giao

thức nào khác) chỉ có thể bắt dữ liệu từ một mạng mà nó kết nối đến một cách tự
nhiên. Tôi dùng Ethernet adapter không dây trong laptop vì vậy sẽ chọn Intel
adapter trong danh sach. Nhấn nút "Start". Tiến trình bắt dữ liệu sẽ được bắt đầu.
Sau một thời gian ngắn, bạn sẽ thấy cửa sổ chính của Wireshark (danh sách
packet, chi tiết và khung byte) được điền đầy với các dữ liệu
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
12
Tìm hiểu phần mềm WireShark Mạng nâng cao
4. Bây giờ sẽ khởi động Thunderbird và đăng nhập vào cả hai tài khoản Gmail và
Comcast. Tại thời điểm này sẽ chờ đợi cho tất cả các mail download về và sau đó
sẽ dừng việc bắt mạng bằng cách chọn Capture -> Stop từ thanh menu. Nhấn File
và Save để lưu việc bắt dữ liệu này vào đĩa sau khi tất cả các dữ liệu đã được bắt.
5. Bắt được 2 phiên POP3 hoàn thiện với Wireshark. Để lấy riêng thông tin về các
phiên pop tôi sẽ dùng một filter. Trong thanh filter bạn điền vào đoạn text sau và
nhấn nút "apply": tcp.port eq 110. Điều này sẽ giới hạn các hiển thị về traffice trên
cổng tcp 110 (cổng pop). Cũng nên chú ý rằng Wireshark hiểu được POP (Post
Office Protocol), vì vậy nó sẽ trình diễn được các bít của thông tin như câu lệnh
POP và các thông tin chứng thực. Tôi không kết nối đến Comcast mail server sử
dụng SSL vì vậy mật khẩu của tôi được chứa trong các traffic dưới dạng clear text
nghĩa là các dữ liệu không được mã hóa. Tôi phải chọn screenshot này một cách
khôn ngoan và thật sự dùng cái này để khắc phục các sự cố về người dùng client
kết nối đến pop và imap server.
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
13
Tìm hiểu phần mềm WireShark Mạng nâng cao
6. Kéo thanh cuộn xuống phía dưới của dữ liệu bắt được sau khi đã dùng filter nó
chỉ hiện ra một cuộc đàm thoại giữa hai host: laptop và Comcast mail server. Điều
gì xảy ra với Gmail? Bởi vì dùng SSL với tài khoản gmail và kết nối SSL POP
được kết hợp với cổng 995 chứ không phải cổng 110. Trong thanh filter điền vào
đoạn text sau và nhấn "apply": tcp.port eq 995. Điều này sẽ trình diễn tất cả các

POP thông qua SSL. Nhưng chú ý rằng không có bất kỳ thông tin chi tiết nào khác
sẽ có về giao thức ứng dụng này. Giao thức dùng trên cổng 995 là TCP, SSl và
TLS. Bạn sẽ thấy một số packet đi kèm với các key, nhưng đó là tất cả để làm với
vấn đề bảo mật kết hợp với SSL và TLS. Tất cả dữ liệu của ứng dụng này đã bị mã
hóa.
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
14
Tìm hiểu phần mềm WireShark Mạng nâng cao
1.4. một số tình huống cơ bản
Trong phần này chúng ta sẽ đề cập đến vấn đề cụ thể hơn. Sử dụng Wireshark và
phân tích gói tin để giải quyết một vấn đề cụ thể của mạng.
Chúng tôi xin đưa ra một số tình huống điển hình.
A Lost TCP Connection (mất kết nối TCP)
Một trong các vấn đề phổ biến nhất là mất kết nối mạng.Chúng ta sẽ bỏ qua
nguyên nhân tại sao kêt nối bị mất, chúng ta sẽ nhìn hiện tượng đó ở mức gói tin.
Ví dụ:
Một ví truyền file bị mất kết nối:
Bắt đầu bằng việc gửi 4 gói TCP ACK từ 10.3.71.7 đến 10.3.30.1.
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
15
Tìm hiểu phần mềm WireShark Mạng nâng cao
Hình 3.1-1: This capture begins simply enough with a few ACK packets.
Lỗi bắt đầu từ gói thứ 5, chúng ta nhìn thấy xuất hiện việc gửi lại gói của TCP.
Hình 3.1-2: These TCP retransmissions are a sign of a weak or dropped
connection.
Theo thiết kế, TCP sẽ gửi một gói tin đến đích, nếu không nhận được trả lời sau
một khoảng thời gian nó sẽ gửi lại gói tin ban đầu. Nếu vẫn tiếp tục không nhận
được phản hồi, máy nguồn sẽ tăng gấp đôi thời gian đợi cho lần gửi lại tiếp theo.
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
16

Tìm hiểu phần mềm WireShark Mạng nâng cao
Như ta thấy ở hình trên, TCP sẽ gửi lại 5 lần, nếu 5 lần liên tiếp không nhận được
phản hồi thì kết nối được coi là kết thúc.
Hiện tượng này ta có thể thấy trong Wireshark như sau:
Hình 3.1-4: Windows will retransmit up to five times by default.
Khả năng xác định gói tin bị lỗi đôi khi sẽ giúp chúng ta có thể phát hiện ra mấu
trốt mạng bị mất là do đâu.
Unreachable Destinations and ICMP Codes (không thể chạm tới điểm cuối và
các mã ICMP)
Một trong các công cụ khi kiểm tra kết nối mạng là công cụ ICMP ping. Nếu may
mắn thì phía mục tiêu trả lời lại điều đó có nghĩa là bạn đã ping thành công, còn
nếu không thì sẽ nhận được thông báo không thể kết nối tới máy đích. Sử dụng
công cụ bắt gói tin trong việc này sẽ cho bạn nhiều thông tin hơn thay vì chỉ dung
ICMP ping bình thường. Chúng ta sẽ nhìn rõ hơn các lỗi của ICMP.
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
17
Tìm hiểu phần mềm WireShark Mạng nâng cao
Hình 3.1-5: A standard ping request from 10.2.10.2 to 10.4.88.88
Hình dưới đây cho thấy thông báo không thể ping tới 10.4.88.88 từ máy
10.2.99.99.
Như vậy so với ping thông thường thì ta có thể thấy kết nối bị đứt từ 10.2.99.99.
Ngoài ra còn có các mã lỗi của ICMP, ví dụ : code 1 (Host unreachable)
Hình 3.1-6: This ICMP type 3 packet is not what we expected.
Unreachable Port (không thể kết nối tới cổng)
Một trong các nhiệm vụ thông thường khác là kiểm tra kết nối tới một cổng trên
một máy đích. Việc kiểm tra này sẽ cho thấy cổng cần kiểm tra có mở hay không,
có sẵn sang nhận các yêu cầu gửi đến hay không.
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
18
Tìm hiểu phần mềm WireShark Mạng nâng cao

Ví dụ, để kiểm tra dịch vụ FTP có chạy trên một server hay không, mặc định FTP
sẽ làm việc qua cổng 21 ở chế độ thông thường. Ta sẽ gửi gói tin ICMP đến cổng
21 của máy đích, nếu máy đích trả lời lại gói ICMP loại o và mã lỗi 2 thì có nghĩa
là không thể kết nối tới cổng đó.s
Fragmented Packets
Hình 3.1-7: This ping request requires three packets rather than one because the
data being transmitted is
above average size.
Ở đây có thể thấy kích thước gói tin ghi nhận được lớn hơn kích thước gói tin mặc
định gửi đi khi ping là 32 bytes tới một máy tính chạy Windows.
Kích thước gói tin ở đây là 3,072 bytes.
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
19
Tìm hiểu phần mềm WireShark Mạng nâng cao
Determining Whether a Packet Is Fragmented (xác định vị trí gói tin bị phân
đoạn)
No Connectivity (không kết nối)
Vấn đề : chúng ta có 2 nhân viên mới Hải và Thanh và được sắp ngồi cạnh nhau
và đương nhiên là được trang bị 2 máy tính. Sauk hi được trang bị và làm các thao
tác để đưa 2 máy tính vào mạng, có một vấn đề xảy ra là máy tính của Hải chạy
tốt, kết nối mạng bình thường, máy tính của Thanh không thể truy nhập Internet.
Mục tiêu : tìm hiểu tại sao máy tính của Thanh không kết nối được Internet và sửa
lỗi đó.
Các thông tin chúng ta có
• cả 2 máy tính đều mới
• cả 2 máy đều được đặt IP và có thể ping đến các máy khác trong mạng
Nói tóm lại là 2 máy này được cấu hình không có gì khác nhau.
Tiến hành
Cài đặt Wireshark trực tiếp lên cả 2 máy.
Phân tích

Trước hết trên máy của Hải ta nhìn thấy một phiên làm việc bình thường với
HTTP. Đầu tiên sẽ có một ARP broadcast để tìm địa chỉ của gateway ở tầng 2, ở
đây là 192.168.0.10. Khi máy tính của Hải nhận được thông tin nó sẽ bắt tay với
máy gateway và từ đó có phiên làm việc với HTTP ra bên ngoài.
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
20
Tìm hiểu phần mềm WireShark Mạng nâng cao
Hình 3.1-12: Hải’s computer completes a handshake, and then HTTP data transfer
begins.
Trường hợp máy tính của Thanh
Hình 3.1-13: Thanh’s computer appears to be sending an ARP request to a
different IP address.
Hình trên cho thấy yêu cầu ARP không giống như trường hợp ở trên. Địa chỉ
gateway được trả về là 192.168.0.11.
Như vậy có thể thấy NetBIOS có vấn đề.
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
21
Tìm hiểu phần mềm WireShark Mạng nâng cao
NetBIOS là giao thức cũ nó sẽ được thay thế TCP/IP khi TCP/IP không hoạt động.
Như vậy là máy của Thanh không thể kết nối Internet với TCP/IP.
Chi tiết yêu cầu ARP trên 2 máy :
Máy Hải
Máy Thanh
Kết luận : máy Thanh đặt sai địa chỉ gateway nên không thể kết nối Internet, cần
đặt lại là 192.168.0.10.
The Ghost in Internet Explorer (con ma trong trình duyệt IE)
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
22
Tìm hiểu phần mềm WireShark Mạng nâng cao
Hiện tượng : máy tính của A có hiện tượng như sau, khi sử dụng trình duyệt IE,

trình duyệt tự động trỏ đến rất nhiều trang quảng cáo. Khi A thay đổi bằng tay thì
vẫn bị hiện tượng đó thậm chí khở động lại máy cũng vẫn bị như thế.
Thông tin chúng ta có
• A không thạo về máy tính lắm
• Máy tính của A dùng Widows XP, IE 6
Tiến hành
Vì hiện tượng này chỉ xảy ra trên máy của A và trang home page của A bị thay đổi
khi bật IE nên chúng ta sẽ tiếp hành bắt gói tin từ máy của A. Chúng ta không nhất
thiết phải cài Wireshark trực tiếp từ máy của A. Chúng ta có thể dùng kỹ thuật
“Hubbing Out” .
Phân tích
Hình 3.1-16: Since there is no user interaction happening on A’s computer at the
time of this capture, all of these packets going across the wire should set off some
alarms.
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
23
Tìm hiểu phần mềm WireShark Mạng nâng cao
Chi tiết gói tin thứ 5:
Hình 3.1-17: Looking more closely at packet 5, we see it is trying to download
data from the Internet.
Từ máy tính gửi yêu cầu GET của HTTP đến địa chỉ như trên hình.
Hình 3.1-18: A DNS query to the weatherbug.com domain gives a clue to the
culprit.
Gói tin trả lại bắt đầu có vấn đề : thứ tự các phần bị thay đổi.
Một số gói tiếp theo có sự lặp ACK.
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
24
Tìm hiểu phần mềm WireShark Mạng nâng cao
Sau một loạt các thay đổi trên thì có truy vấn DNS đến deskwx.weatherbug.com
Đây là địa chỉ A không hề biết và không có ý định truy cập.


Như vậy có thể là có một process nào đó đã làm thay đổi địa chỉ trang chủ mỗi khi
IE được bật lên. Dùng một công cụ kiểm tra process ẩn ví dụ như Process Explore
và thấy rằng có tiến trình weatherbug.exe đang chạy. Sau khi tắt tiến trình này đi
không còn hiện tượng trên nữa.
Thông thường các tiến trình như weatherbug có thể là virus, spyware.
Giao diện Process Explore
SV:Nguyễn Thị Chuyên Lớp: TK6LC1
25