当前位置：文档之家 › 对ARP病毒攻击的防范和处理

对ARP病毒攻击的防范和处理

  • 格式：doc
  • 大小：25.00 KB
  • 文档页数：4

对ARP病毒攻击的防范和处理
如果在使用网络时速度越来越慢，直至掉线，而过一段时间后又可能
恢复正常，或者，重启路由器后又可正常上网。故障出现时，网关
ping 不通或有数据丢失，那么很有可能是受到了ARP病毒攻击。下
面我就谈谈对这种情况处理的一些意见。
一、首先诊断是否为ARP病毒攻击
1、当发现上网明显变慢，或者突然掉线时，我们可以用arp-命令来
检查ARP表：（点击 开始 按钮->选择运行->输入 cmd 点击
确定 按钮，在窗口中输入 arp -a 命令）如果发现网关的MAC地址
发生了改变，或者发现有很多IP指向同一个物理地址，那么肯定就
是ARP欺骗所致。
2、利用Anti ARP Sniffer软件查看（详细使用略）。
二、找出ARP病毒主机
1、用“arp –d”命令，只能临时解决上网问题，要从根本上解决问
题，就得找到病毒主机。通过上面的arp –a命令，可以判定改变了
的网关MAC地址或多个IP指向的物理地址，就是病毒机的MAC地址。
哪么对应这个MAC地址的主机又是哪一台呢，windows中有
ipconfig/all命令查看每台的信息，但如果电脑数目多话，一台台
查下去不是办法，因此可以下载一个叫“NBTSCAN”的软件，它可以
取到PC的真实IP地址和MAC地址。
命令：“nbtscan -r 192.168.80.0/24”（搜索整个192.168.80.0/24
网段, 即 192.168.80.1-192.168.80.254）；或“nbtscan
192.168.80.25-137”搜索192.168.80.25-137 网段，即
192.168.80.25-192.168.80.137。输出结果第一列是IP地址，最后
一列是MAC地址。这样就可找到病毒主机的IP地址。
2、如果手头一下没这个软件怎么办呢？这时也可在客户机运行路由
跟踪命令如：tracert –d www.163.com ，马上就发现第一条不是网
关机的内网ip，而是本网段内的另外一台机器的IP，再下一跳才是
网关的内网IP；正常情况是路由跟踪执行后的输出第一条应该是默
认网关地址，由此判定第一跳的那个非网关IP 地址的主机就是罪魁
祸首。
当然找到了IP之后，接下来是要找到这个IP具体所对应的机子了，
如果你每台电脑编了号，并使用固定IP，IP的设置也有规律的话，
那么就很快找到了。但如果不是上面这种情况，IP设置又无规律，
或者IP是动态获取的那该怎么办呢？难道还是要一个个去查？非
也！你可以这样：把一台机器的IP地址设置成与作祟机相同的相同，
然后造成IP地址冲突，使中毒主机报警然后找到这个主机。
三、处理病毒主机
1、用杀毒软件查毒，杀毒。
2、建议重装系统，一了百了。（当然你应注意除系统盘外其他盘有
无病毒）
四、如何防范ARP病毒攻击
1、从影响网络连接通畅的方式来看，ARP欺骗分为二种，一种是对
路由器ARP表的欺骗；另一种是对内网PC的网关欺骗。第一种ARP
欺骗的原理是——截获网关数据。它通知路由器一系列错误的内网
MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过
更新保存在路由器中，结果路由器的所有数据只能发送给错误的MAC
地址，造成正常PC无法收到信息。第二种ARP欺骗的原理是——伪
造网关。它的原理是建立假网关，让被它欺骗的PC向假网关发数据，
而不是通过正常的路由器途径上网。在PC看来，就是上不了网了，
“网络掉线了”。因此很多人建议用户采用双向绑定的方法解决并且
防止ARP欺骗，这个确实是最好解决的办法，但如果电脑数量多的情
况下，在路由器上作绑定工作量将很大，我个人认为主要做好在PC
上绑定路由器的IP和MAC地址就行了，在PC上绑定可以按下面方法
做：
1）首先，获得路由器的内网的MAC地址（例如网关地址172.16.1.254
的MAC地址为0022aa0022ee）。
2）编写一个批处理文件rarp.bat内容如下：
@echo off
arp -d
arp -s 172.16.1.254 00-22-aa-00-22-ee
将文件中的网关IP地址和MAC地址更改为您自己的网关IP地址和
MAC地址即可。将这个批处理软件拖到“windows--开始--程序--启
动”中。
这样即减轻了一台台设置的麻烦，也避免了由于电脑重新启动使得数
据又要重做的麻烦。当然最好电脑要有还原卡和保护系统，使得这个
批处理不会被随意删除掉。
2、作为网络管理员，我认为应该充分利用一些工具软件，备一些常
用的工具，就ARP而言，推荐在手头准备这样几个软件：
①“Anti ARP Sniffer”（使用Anti ARP Sniffer可以防止利用ARP
技术进行数据包截取以及防止利用ARP技术发送地址冲突数据包，并
能查找攻击主机的IP及MAC地址）。
②“NBTSCAN”（NBTSCAN可以取到PC的真实IP地址和MAC地址，
利用它可以知道局域网内每台IP对应的MAC地址）
③“网络执法官” （一款局域网管理辅助软件，采用网络底层协议，
能穿透各客户端防火墙对网络中的每一台主机、交换机等配有IP的
网络设备进行监控；采用网卡号（MAC）识别用户，主要功能是依据
管理员为各主机限定的权限，实时监控整个局域网，并自动对非法用
户进行管理，可将非法用户与网络中某些主机或整个网络隔离，而且
无论局域网中的主机运行何种防火墙，都不能逃避监控，也不会引发
防火墙警告，提高了网络安全性）
3、定时检查局域网病毒，对机器进行病毒扫描，平时给系统安装好
补丁程序，最好是局域网内每台电脑保证有杀毒软件（可升级）
4、指导好网络内使用者不要随便点击打开QQ、MSN等聊天工具上发
来的链接信息，不要随便打开或运行陌生、可疑文件和程序，如邮件
中的陌生附件，外挂程序等。
5、建议对局域网的每一台电脑尽量作用固定IP，路由器不启用DHCP，
对给网内的每一台电脑编一个号，每一个号对应一个唯一的IP，这
样有利用以后故障的查询也方便管理。并利用“NBTSCAN”软件查出
每一IP对应的MAC地址，建立一个“电脑编号-IP地址-MAC地址”
一一对应的数据库。

合集下载

图书馆局域网ARP病毒的攻击原理与安全防范

图书馆局域网ARP病毒的攻击原理与安全防范

过 程 如 下 銎
１ 、建 立 连 接
如
Ｃ ＼ Ｉ － ｙ ｔ ｍ ３ ａ ｐ ｓ ９ １ ８ １ Ｏ １ ０ — ３４ — ８ 一 Ｗ ＮＮ Ｒｓ ｓ ｅ ２＞ ｒ － １ ２．６ ． Ｏ ． ０ ９
（ 北京交 学 通大
越 慢 。 后 ， Ａ Ｐ木 马程 序 停 止 运 行 时 ， 户 会恢 复 经 过 交换 机 上 最 当 Ｒ 用 网 ， 时 ， 户 还 会 断 线 一 次。 这 也正 是 有 时 用 户局 域 网访 问 正 常 ， 此 用 而 但 不 能上 ｌ ｅ ｔ ， 者能 上 网 络 却 时 断 时续 的原 因。 ｎ ｍｅ 网 或 ｔ ２ 如何 防范 和 治 理 Ａ ＲＰ攻 击 ２１ 通 过 划 分 Ｖ Ａ 阻 断 ＡＲ ． ＬＮ Ｐ的传 播 ＶＡ Ｌ Ｎ技 术 可 以在 局 域 网 中创 建 多 个 子 网 ，广 播包 一般 是无 法 跨 越 子 网传 播 的 ， 离 了广 播 ， 小 了广 播 范 围 ， 就 减 小 了广 播 风 隔 缩 也 暴 的产 生 几 率 。 域 网 的 网络 管理 员 可根 据 网络 的拓 扑结 构 ， 体 规 局 具 案。 划 出若 干 个 Ｖ Ａ 当管 理 员 发 现 有 非 法 用 户在 恶 意利 用 ＡＲ Ｌ Ｎ， Ｐ攻 击 关 键 词 ： 域 网 病 毒 ＡＲ 欺 骗 防 范 局 Ｐ 网 络 ， 因合 法 用 户 受 Ａ Ｐ病 毒 感 染 而 影 响 网络 时 ， 络 管 理 员 可 或 Ｒ 网 １ＡＲ Ｐ原理 及 攻 击 原 理 利 用技 术 手 段 首 先查 找 到该 用 户 所 在 的 交换 机 端 口 ，然后 将 该 端 口 １１ ． ＡＲＰ原 理 Ｌ Ｎ将该 用户与其它用户进行物理隔离 ， 以避免对 Ａ Ｐ协 议 也 叫地 址 解 析 协 议 ， 的 作 用 是 获 得在 同 一 物理 网 络 划一个单独 的 Ｖ Ａ Ｒ 它 其 它用 户 产 生 影 响 。 中 的主 机 硬 件地 址 。 ２２ 交 换 机 上 上绑 定 端 口和 ＭＡ ． Ｃ地 址 只 要 一 台 主 机 试 图 与另 一 台主 机 通 信 ， Ｒ Ａ Ｐ请 求就 被 初 始 化 。 交 换 机 的每 一 个 端 口都 对 应 着 ～ 台 主 机 ， 每一 台主 机 的 ＭＡ 而 Ｃ 当 Ｉ 定 该 Ｉ 本 地 网 络 中 的 地 址 ， 主 机 检 查 自 己 的 Ａ Ｐ缓 存 Ｐ确 Ｐ是 源 Ｒ 都 是 唯一 的。设 置 交换 机 的每 一 个 端 口与 ＭＡＣ地址 相 对 应 ， 果 来 如 以寻 找 目标 主 机 的硬 件 地 址 。 Ｃ地 址 与之 前 的 ＭＡ Ｃ地 址 不 相 符 ， 自动 封 锁该 端 就 如 果 Ａ Ｐ缓 存 表 中 没 有 发 现 映 射 ， Ｒ Ｒ Ａ Ｐ发 出 带 有 问题 “ 是 这 自该端 口的 ＭＡ 谁 口 ， 其 不 能连 接 到 局 域 网 。这 样 ， 攻 主 机就 无法 发 送 伪 造 的 ＡＲ 使 进 Ｐ 个 Ｉ 址 ？你 的硬 件 地址 是 什 么 ” Ｐ地 的请 求 。源主 机 的 Ｉ 址 和 硬 Ｐ地 数 据 帧 ， 而有 效 的 防 止 了 ＡＲ 从 Ｐ欺 骗 的发 生 。 交换 机 中 ， 定 端 口 在 绑 件地 址 附在 其 中。 Ａ Ｐ请 求作 为广 播 发 出 ， 有 的 本 地 主 机都 可 以 Ｒ 所 和 ＭＡＣ地址 通 常用 到 Ａ Ｌ配 置 。 Ｃ 接 收和 处 理 它 。 ２３ 对客 户机 及 网关 服 务器 上 进 行 静 态 Ａ Ｐ绑 定 ． Ｒ 在 本 地 网 络 中 的每 台主 机 ， 和 自己 的 Ｉ 址 作 匹配 检 查 。如 并 Ｐ地 采 用 双 向 绑 定 的 方法 解 决 并 且 防 止 ＡＲ Ｐ欺 骗 。 Ｐ 上 绑 定 路 在 Ｃ 果 主机 没 有 发 现 匹 配 ， 它将 忽略 这 一 请 求 。 由器 的 Ｉ Ｐ和 ＭＡＣ地 址 离标 主 机 确 定 请 求 中 的 Ｉ 址 与 自 己 的 相 匹 配 ， 直 接 向 源 Ｐ地 并 ① 对 客 户机 及 网 关 服 务 器 上 进 行 静 态 ＡＲ Ｐ绑 定 首 先在 网 关 服 主 机 发 送 ＡＲ Ｐ返 回 自 己 的硬 件 地 址 。 它 将 更 新 源 主 机 中 Ａ Ｐ缓 Ｒ 务 器 （ 理 主 机 ）的 电脑 上 查 看 本机 ＭＡ 代 Ｃ地 址 然 后 在 客 户 机器 的 存 的 ｌ 址 、 件 地 址 映 射 。当 源 主 机 接 收 到 答 复 后 ， 信 就 建 立 Ｐ地 硬 通 ＤＯ Ｓ命 令 下做 ＡＲ Ｐ的静 态 绑 定 。 了。
防止arp欺骗木马病毒小案例

防止arp欺骗木马病毒小案例

防止arp欺骗木马病毒小案例一．Arp病毒简介近期，一种新的“ARP欺骗”木马病毒（比如：传奇盗号的软件，某些传奇外挂中也被恶意加载了此程序）在互联网上扩散，不少客户局域网中都已发现机器感染此病毒，表现为用户频繁断网、线路严重丢包，IE浏览器频繁出错以及一些常用软件出现故障等问题。

Arp欺骗原理要谈ARP欺骗，首先要说一下arp的运行机制，通常主机发送一个ip包之前，它要到自己的ARP缓存表中寻找是否有目标主机的IP地址，如果找到了，也就知道了目标主机的MAC地址，然后直接发送；如果没有找到，该主机就发送一个ARP广播包目标MAC地址是“FF.FF.FF.FF.FF.FF”，这表示向同一网段内的所有主机发出这样的询问：“xxx.xxx.xxx.xx1的MAC地址是什么？”ip为xxx.xxx.xxx.xx1的主机响应这个广播，应答ARP广播为：“我是xxx.xxx.xxx.xx1,我的mac为xxxxxxxxxx2"这样，主机A就知道了主机B的MAC地址，可以通信了。

同时它还更新了自己的ARP缓存表，下次再向主机B发送信息时，可以直接在ARP缓存表里查找。

ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。

当我们设定一个目标进行ARP欺骗时，也就是设置一主机C捕获主机A发送给主机B 的通信数据包，如果C能够接收到A发送的数据包，那么第一步嗅探成功了。

但是主机A 并没有意识到主机B没有接受到主机A发送的数据包。

假如主机C进行ICMP重定向，那么他可以直接进行整个包的修改，捕获到主机A发送给主机B的数据包，全部进行修改后再转发给主机B，而主机B接收到的数据包完全认为是从主机A发送来的。

这样主机C就完成了ARP欺骗。

中毒现象当某台主机中了这类ARP欺骗的病毒/木马程序后，会不定期发送仿冒的ARP响应数据报文。

这种报文会欺骗所在网段的主机和交换机，让其他用户上网的流量必须经过病毒主机。

ARP病毒攻击模拟与防范措施

ARP病毒攻击模拟与防范措施

ｓ ａ ｃ ｅｄ Ｔｈｉｄ，ｐｒｇｒｍ ｍｉ ｇ ａ ｄ ｓｍｕｌｔｏ ｆｓ ｃ ｉ Ｓ ａｔ ｃ ｓ ａｅ ａ ｈｉｖ ｄ，ａ ｄ ｔ ｘ ｅ ｉ ｎ ｈ ｗｓ ｔ ｔｔ ｅ ｅ ｒｈ ． ｒ ｏ ａ ｎ ｎ ｉ ａ ｉｎ ｏ ｕ ｈ ｖ ｍ ｔａ ｋ ｒ ｃ ｅ ｅ ｎ ｈｅ ｅ ｐ ｒｍｅ ｔｓ ｏ ｈａ ｈ
１ 引言
Ａ Ｐ病毒是因特 网上 新 出现 的病毒 ， 毒 发作 后 ， Ｒ 病 经常 造成 局域网 内主机断 网 ， 校园网 、 业 、 企 网吧等 局域 网用户深
（ ．Ａ ｒ ｏｃ ｏ ａ ｄ Ｃ ｌ ｇ ，Ｂ ｉｎ ０ ０ ９， ｈｎ ； ．Ｔ ｌ ｏ ｍｕ ｉ ｔ ｎＥ ｇ ｅ ｒ ｇＩ ｓ ｔｔ ， １ ｉ Ｆ ｒｅＣ ｍｍ ｎ ｏｌ ｅ ｅ ｉｇ１ ０ ８ Ｃ ｉ ２ ｅ ｃ ｍ ｎｃ ｉ ｎ ｉ ｅｉ ｔｕｅ ｅ ｊ ａ ｅ ａｏ ｎ ｎ ｎ ｉ
乱。首先分析 ｒ Ａ Ｐ协 ｝ Ｒ 义的基本原理 ， 指出 Ａ Ｐ协议 的漏洞 ； Ｒ 接着分析 了此类 病毒 的发作 原理 ； 然后 通过编程模拟 了此类
病 毒 的 攻 击 过 程 ， 通 过 实 验 结 果 证 明 了攻 击 的有 效 性 ； 后 提 出 了针 对 此 类 病 毒 的 三种 防 范措 施 。 并 最 关 键 词 ： 毒 ； 听 ； 间 人 攻 击 病 监 中 中 图 分 类 号 ：Ｎ ３ ．４ Ｔ ９ ６ ２ 文献标识码 ： Ａ
第２卷 第３ ７ 期
文 章 编 号 ：０ ６—９４ （ ０ ０ ０ ０ １ ０ １０ ３ ８ ２ １ ） ３— １９— ４
计
算
机
仿
真
２１年３ ００ 月
ＡＲ Ｐ病 毒 攻 击 模 拟 与 防 范措 施
王思 思 杨 仝 乔 向 东 ， 小 华 ， ， 赵
企业网络中ARP病毒快速定位和防范

企业网络中ARP病毒快速定位和防范

击原理 。
０ 引言
现在企业 内部的局域 网规模越 来越 大 ， 企业 的 日常办公也离 不开局域 网， 但近来有一种 Ａ Ｐ病毒专 门攻击网络。 Ｒ 局域网 中只 要有一台计算机中毒 ， 整个 网络就有可能全部瘫痪 ， 这给 网络 管 理和 日常办公都造成 巨大的困难 ， 网管人员越来越疲于应 付。本 文是从探讨 Ａ Ｐ病毒发生 的机 理和病毒发作 的网络表象 开始 ， Ｒ 推荐 了一 款简单 、 实用 的 Ａ Ｐ病 毒定位 软件 ， Ｒ 及时发 现 Ａ Ｐ病 Ｒ 毒源 ， 从而保证企业 网络稳定 ０７ 第 ６ 第 期
怯 定技 术
企业 同络 Ａ Ｐ高毒 快逑 定 仁和 殇蔻 Ｒ
汪 润根 （ 南车四方机车车辆股份公司， 山东 青 岛 ２６０ ） ６００
摘要 ： 绍了 Ａ 介 ＫＰ病毒攻击的原理 、 以及 病毒发作后 网络设 备和主机 的表 象， 还推荐 了一款 Ｅｈ ｒａ软件 ， ｔｅｅｌ 该软件 针对 Ａ ＲＰ 病毒发 生的机理在较大的企业 网中能快速 、准确定位感染 Ａ ＲＰ 病毒主机 ， 同时本文简单 阐述 了 Ａ Ｐ病毒 防治办法。 Ｒ 关键词 ： Ｒ 病毒 协议 Ｅｈｒａ Ａ Ｐ ｔｅ ｌ ｅ
能访问网络。 对交换机的攻击 ：交换机上同样维护着一个 动态的 ＭＡ Ｃ缓
１ Ａ ＲＰ欺骗 的 网络 现 象
Ａ Ｐ欺骗一般分为两种 ， 种是对路 由器 Ａ Ｐ表 的欺骗 ； Ｒ 一 Ｒ 另 种是对 内网计算机 的网关欺骗。第一种 Ａ Ｐ欺骗是截获网关 Ｒ 数据 ， 它通知路 由器一系列错误 的局域网 ＭＡ Ｃ地址 。 按照一定 并 的频率不断的更新学 习进行 ， 使真实的地址信息无法通过更新 保 存在路 由器 中，结果路 由器的所 有数据只能发送 到错误 的 ＭＡ Ｃ 地址 ， 造成正常的计算机无法收到信息。 第二种 Ａ Ｐ欺骗是通过 Ｒ 交换机的 Ｍ Ｃ地址 学习机制 ， Ａ 伪造 网关。 它的原理是建立假 的网 关， 让被 它欺骗的计算机 向假 网关发送数 据 ， 而不是通 过正常 的 路 由器或交换途径寻找 网关 ， 造成在 同一 网关 的所有计算机无法 访 问网络 。Ａ Ｐ地址欺骗 的网络表现主要有如下现象 ： Ｒ １ ）网络访 问时断时继 ， 掉线频繁 ， 网络访 问速度越 来越慢 ， 有 时则 长时间不能上网 ， 双击 任务栏 中的本地连接 图标 ， 显示 为 已经连接 ， 并且发现发送 的数据包 明显 少于接收 的数据包 ； ２ ）同一网段的所有上网机器均无 法正常连接网络 ； ３ ）打开 ｗｎｏ ｓ 务管理器 ， ｉｄｗ 任 出现可疑进程 ， ＭＩ０ｄ ｔ 如“ Ｅ ． ” ａ 等进程 ； ４ ）打开路 由器 的系统历史 记录 中看 到大 量的 ＭＡ Ｃ更 换信