浅析ARP病毒入侵局域网的途径与防治

科　信　息ｌ科ｌ学　攻击分析及防治　孙剑颖　（东北财经大学实验教学中心，辽宁大连１１６０２５）　摘要：ＡＲＰ攻击是局域网中最具危害性的病毒，中毒计算机ＡＲＰ发作时会导致大面积同时掉线，或是速度很慢。通过分析ＡＲＰ病毒的原理　和攻击时的现象，提出有效的解决办法。　关键词：ＡＲＰ；攻击；防治　ＡＲＰ（Ａｄｄｒｅｓｓ　Ｒｅｓｏｌｕｔｉｏｎ　Ｐｒｏｔｏｃｏｌ，地址解　析协议）是一种将ＩＰ地址转化成物理地址的协　议。ＡＲＰ具体说来就是将网络层（ＩＰ层，也就是　相当于ＯＳＩ的第三层）地址解析为数据连接层　（ＭＡＣ层，也就是相当于ＯＳＩ的第二层）的ＭＡＣ　地址。ＡＲＰ协议的基本功能是通过目标设备的　ＩＰ地址，查询目标设备的ＭＡＣ地址，以保证通　信的顺利进行。每台安装有ＴＣＰ／ＩＰ协议的设备　里都有一个ＡＲＰ缓存表，用来存放已经查找到　的ＩＰ，ＭＡＣ地址对应表。　１　ＡＲＰ欺骗的原理分析　ＡＲＰ表是每台设备的ＭＡＣ地址和ＩＰ地　址的关系对应表。如果设备需要在局域网中利　用ＴＣＰ／ＩＰ协议进行通信的话，必须有这样一张　ＡＲＰ表。ＡＲＰ表是每台设备自行维护的，而　ＡＲＰ表的数据，是来自于开放的“ＡＲＰ广播”机　制，由每台设备在网上广播自己的ＩＰ／ＭＡＣ地　址的对应关系来做到的。这样就存在一个很大　的隐患，就是恶意程序可以利用这种开放机制，　发送错误的ＩＰ／ＭＡＣ地址对应关系，达到特定　的目的。在局域网中，通过ＡＲＰ协议来完成ＩＰ　地址转换为第二层物理地址（即ＭＡＣ地址）的。　ＡＲＰ协议对网络安全具有重要的意义。通过伪　造ＩＰ地址和ＭＡＣ地址实现ＡＲＰ欺骗，能够在　网络中产生大量的ＡＲＰ通信量使网络阻塞。导　致欺骗成功的最主要的原因就是ＡＲＰ协议在　最初设计的时候就没有考虑安全机制，默认就　是信任全部以太网内主机的ＡＲＰ报文。　２　ＡＲＰ攻击的现象　ＡＲＰ的攻击的问题影响面很大，下面是几　种常见ＡＲＰ攻击的现象：　２．１大面积同时掉线和速度很慢，这种情　况往往是ＡＲＰ病毒的表现，也有少数盗号程序　是这种现象。　２．２电脑挨个掉线或者卡，这种情况多是　盗号程序所为，因为盗号程序往往是按照ｌＰ地　址顺序进行攻击，所以出现电脑挨个掉线的情　况。如果盗号程序做的针对性强，就出现玩同一　种游戏的电脑挨个掉线。　２．３掉线和卡好像有某种时间规律，现在　ＡＲＰ攻击往往都藏在外挂和网页里面，所以就　和用户的使用习惯有关，当某个时间用户习惯　地使用某种程序或者打开某个网页时，攻击就　开始了，关机后攻击就停止了。所以说好像有某　一种时间规律。但是这种用户有几天没有来，就　几天没有故障，网管就会觉得问题又莫明其妙　没有了。　３　ＡＲＰ攻击的原理和演化　从影响网络连接通畅的方式来看，ＡＲＰ欺　骗分为两种，一种是对路由器ＡＲＰ表的欺骗；　另一种是对内网ＰＣ的网关欺骗。第一种ＡＲＰ　欺骗的原理是截获网关数据。它通知路由器一　系列错误的内网ＭＡＣ地址，并按照一定的频率　不断进行，使真实的地址信息无法通过更新保　存在路由器中，结果路由器的所有数据只能发　送给错误的ＭＡＣ地址，造成正常ＰＣ无法收到　信息。第二种ＡＲＰ欺骗的原理是伪造网关。它　的原理是建立假网关，让被它欺骗的ＰＣ向假　网关发数据，而不是通过正常的路由器途径上　网。　初级的ＡＲＰ欺骗是有目的的发布错误　ＡＲＰ广播包的行为，被称为ＡＲＰ欺骗。ＡＲＰ欺　骗，最初为黑客所用，成为黑客窃取网络数据的　主要手段。黑客通过发布错误的ＡＲＰ广播包，　阻断正常通信，并将自己所用的电脑伪装称别　的电脑，这样原本发往其他电脑的数据，就发到　了黑客的电脑上，达到窃取数据的目的。　中级的ＡＲＰ恶意攻击是有人利用这一原　理，制作了一些所谓的“管理软件”，例如网路剪　刀手、执法官、终结者等，这样就导致了ＡＲＰ恶　意攻击的泛滥。往往使用这种软件的人，以恶意　破坏为目的，多是为了让别人断线。　综合的ＡＲＰ攻击其目的、方式多样化，冲　击力度、影响力也比前两个阶段大很多。首先是　病毒加入了ＡＲＰ攻击的行列。以前的病毒攻击　网络以广域网为主，最有效的攻击方式是　ＤＤＯＳ攻击。但是随着防范能力的提高，病毒制　造者将目光投向局域网，开始尝试ＡＲＰ攻击，　例如最近流行的威金病毒，ＡＲＰ攻击是其使用　的攻击手段之一。　近期，一种新型的“ＡＲＰ欺骗”木马病毒　正在校园网中扩散，严重影响了校园网的正常　运行。感染此木马的计算机试图通过“ＡＲＰ欺　骗”手段截获所在网络内其它计算机的通信信　息，并因此造成网内其它计算机的通信故障。　ＡＲＰ欺骗木马的中毒现象表现为：使用校园网　时会突然掉线，过一段时间后又会恢复正常。比　如客户端状态频频变红，用户频繁断网，ＩＥ浏　览器频繁出错，以及一些常用软件出现故障等。　如果校园网是通过身份认证上网的，会突然出　现可认证，但不能上网的现象（无法ｐｉｎｇ通网　关），重启机器或在ＭＳ—ＤＯＳ窗口下运行命令　ａｒｐ—ｄ后，又可恢复上网。ＡＲＰ欺骗木马十分　猖狂，危害也特别大，各大学校园网、小区网、公　司网和网吧等局域网都出现了不同程度的灾　情，带来了网络大面积瘫痪的严重后果。ＡＲＰ　欺骗木马只需成功感染一台电脑，就可能导致　整个局域网都无法上网，严重的甚至可能带来　整个网络的瘫痪。该木马发作时除了会导致同　一局域网内的其他用户上网出现时断时续的现　象外，还会窃取用户密码。如盗取ＱＱ密码、盗　取各种网络游戏密码和账号去做金钱交易，盗　窃网上银行账号来做非法交易活动等，这是木　马的惯用伎俩，给用户造成了很大的不便和巨　大的经济损失。　４　ＡＲＰ攻击的处理　４．１现在最常用的基本对治方法是“ＡＲＰ　双向绑定”　由于ＡＲＰ攻击往往不是病毒造成的，而　是合法运行的程序（外挂、网页）造成的，所杀毒　软件多数时候束手无策。所谓“双向绑定”，就是　再路由器上绑定ＡＲＰ表的同时，在每台电脑上　也绑定一些常用的ＡＲＰ表项。“ＡＲＰ双向绑定”　能够防御轻微的、手段不高明的ＡＲＰ攻击。　ＡＲＰ攻击程序如果没有试图去更改绑定的　ＡＲＰ表项，那么ＡＲＰ攻击就不会成功；如果攻　击手段不剧烈，也欺骗不了路由器，这样我们就　能够防住５０％ＡＲＰ攻击。　但是现在ＡＲＰ攻击的程序往往都是合法　运行的，所以能够合法的更改电脑的ＡＲＰ表　项。在现在ＡＲＰ双向绑定流行起来之后，攻击　程序的作者也提高了攻击手段，攻击的方法更　综合，另外攻击非常频密，仅仅进行双向绑定已　经不能够应付凶狠的ＡＲＰ攻击了，仍然很容易　出现掉线。　常见的路由器中的“ＡＲＰ攻击主动防御”　功能是在路由器ＡＲＰ绑定的基础上实现的，原　理是：当网内受到错误的ＡＲＰ广播包攻击时，　路由器立即广播正确的ＡＲＰ包去修正和消除　攻击包的影响。这样就解决了掉线的问题，但是　当ＡＲＰ攻击很频密的时候，就需要路由器发送　更频密的正确包去消除影响。　４．２查找病毒主机，找到后对病毒进行彻　底的查杀　为了彻底消除ＡＲＰ攻击的来源，可以通　过提供信息方便跟踪攻击源，这样管理员找到　中毒用户后，通过临时切断攻击电脑或者封杀　发出攻击的程序，能够解决问题。　４．３使用软件（Ａｎｔｉａｒｐ）使用Ａｎｔｉ　ＡＲＰ　Ｓｎｉｆｅｒ可以防止利用ＡＲＰ技术进行数据包截　取以及防止利用ＡＲＰ技术发送地址冲突数据　包。　事实上，由于路由器是整个局域网的出　口，而ＡＲＰ攻击是以整个局域网为目标，当　ＡＲＰ攻击包已经达到路由器的时候，影响已经　照成。所以由路由器来承担防御ＡＲＰ攻击的任　务只是权宜之计，并不能很好的解决问题。　要真正消除ＡＲＰ攻击的隐患，必须在核　心交换机上进行智能控制。由于任何ＡＲＰ包，　都必须经由交换机转发，才能达到被攻击目标，　只要交换机拒收非法的ＡＲＰ包，或是能够自动　地判读ＡＲＰ攻击，并及时的封停中ＡＲＰ病毒　的计算机，ＡＲＰ攻击就不能造成任何影响。　责任编辑：王娜　一

浅谈局域网ARP病毒攻击检测与防御

摘要 针对ARP工作原理，对ARP病毒进行全面分析，提出在局域网中如何检测出中毒计算机和更好的ARP欺骗防御。

关键词 ARP；ARP病毒；ARP防御

1 ARP和ARP欺骗

1）ARP。ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络实际传输的是“帧”，帧里有目标主机的MAC地址。在以太网中，主机和主机间进行直接通信，必须知道目标主机的MAC地址。但这个目标MAC地址如何获得呢？它是通过地址解析协议获得的，所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。

2）ARP欺骗。利用ARP的漏洞，攻击者可对整个局域网的安全构成威胁，从影响网络连接的方式来看，ARP欺骗分为二种，一种是对路由器ARP表的欺骗；另一种是对内网PC的网关欺骗。

第一种ARP欺骗的原理是截获网关数据。它给予路由器错误的内网MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新保存在路由器中，结果路由器的所有数据只能发送给错误的MAC地址，造成正常PC无法收到信息。第二种ARP欺骗的原理是伪造网关。它的原理是建立假网关，让被它欺骗的PC向假网关发数据，不能通过正常的路由途径上网，在PC看来，就是 “网络掉线了”。

2 找出ARP欺骗主机

当局域网中出现ARP欺骗时，局域网中就会出现以下症状：

网络时断时通；网络中断，重启网关设备，网络短暂连通；

内网通讯正常、网关不通；频繁提示IP地址冲突；

硬件设备正常，局域网不通； 特定IP网络不通，更换IP地址，网络正常；

禁用-启用网卡，网络短暂连通；网页被重定向。

1）命令提示符法。局域网遭受ARP欺骗时，中毒主机会向全网不停地发送ARP欺骗广播，局域网中其它主机就会更新自身的ARP缓存表，将网关的MAC地址改成ARP病毒主机的MAC地址；在受到欺骗的主机上选择开始→运行输

浅谈企业网ARP病毒的危害及防治

（第四采油厂第四油矿）

摘 要：局域网中感染ARP病毒的情况也越来越多。而且该病毒危害较大。病毒的防范措施。掌握其防范和清除方法十分必要。清除方法，浅谈ARP病毒的危害及防治。

主题词：ARP病毒，危害，防范措施，清除方法

引 言

随着网络技术的发展，局域网的使用日益广泛，局域网中感染ARP病毒的情况也越来越多，而且该病毒危害较大，清理和防范较难，给网络管理员和用户造成了诸多困扰。因此，了解ARP病毒，掌握其防范和清除方法十分必要。

1 ARP病毒的影响

最近一段时期，在互联网中出现了一种以网络ARP协议为工作原理的病毒，它以破坏局域网的网络链接为目标，欺骗网关，阻断入网计算机，造成计算机无法连接网络或网络时断时续，此病毒一经产生便大规模地在网络中蔓延，造成了很大的影响。

采油厂企业网属于大型局域网，它采用以太网的通信规则进行数据的交换和传输。在企业网的日常管理和安全维护中，我们发现了多起ARP病毒入侵网络的现象，它们常常使网络时断时续、主机IP地址冲突、网页连接错误，给员工日常的办公和油田生产数据的传输带来了较大的影响。因此，ARP病毒的防治已成为采油厂企业网管理和维护的首要任务。

1.1 ARP病毒的起源

许多局域网出现网络运行不稳定，频繁断网、IE浏览器接连出错、IP地址冲突等问题。国家计算机病毒应急处理中心通报一种新型“地址解析协议欺骗”(简称：ARP欺骗)的恶意木马程序正在网络中传播。论文检测，清除方法。这是ARP病毒第一次公开出现在大众视线中，从此，ARP病毒逐渐在校园网、部门网、企业网、社区网以及网吧等局域网中蔓延。 1.2ARP病毒的原理

ARP病毒是利用局域网中ARP协议工作原理进行网络破坏的。

ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。

每台交换机或安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的，如下表所示：

ARP攻击原理与防御措施

ARP攻击（Address Resolution Protocol Attack）是一种利用ARP协议的安全漏洞来进行网络攻击的方式。ARP协议是用于将网络层IP地址解析为物理层MAC地址的协议，是局域网中设备之间通信的基础。

ARP攻击的原理是攻击者通过发送伪造的ARP响应包，欺骗局域网中其他设备将原本应该发送给目标设备的数据包发送给攻击者设备，从而达到窃取信息、劫持网络连接等目的。

具体来说，ARP攻击可以分为以下几个步骤：

1. 攻击者发送伪造的ARP响应包，欺骗目标设备将本应发送给目标设备的数据包发送给攻击者设备。

2. 攻击者设备收到目标设备的数据包后，进行相应的操作（如截取数据、修改数据等）。

3. 攻击者将修改后的数据包重新发送给目标设备，目标设备无法察觉被攻击。

防御ARP攻击的措施包括以下几点：

1. 使用动态ARP缓存：设备可以在收到ARP响应包时，在ARP缓存中保存发送者的IP地址和MAC地址对应关系，如果收到的ARP响应包中的对应关系与缓存中的不一致，可以认为可能受到ARP攻击，可以采取相应的防御措施。

2. ARP限制：可以通过配置交换机或路由器的ARP限制功能，设置只允许特定设备的ARP请求通过。这样，攻击者发送伪造的ARP响应包时，其MAC地址与IP地址对应关系将无法被目标设备接受和使用。

3. 使用ARP防火墙：一些网络设备提供了ARP防火墙功能，可以检测和阻止ARP攻击。当检测到伪造的ARP响应包时，可以自动实施相应的防御措施，如断开与攻击者的连接等。

4. 使用加密通信：使用加密协议（如HTTPS）进行通信可以有效防止ARP攻击。即使攻击者拦截了数据包，但由于数据包是经过加密的，攻击者无法获取其中的明文信息。

5. 网络安全教育：对网络管理员和用户进行网络安全教育和培训，提高他们的网络安全意识，并告知如何预防和应对ARP攻击，以及网络安全维护的重要性。 ARP攻击是一种利用ARP协议漏洞进行的网络攻击方式，能够造成信息窃取、网络连接劫持等问题。为了保护网络安全，我们可以采取一系列防御措施，如使用动态ARP缓存、ARP限制、使用ARP防火墙、使用加密通信等。