电脑遭受ARP攻击了怎么解决

千问 · 2011-10-31 11:01:57

这个问题我觉得你应该仔细分析一下，从你的描述看来，我得出以下假设：
1、你路由器的MAC地址表有部分或者全部客户机未作静态绑定；
2、你每台客户机都作了“arp-s网关ip网关mac”的静态绑定；
3、某台机器掉线时它的arp表里的网关的IP-MAC是正确的，而路由器里对应该客户机IP的MAC地址不正确。
基于以上三点假设，为什么有的客户机还是会掉线呢？如果你理解了ARP协议，这就很好解释了。比如你某台客户机中了ARP欺骗病毒，那么该机会每隔一段时间对该网段内所有IP进行一次扫描，比如你的IP是192.168.0.1-192.168.0.254，那么中病毒的电脑会对这254个IP地址分别发送一个ARPResponse消息（也可能是多个指向广播地址的ARPResponse消息），这个消息可以更新所有这254台电脑的ARP表，更改的结果是所有电脑的ARP表内IP是网关的IP，而MAC地址却是中病毒的电脑的MAC地址。这个病毒之所以设计成这样是因为这样可使这个网段内所有的流量通过中病毒的那台主机，然后再通过路由器，专业术语叫做“maninthemiddle”，也就是中间人攻击，此举可以盗取该网段所有密码信息（因为所有流量都通过了中病毒主机，所以它可以任意监听感兴趣的信息并加以记录）。
现在再说你的情况，你的每台客户机都作了静态绑定，所以它们不受这个ARPResponse消息的影响。（前提是你的客户机都是WinXP及以上的操作系统，WinXP以下的系统不能创建永久的静态绑定，也就是说就算你绑定了，隔一段时间后绑定信息会超时）。但是据你所说你在路由器上只绑定了部分客户机的IP-MAC，那么问题就出来了。比如说你在路由器上绑定了192.168.0.1-192.168.0.200的客户机的IP和MAC，那么在路由器接收到刚才所说的ARPResponse消息时，会把192.168.0.201-192.168.0.254之内的所有IP所对应的MAC绑定为中病毒电脑的MAC。这时，这54个IP地址所对应的客户机可以正常的找到路由器，但是路由器却不能正确地找到该客户机，也就是说通信只能从客户机到路由器，不能从路由器到客户机。所以你的部分客户机无法上网。
解决办法是：
1、所有客户机静态绑定网关，网关路由器绑定所有客户机的IP-MAC。
2、在局域网内的某台电脑上安装Sniffer_Pro或者OmniPeek等协议分析软件（也就是俗称的抓包软件），然后在连接这台电脑的交换机端口上配置portmirror，如果是傻瓜交换机，那么你就在这个端口上接一个集线器（一定要是集线器，物理层设备），然后把装OmniPeek的电脑接到这个集线器上，然后抓包分析。当你看到某台机器没有发出ARPRequest却收到了ARPResponse，那么发送ARPResponse的主机的MAC地址就是种病毒的电脑的MAC地址。有了MAC地址就可以找到种病毒的电脑了。

<h4class=\"ask\">追问

有时候网络自动中断

千问 · 2011-10-31 11:01:57

你确定你的网络自动断是因为arp吗？

千问 · 2011-10-31 11:01:57

不用管，那个是安全软件敏感了

赞同

千问 · 2011-10-31 11:01:57

装个360安全卫士，它自带的ARP防火墙很好使的，而且还可以用360其它很多功能

赞同

千问 · 2011-10-31 11:01:57

如果电脑中arp的病毒了，只要这台电脑开机就会发动攻击，伪造网关，导致其他电脑都找到错误的网关，以至于掉线，现在对于arp攻击的问题还没有很好的解决办法，向传统的解决办法如，双绑、arp防火墙等效果都不是很好，因为arp攻击的原理是：
1、终端对网关的绑定要坚实可靠，这个绑定能够抵制被病毒捣毁。
2、接入路由器或网关要对下面终端IP-MAC的识别始终保证唯一准确。
3、网络内要有一个最可依赖的机构，提供对网关IP-MAC最强大的保护。它既能够分发正确的网关信息，又能够对出现的假网关信息立即封杀
我听说欣全向公司有一种免疫强路由器是针对交换网络中的arp攻击的效果还不错，你可以查查相关资料

赞同

电脑遭受ARP攻击了 怎么解决

电脑遭受ARP攻击了怎么解决