设为首页
收藏本站
开启辅助访问
切换到窄版
登录
立即注册
中问网首页
我的收藏
站长博客
搜索
搜索
本版
帖子
用户
第一问答网
»
论坛
›
中问网
›
问答
›
是arp病毒吗!怎么解决!
返回列表
发新帖
是arp病毒吗!怎么解决!
[复制链接]
11
|
4
|
2007-6-14 16:35:59
|
显示全部楼层
|
阅读模式
一、故障现象及原因分析 情况一、当局域网内某台主机感染了ARP病毒时,会向本局域网内(指某一网段,比如:10.1.24.0这一段)所有主机发送ARP欺骗攻击,让原本流向网络中心的流量改道流向病毒主机,并通过病毒主机代理上网。因客户端具有防代理功能,造成受害者无法通过病毒主机上网。 由于病毒发作时发出大量数据包会将网络拥塞,大家会感觉上网速度越来越慢。中毒者同样如此,受其自身处理能力的限制,感觉运行速度很慢时,可能会采取重新启动或其他措施。此时病毒短时间停止工作,大家会感到网络恢复正常。如此反复,就造成网络时断时续。 情况二、局域网内有某些用户使用了ARP欺骗程序(如:网络执法官、网络剪刀手、传奇木马、QQ盗号软件等)发送ARP欺骗数据包,致使被攻击的电脑出现突然不能上网,过一段时间又能上网,反复掉线的现象。 二、故障诊断 如果用户发现以上疑似情况,可以通过如下操作进行诊断: 点击"开始"按钮->选择"运行"->输入"arp -d"->点击"确定"按钮,然后重新尝试上网,如果能恢复正常,则说明此次掉线可能是受ARP欺骗所致。 注:"arp -d"命令用于清除并重建本机arp表。"arp -d"命令并不能抵御ARP欺骗,执行后仍有可能再次遭受ARP攻击。 三、故障处理 1、中毒者:使用趋势科技ARP病毒专杀工具查杀病毒 下载趋势科技ARP病毒专杀工具。下载后解压缩,运行包内TSC.exe文件,不要关让它一直运行完,最后查看report文档便知是否中毒。 2、被害者:使用AntiArp软件抵御ARP攻击。 打开AntiArp软件下载页面。下载后解压缩,运行AntiArp。输入本网段的网关ip地址后,点击"获取网关MAC地址",检查网关IP地址和MAC地址无误后,点击"自动保护"。 若不知道网关IP地址,可通过以下操作获取:点击"开始"按钮->选择"运行"->输入"cmd"点击"确定"->输入"ipconfig"按回车,"Default Gateway"后的IP地址就是网关地址。 AntiArp软件会在提示框内出现病毒主机的MAC地址。
回复
使用道具
举报
千问
|
2007-6-14 16:35:59
|
显示全部楼层
在运行里输入CMD用arp-a命令查看是否为两个网关如果是计算机就是中了arp病毒解决方法:你用完arp-a命令,会出现两个网关,一个是你本机上的网关,另一个则是对方的IP地址,只要找到这台计算机就可以了,首先找个能够正常上网的计算机,去上面下载个局域网内部查看器,然后查看你内部所有人的IP地址里哪个和你电脑里面出现的那个IP一样,然后找到他,把他网线拔掉即可,然后别人的计算机有可能需要先重启或修复IE一下,一般就都可以上网了。一般这种情况在公司单位局域网里面通常会出现这种欺骗性的手法,使大家上不了网,只要用以上办法就可以解决此问题了。
回复
使用道具
举报
千问
|
2007-6-14 16:35:59
|
显示全部楼层
ARP是别人电脑上中毒了 你杀你的毒当然杀不出来了 下面是在网上找的 我们宿舍也是中了ARP都半年多了还是有 没办法 这个东西是中了ARP的电脑本身不掉线 只是速度慢 什么是ARP? ARP(Address Resolution Protocol,地址解析协议)是一个位于TCP/IP协议栈中的低层协议,负责将某个IP地址解析成对应的MAC地址。 什么是ARP欺骗? 从影响网络连接通畅的方式来看,ARP欺骗分为二种,一种是对路由器ARP表的欺骗;另一种是对内网PC的网关欺骗。 第一种ARP欺骗的原理是——截获网关数据。它通知路由器一系列错误的内网MAC地址,并按照一定的频率不断进行,使真实的地址信息无法通过更新保存在路由器中,结果路由器的所有数据只能发送给错误的MAC地址,造成正常PC无法收到信息。第二种ARP欺骗的原理是——伪造网关。它的原理是建立假网关,让被它欺骗的PC向假网关发数据,而不是通过正常的路由器途径上网。在PC看来,就是上不了网了,“网络掉线了”。 近期,一种新型的“ ARP 欺骗”木马病毒正在校园网中扩散,严重影响了校园网的正常运行。感染此木马的计算机试图通过“ ARP 欺骗”手段截获所在网络内其它计算机的通信信息,并因此造成网内其它计算机的通信故障。ARP欺骗木马的中毒现象表现为:使用校园网时会突然掉线,过一段时间后又会恢复正常。比如客户端状态频频变红,用户频繁断网,IE浏览器频繁出错,以及一些常用软件出现故障等。如果校园网是通过身份认证上网的,会突然出现可认证,但不能上网的现象(无法ping通网关),重启机器或在MS-DOS窗口下运行命令arp -d后,又可恢复上网。ARP欺骗木马十分猖狂,危害也特别大,各大学校园网、小区网、公司网和网吧等局域网都出现了不同程度的灾情,带来了网络大面积瘫痪的严重后果。ARP欺骗木马只需成功感染一台电脑,就可能导致整个局域网都无法上网,严重的甚至可能带来整个网络的瘫痪。该木马发作时除了会导致同一局域网内的其他用户上网出现时断时续的现象外,还会窃取用户密码。如盗取QQ密码、盗取各种网络游戏密码和账号去做金钱交易,盗窃网上银行账号来做非法交易活动等,这是木马的惯用伎俩,给用户造成了很大的不便和巨大的经济损失。 如何检查和处理“ ARP 欺骗”木马的方法 1 .检查本机的“ ARP 欺骗”木马染毒进程 同时按住键盘上的“ CTRL ”和“ ALT ”键再按“ DEL ”键,选择“任务管理器”,点选“进程”标签。察看其中是否有一个名为“ MIR0.dat ”的进程。如果有,则说明已经中毒。右键点击此进程后选择“结束进程”。参见右图。 2 .检查网内感染“ ARP 欺骗”木马染毒的计算机 在“开始” - “程序” - “附件”菜单下调出“命令提示符”。输入并执行以下命令: ipconfig 记录网关 IP 地址,即“ Default Gateway ”对应的值,例如“ 59.66.36.1 ”。再输入并执行以下命令: arp –a 在“ Internet Address ”下找到上步记录的网关 IP 地址,记录其对应的物理地址,即“ Physical Address ”值,例如“ 00-01-e8-1f-35-54 ”。在网络正常时这就是网关的正确物理地址,在网络受“ ARP 欺骗”木马影响而不正常时,它就是木马所在计算机的网卡物理地址。 也可以扫描本子网内的全部 IP 地址,然后再查 ARP 表。如果有一个 IP 对应的物理地址与网关的相同,那么这个 IP 地址和物理地址就是中毒计算机的 IP 地址和网卡物理地址。 3 .设置 ARP 表避免“ ARP 欺骗”木马影响的方法 本方法可在一定程度上减轻中木马的其它计算机对本机的影响。用上边介绍的方法确定正确的网关 IP 地址和网关物理地址,然后在 “命令提示符”窗口中输入并执行以下命令: arp –s 网关 IP 网关物理地址 4.态ARP绑定网关 步骤一: 在能正常上网时,进入MS-DOS窗口,输入命令:arp -a,查看网关的IP对应的正确MAC地址, 并将其记录下来。 注意:如果已经不能上网,则先运行一次命令arp -d将arp缓存中的内容删空,计算机可暂时恢复上网(攻击如果不停止的话)。一旦能上网就立即将网络断掉(禁用网卡或拔掉网线),再运行arp -a。 步骤二: 如果计算机已经有网关的正确MAC地址,在不能上网只需手工将网关IP和正确的MAC地址绑定,即可确保计算机不再被欺骗攻击。 要想手工绑定,可在MS-DOS窗口下运行以下命令: arp -s 网关IP 网关MAC 例如:假设计算机所处网段的网关为192.168.1.1,本机地址为192.168.1.5,在计算机上运行arp -a后输出如下: Cocuments and Settings>arp -a Interface:192.168.1.5 --- 0x2 Internet Address Physical Address Type 192.168.1.1 00-01-02-03-04-05 dynamic 其中,00-01-02-03-04-05就是网关192.168.1.1对应的MAC地址,类型是动态(dynamic)的,因此是可被改变的。 被攻击后,再用该命令查看,就会发现该MAC已经被替换成攻击机器的MAC。如果希望能找出攻击机器,彻底根除攻击,可以在此时将该MAC记录下来,为以后查找该攻击的机器做准备。 手工绑定的命令为: arp -s 192.168.1.1 00-01-02-03-04-05 绑定完,可再用arp -a查看arp缓存: Cocuments and Settings>arp -a Interface: 192.168.1.5 --- 0x2 Internet Address Physical Address Type 192.168.1.1 00-01-02-03-04-05 static 这时,类型变为静态(static),就不会再受攻击影响了。 但是,需要说明的是,手工绑定在计算机关机重启后就会失效,需要再次重新绑定。所以,要彻底根除攻击,只有找出网段内被病毒感染的计算机,把病毒杀掉,才算是真正解决问题。 5 .作批处理文件 在客户端做对网关的arp绑定,具体操作步骤如下: 步骤一: 查找本网段的网关地址,比如192.168.1.1,以下以此网关为例。在正常上网时,“开始→运行→cmd→确定”,输入:arp -a,点回车,查看网关对应的Physical Address。 比如:网关192.168.1.1 对应00-01-02-03-04-05。 步骤二: 编写一个批处理文件rarp.bat,内容如下: @echo off arp -d arp -s 192.168.1.1 00-01-02-03-04-05 保存为:rarp.bat。 步骤三: 运行批处理文件将这个批处理文件拖到“Windows→开始→程序→启动”中,如果需要立即生效,请运行此文件。 注意:以上配置需要在网络正常时进行 6.使用安全工具软件 及时下载Anti ARP Sniffer软件保护本地计算机正常运行。具体使用方法可以在网上搜索。 如果已有病毒计算机的MAC地址,可使用NBTSCAN等软件找出网段内与该MAC地址对应的IP,即感染病毒的计算机的IP地址,然后报告单位的网络中心对其进行查封。 或者利用单位提供的集中网络防病毒系统来统一查杀木马。另外还可以利用木马杀客等安全工具进行查杀。 7.应急方案 网络管理管理人员利用上面介绍的ARP木马检测方法在局域网的交换机上查出受感染该病毒的端口后,立即关闭中病毒的端口,通过端口查出相应的用户并通知其彻底查杀病毒。而后,做好单机防范,在其彻底查杀病毒后再开放相应的交换机端口,重新开通上网。 附录一 清华大学校园网络安全响应小组编的一个小程序 下载地址: ftp://166.111.8.243/tools/ArpFix.rar 清华大学校园网络安全响应小组编了一个小程序,它可以保护您的计算机在同一个局域网内部有ARP欺骗木马计算机的攻击时,保持正常上网。具体使用方法: 1、 程序运行后请先选择网卡,选定网卡后点击“选定”按钮。 2、 选定网卡后程序会自动获取您机器的网关地址。 3、获得网关地址后请点击获取MAC地址按钮获取正确的网关MAC地址。 4、 确认网关的MAC地址后请点击连接保护,程序开始保护您的机器。 5、 点击程序右上角的叉,程序自动隐藏到系统托盘内。 6、要完全退出程序请在系统托盘中该程序图标上点击右键选择EXIT。 注意: 1、这个程序只是一个ARP攻击保护程序,即受ARP木马攻击时保持自己计算机的MAC地址不被恶意篡改,从而在遭受攻击时网络不会中断。本程序并不能清除已经感染的ARP木马,要预防感染或杀除木马请您安装正版的杀毒软件! 附录二 Anti Arp Sniffer 的用法 下载地址:http://www.wipe.edu.cn/Files/wlzx/Antiarp.rar 双击Antiarp文件,出现图二所示对话框。 图二 输入网关地址(网关地址获取方式:[开始] -->[程序]--> [附件]菜单下调出“命令提示符”,输入ipconfig,其中Default Gateway即为网关地址);点击获取网关MAC地址,点击自动防护保证当前网卡与网关的通信不被第三方监听。 点击恢复默认,然后点击防止地址冲突,如频繁的出现IP地址冲突,这说明攻击者频繁发送ARP欺骗数据包。 右击[我的电脑]-->[管理]-->点击[事件查看器]-->点击[系统]-->查看来源为[TcpIP]--->双击事件可以看到显示地址发生冲突,并记录了该MAC地址,请复制该MAC地址并填入Anti ARP Sniffer的本地MAC地址输入框中(请注意将:转换为-),输入完成之后点击[防护地址冲突],为了使MAC地址生效请禁用本地网卡然后再启用网卡,在CMD命令行中输入Ipconfig /all,查看当前MAC地址是否与本地MAC地址输入框中的MAC地址相符,如果成功将不再会显示地址冲突。 注:1、如果您想恢复默认MAC地址,请点击[恢复默认],为了使MAC地址生效请禁用本地网卡然后再启用网卡;本软件不支持多网卡,部分网卡可能更改MAC会无效。 ARP病毒猖獗不衰,传统的双向绑定的方法不足以应付新的变种,为了探讨和研究解决ARP病毒的方法,偶建了一个群给,群号是27425242,QQ群共享里有一些文章和软件,欢迎各位网友加入! 各位朋友,偶其实是菜鸟哦,新出来的ARP病毒在我所在的校园网还没有出现过,所以我也就不晓得如何对付啦,呵呵,想不到这篇文章受到这么多人的关注,希望能对大家多少点帮助
回复
使用道具
举报
千问
|
2007-6-14 16:35:59
|
显示全部楼层
有arp专杀kill_arp.exe 自己找一下
回复
使用道具
举报
千问
|
2007-6-14 16:35:59
|
显示全部楼层
你要ping网关如果延迟正常但是进不去路由器那肯定就是病毒,,,这个时候arp-a找这个mac地址的电脑杀毒,,,或者装个wirshark扫描看是否有大量arp找出来就行了,,,如果ping不正常,延迟大,就去路由器里面看看哪个ip连接找出来,或者一遍ping一遍观察拔线肯定能查出啦, 其实就是确定故障,,,一般都是ping开始
回复
使用道具
举报
返回列表
发新帖
高级模式
B
Color
Image
Link
Quote
Code
Smilies
您需要登录后才可以回帖
登录
|
立即注册
本版积分规则
发表回复
回帖后跳转到最后一页
千问
主题
0
回帖
4882万
积分
论坛元老
论坛元老, 积分 48824836, 距离下一级还需 -38824837 积分
论坛元老, 积分 48824836, 距离下一级还需 -38824837 积分
积分
48824836
加好友
发消息
回复楼主
返回列表
问答
热门排行
1
我的扁桃体有肿大半个月了,无肿大和炎痛
2
我感觉我的腿没力,有时末明的痛
3
去厕所次数正常,就是每次去都是拉肚子,
4
老是喜欢打小孩是怎么回事,上班又带两个
5
右胸口疼痛平时好好的今天下午突然觉得疼
6
大便从小便处出来
7
门牙上有小白点!好像一直有吧!我今年2
8
乳房两个不一样大,要不要紧
9
自制化妆水
10
你好,昨天晚上跟我男朋友同房之后,今天
11
您帮我看看我的眼部哪里需要改善,我觉得
12
潍坊哪里看性欲减退好
13
你好请问额头颧骨手臂或者膝盖这些地方因
14
头部右下方肿痛,微红,下方沿着有一条筋
15
你好我女儿刚出生10个小时,确定败血症
16
昆明包皮手术成功率是多少
17
我有胃炎,想问下可以喝红茶来调理下肠胃
18
大腿和肚子和手都有很多的紫红色细筋怎么
19
医生您好,我怀孕33周,能不能
20
你好我家宝宝六岁了两个手指头中间长个硬
21
硝夫太尔阴道拴,每次上药都不成功只能在
22
昆明包皮套环手术
23
剖腹产后30天,恶露偶尔黄绿色,白带检
24
男人做爱次数过多会怎么样
25
上腹隐隐作痛有一段时间了一年多,做了几
26
医生你好,我前些日子发现自己大便的时候
27
感冒流青鼻涕可以吃什么药???
28
你好,我昨天做的宫颈糜烂和外阴赘生物手
29
女友上周日时脸上有一两个水痘,现在左脸几乎全是,全身都是
30
医生我被老鼠咬了脚指头破了点皮怕会出血
31
妊娠合并子宫肌瘤与子宫肌瘤合并妊娠有什
32
医生说这个病不用管,但是我乳房下方一直
33
一周七的宝宝咳嗽咳了一个多月都没好,可
34
我的朋友得过肾萎缩,据她描述是已经痊愈
35
南宁哪里治疗精囊炎
36
你好我宝宝耳朵后面长个疙瘩,没感冒发烧
37
先天乳头开裂以前里面有褐色的东西扣掉了
38
昆明包皮手术后应注意事项
39
三个月宝宝咳嗽时声音是沙沙的。连续咳好
40
帮我看看这是什么,这是怀孕了吗,早孕检
41
请问是半月板损伤吗?请问需要担心半月板磨
42
合肥治疗脱发费用是多少
43
谷草转氨酶高又不是肝的事是什么情况
44
珍珠疹治疗价格
45
您好,我是月经完了之后第八天,也就是今
46
病情描述:肛门口有好多小包,昨晚好疼,
47
月经期间叫排卵期期吗
48
几个指甲上都有渗血点,挺小的。两个大拇
49
咳嗽几天后,吃药有好转现在就睡觉时平躺
50
没有和其他异性接触!老公也没有!我家女
51
我—年前采用了腹腔镜做了结扎手术,现在
52
昆明慢性前列腺炎能生育吗
53
你好!请问胸口中间挺胸的时候会有点痛和
54
我左眼看不清,右眼正常,今年47岁,我
55
左前胸靠近肩膀处长斑,而且越来越多,斑
56
肩膀上发了一块接着一块的东西,不知道是
57
股骨头坏死的临床表现,会出现什么体征阳
58
我手臂和大腿小腿都长满黑黑红红的东西,
59
南宁治龟头炎费用多少
60
你好,我二十号来的月经,现在十号又出现
61
我身上今年长了很多痘痘是红的往年很少
62
昆明早泄多久能治好
63
丹田下四指处长了个东西,生长速度很快,
64
我的左边乳头硬还疼,有一段时间了,是怎
65
按摩无忧网
66
我才15岁月经经常推迟两个月是什么原因
67
我18岁半A杯乳房里任然有硬块摸起来痛
68
三十六度宝宝是不是低烧是正常吗?
69
我吃了一次麦当劳后就是喝了那个冰的雪碧
70
最近发现胳膊上有一个绿豆大小的白斑。请
71
我儿子16岁了,为什么手指会经常抖,有
72
昆明包皮包茎有什么危害
73
坐小月子23天坐爱需要避孕吗
74
我13岁有一根白头发不知道怎么回事
75
还能再减回来吗?做什么运动有用,谢谢医生
76
脸上过敏了,红,痒,还稍微有点肿
77
阴茎上长了个类似水泡的。晚上刚发现。应
78
昆明阴茎上长肉颗粒
79
南宁前列腺增生去哪里治疗
80
我现在验血发现有梅毒,单是身体没有什么
81
高原地方胃不好的人吃啥食物最好
82
最近感觉嗓子又东西堵着,胸口出气轻微疼
83
无花果叶泡酒能治白癣风吗