网站公告列表
加入收藏
设为首页
联系站长
您现在的位置: 福州电脑之家 >> 文章中心 >> 网络安全 >> 正文
  [推荐]ARP病毒解决办法         ★★★★ 【字体:
ARP病毒解决办法
作者:Fzpchome    文章来源:本站原创    点击数:    更新时间:2007-5-24
 

决战ARP病毒arp -s 192.168.1.1 08-10-17-f8-6a-4b

从上周起,在单位上网时发生的怪事就一直困扰着我,起初以为是网络不稳定才出现时断时续的现象,并没有引起我太大的注意,可事过两天,该现象却越来越严重,发生频率也是越来越高,同时其他同事的电脑也是同样无法正常上网,故障跟我的一模一样,这引起了我的注意,于是决定把这个问题调查个水落石出。

初期的判断主要是围绕着我自己的电脑展开,在进行了查毒和系统的重装后,竟然问题依旧,难道问题不是出在我这台电脑上吗?带着问题我打开了百度的搜索网页,查了一下网络时断时续的相关资料,果然这种现象是近期的一个热点,原因是中了一种arp的木马病毒,它的原理是将网关的MAC地址改写,直接导致访问网关的电脑无法正确找到网关设备,使网络无法正确连接而造成网络瘫痪。经过进一步调查发现,该木马程序的出现是局域网内有人使用ARP欺骗的木马程序(比如:传奇盗号的软件,某些传奇外挂中也被恶意加载了此程序)。而现象却是网络内所有的电脑都无法正确访问网关导致无法上网,所以单从自己的电脑发向去调查,肯定会是毫无收获的,因为自己的电脑也只是受害电脑之一。

解决方案有两种:
一是临时应急型,可暂时解决不能上网的问题,而不是彻底清除病毒:只需使用Windows系统自带的arp命令即可完成。方法如下:点击开始,运行,输入“arp -s 网关地址 网关MAC地址”,这样即可使网关地址与真正的网关MAC地址绑定,使得局域网内病毒主机无法再进行干扰!但问题是此方法在计算机重启后自动失效,想再次使用必须重复上述操作。
二是彻底清除型,此方法必须将网内受感染的病毒主机找出,若局域网只连几台电脑,则查找难度则很低,只要将病毒主机查出并杀毒即可解决问题。但局域网若是带了几十甚至几百台电脑主机时,查找的难度则会增加很多……

问题既然找出,下一步就要搜查病毒主机了。由于单位上网的小局域网内只连有五、六台左右的电脑,这使查找难度降低很多。但也并非一帆风顺,因为病毒主机伪装的MAC地址并没有使用它自己的网卡MAC地址,而是虚构了一个地址,这使我再次陷入迷茫!但后来在使用arp -a命令时发现总有一个IP地址会出现(此IP既不是我电脑的,也不是网关的),我由此怀疑这个IP地址就是一切故障的始作蛹者,于是我坚决地在集线器上找到了这个IP对应的网线并将之拨掉,果然在没有这台病毒主机干扰后,网络终于恢复了正常。至此由该arp病毒引发的上网时断时续问题随着这台病毒主机被抓出而划上了完美的句号。

附:ARP相关资料及查找网关MAC地址的方法。

APR病毒,一种地址欺骗的病毒。

【故障原因】

  局域网内有人使用ARP欺骗的木马程序。

【故障原理】

  要了解故障原理,我们先来了解一下ARP协议。 

  在局域网中,通过ARP协议来完成IP地址转换为第二层物理地址(即MAC地址)的。ARP协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗,能够在网络中产生大量的ARP通信量使网络阻塞。
  ARP协议是“Address Resolution Protocol”(地址解析协议)的缩写。在局域网中,网络中实际传输的是“帧”,帧里面是有目标主机的MAC地址的。在以太网中,一个主机要和另一个主机进行直接通信,必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢?它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址,查询目标设备的MAC地址,以保证通信的顺利进行。
  每台安装有TCP/IP协议的电脑里都有一个ARP缓存表,表里的IP地址与MAC地址是一一对应的,如下表所示。
  主机 IP地址 MAC地址
  A 192.168.16.1 aa-aa-aa-aa-aa-aa
  B 192.168.16.2 bb-bb-bb-bb-bb-bb
  C 192.168.16.3 cc-cc-cc-cc-cc-cc
  D 192.168.16.4 dd-dd-dd-dd-dd-dd
  我们以主机A(192.168.16.1)向主机B(192.168.16.2)发送数据为例。当发送数据时,主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了,也就知道了目标MAC地址,直接把目标MAC地址写入帧里面发送就可以了;如果在ARP缓存表中没有找到相对应的IP地址,主机A就会在网络上发送一个广播,目标MAC地址是“FF.FF.FF.FF.FF.FF”,这表示向同一网段内的所有主机发出这样的询问:“192.168.16.2的MAC地址是什么?”网络上其他主机并不响应ARP询问,只有主机B接收到这个帧时,才向主机A做出这样的回应:“192.168.16.2的MAC地址是bb-bb-bb-bb-bb-bb”。这样,主机A就知道了主机B的MAC地址,它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表,下次再向主机B发送信息时,直接从ARP缓存表里查找就可以了。ARP缓存表采用了老化机制,在一段时间内如果表中的某一行没有使用,就会被删除,这样可以大大减少ARP缓存表的长度,加快查询速度。

[1] [2] [3] 下一页


文章录入:福州电脑之家    责任编辑:福州电脑之家 
  • 上一篇文章:

  • 下一篇文章:
  • 发表评论】【加入收藏】【告诉好友】【打印此文】【关闭窗口
    最新热点 最新推荐 相关文章
    没有相关文章
      网友评论:(只显示最新10条。评论内容只代表网友观点,与本站立场无关!)

    福州电脑之家版权所有 © 2006-2012 闽ICP备07018455号