ARP病毒
ARP木马攻击,病毒会将该机器的MAC地址映射到网关的IP地址上,向局域网内大量发送ARP包,致同一网段地址内的其它机器误将其作为网关,掉线时内网是互通的,计算机却不能上网。方法是在能上网时,进入MS-DOS窗口,输入命令:arp –a查看网关IP对应的正确MAC地址,将其记录,如果已不能上网,则先运行一次命令arp –d将arp缓存中的内容删空,计算机可暂时恢复上网,一旦能上网就立即将网络断掉,禁用网卡或拔掉网线,再运行arp –a。
如已有网关的正确MAC地址,在不能上网时,手工将网关IP和正确MAC绑定,可确保计算机不再被攻击影响。可在MS-DOS窗口下运行以下命令:arp –s 网关IP 网关MAC。如被攻击,用该命令查看,会发现该MAC已经被替换成攻击机器的MAC,将该MAC记录,以备查找。找出病毒计算机:如果已有病毒计算机的MAC地址,可使用NBTSCAN软件找出网段内与该MAC地址对应的IP,即病毒计算机的IP地址。
〇故障原因
主要原因是在局域网中有人使用了ARP欺骗的木马程序,比如一些盗号的软件。
〇故障现象
当局域网内有某台电脑运行了此类ARP欺骗的木马的时候,其他用户原来直接通过路由器上网现在转由通过病毒主机上网,切换的时候用户会断一次线。
切换到病毒主机上网后,如果用户已经登陆了传奇服务器,那么病毒主机就会经常伪造断线的假像,那么用户就得重新登录传奇服务器,这样病毒主机就可以盗号了。
由于ARP欺骗的木马发作的时候会发出大量的数据包导致局域网通讯拥塞,用户会感觉上网速度越来越慢。当木马程序停止运行时,用户会恢复从路由器上网,切换中用户会再断一次线。
〇解决思路
不要把你的网络安全信任关系建立在IP基础上或MAC基础上。
设置静态的MAC-->IP对应表,不要让主机刷新你设定好的转换表。
除非必要,否则停止ARP使用,把ARP做为永久条目保存在对应表中。
使用ARP服务器。确保这台ARP服务器不被黑。
使用"proxy"代理IP传输。
使用硬件屏蔽主机。
定期用响应的IP包中获得一个rarp请求,检查ARP响应的真实性。
定期轮询,检查主机上的ARP缓存。
使用防火墙连续监控网络。
〇解决方案
建议采用双向绑定解决和防止ARP欺骗。在电脑上绑定路由器的IP和MAC地址
首先,获得路由器的内网的MAC地址(例如HiPER网关地址19216816254的MAC地址为0022aa0022aa局域网端口MAC地址>)。
编写一个批处理文件rarpbat内容如下:
@echo off
arp -d
arp -s 19216816254 00-22-aa-00-22-aa
将网关IP和MAC更改为您自己的网关IP和MAC即可,让这个文件开机运行(拖到“开始-程序-启动”)。
ARP攻击时的主要现象:
1、网上银行、游戏及QQ账号的频繁丢失
一些人为了获取非法利益,利用ARP欺骗程序在网内进行非法活动,此类程序的主要目的在于破解账号登陆时的加密解密算法,通 过截取局域网中的数据包,然后以分析数据通讯协议的方法截获用户的信息。运行这类木马病毒,就可以获得整个局域网中上网用 户账号的详细信息并。
2、网速时快时慢,极其不稳定,但单机进行光纤数据测试时一切正常
当局域内的某台计算机被ARP的欺骗程序非法侵入后,它就会持续地向网内所有的计算机及网络设备发送大量的非法ARP欺骗数据包, 阻塞网络通道,造成网络设备的承载过重,导致网络的通讯质量不稳定。
3、局域网内频繁性区域或整体掉线,重启计算机或网络设备后恢复正常
当带有ARP欺骗程序的计算机在网内进行通讯时,就会导致频繁掉线,出现此类问题后重启计算机或禁用网卡会暂时解决问题,但掉 线情况还会发生APR(Apache Portable Runtime)是一个框架,它提供了一组可移植的管道和API,这些API是为了让开发者可以更轻松地编写基于Apache >在Apache官网下载最新版本的Apache软件,并上传到服务器中文件夹下。
2
解压缩Apache的压缩包到本地。
命令:tar -zxvf >
欢迎分享,转载请注明来源:内存溢出
评论列表(0条)