浅谈如何防治ARP病毒
浅谈如何防治ARP病毒
近期，现一种新的“ARP欺骗”木马病毒在互联网上迅速扩散．主要表现为用户频繁断网、IE浏览器频繁出错以及一些常用软件出现故障等问题。Arp病毒在局域网中感染较多，清理和防范都比较困难，给不少的网络管理员造成了很多的困扰。
一ARPSpoofing攻击原理分析
在局域网中，通过ARP议来完成IP地址转换为第二层物理地址(即MAC地址)的。ARP协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞或者实现“mailinthemiddle”进行ARP重定向和嗅探攻击。用伪造源MAC地址发送ARP响应包，对ARP高速缓存机制的攻击。每个主机都用一个ARP高速缓存存放最近IP地址到MAC硬件地址之间的映射记录。MSWindows高速缓存中的每一条记录(条目)的生存时间一般为6O秒，起始时间从被创建时开始算起。默认情况下，ARP从缓存中读取IP—MAC条目，缓存中的IP．MAC条目是根据ARP响应包动态变化的。因此，只要网络上有ARP响应包发送到本机，即会更新ARP高速缓存中的IP．MAC条目。攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IPMAC条目，造成网络中断或中间人攻击。ARP协议并不只在发送了ARP请求才接收ARP应答。当计算机接收到ARP应答数据包的时候，就会对本地的ARP缓存进行更新，将应答中的IP和MAC地址存储在ARP缓存中。因此，B向A发送一个自己伪造的ARP应答，而这个应答中的数据为发送方IP地址是l92．168．10．3(C的IP地址)．MAC地址是DD．DD—DD．DD．DD。DD(C的MAC地址本来应该是CC．CC—CC．CC．CC．CC，这里被伪造了)。当A接收到B伪造的ARP应答，就会更新本地的ARP缓存(A可不知道被伪造了)。当攻击源大量向局域网中发送虚假的ARP信息后，就会造成局域网中的机器ARP缓存的崩溃。
二、ARP病毒分析
当局域网内某台主机运行ARP欺骗的木马程序时，会欺骗局域网内所有主机和路由器，让所有上网的流量必须经过病毒主机。其他用户原来直接通过路由器』：网现在转由通过病毒主机上网．切换的时候用户会断一次线。切换到病毒主机上网后，如果用户已经登陆了某网银或网络信箱等服务器，那么病毒主机就会经常伪造断线的假像，那么用户就得重新登录服务器，这样病毒主机就可以盗号了。由于ARP欺骗的木马程宁发作的时候会发出大量的数据包导致局域网通讯拥塞以及其自身处理能力的限制，用户会感觉上网速度越来越慢。当ARP欺骗的木马程序停止运行时，用户会恢复从路由器上网，切换过程中用户会再断一次线。在ARP欺骗木马开始运行的时候，局域网所有主机的MAC地址更新为病毒主机的MAC地址(即所有信息的MACNew地址都一致为病毒主机的MAC地址)，同时在路由器的“用户统计”中看到所有用户的MAC地址信息都一样。如果是在路由器的“系统历史记录”中看到大量MACOld地址都一致，则说明局域网内曾经出现过ARP欺骗(ARP欺骗的木马程序停止运行时，主机在路由器上恢复其真实的MAC地址)。
三、定位ARP攻击源头和防御方法
1.定位ARP攻击源头主动定位方式：
因为所有的ARP攻击源都会有其特征一．网卡会处于混杂模式．可以通过ARPKilIer这样的T具扫描网内有哪台机器的网卡是处于混杂模式的，从而判断这台机器有可能就是“元凶”。定位好机器后，再做病毒信息收集，提交给趋势科技做分析处理。标注：网卡可以置于一种模式叫混杂模式(promiscuous)，在这种模式下工作的网卡能够收到一切通过它的数据，而不管实际上数据的目的地址是不是它。这实际就是SnifferT作的基本原理：让网卡接收一切它所能接收的数据。被动定位方式：在局域网发生ARP攻击时，查看交换机的动态ARP表中的内容，确定攻击源的MAC地址；也可以在局域居于网中部署SnifferT具，定位ARP攻击源的MAC。也可以直接Ping网关IP，完成Ping后，用ARP．a查看网关IP对应的MAC地址．此MAC地址应该为欺骗的MAC。使用NBTSCAN可以取到PC的真实IP地址、机器名和MAC地址．如果有“ARP攻击”在做怪，可以找到装有ARP攻击的PC的IP、机器名和MAC地址。命令：“nbtscan—rl92168．16．0／24”(搜索整个l92．168．16．0／24网段，即l92．168．16．1一l92．168．16．254)；或“nbtscanl92．168．16．25．137”搜索192．168．16．25—137网段，即192．168．16．25．192．168．16．137。输出结果第一列是IP地址，最后一列是MAC地址。通过上述方法，我们就能够快速的找到病毒源，确认其MAC．．)机器名和IP地址。
2．防御方法
a．使用可防御ARP攻击的层交换机，绑定端口．MAC．IP，限制ARP流量，及时发现并自动阻断ARP攻击端口，合理划分VLAN，彻底阻止盗用IP、MAC地址．杜绝ARP的攻击。
b．对于经常爆发病毒的网络，进行Internet访问控制，限制用户对网络的访问。此类ARP攻击程序一般都是从Intemet下载到用户终端．如果能够加强用户上网的访问控制，就能极大的减少该问题的发生。
c．在发生ARP攻击时．及时找到病毒攻击源头，并收集病毒信息，可以使用趋势科技的SIC2．0，同时收集可疑的病毒样本文件，一起提交到趋势科技的TrendLabs进行分析，TrendLabs将以最快的速度提供病毒码文件，从而可以进行ARP病毒的防御。
四、针对未感染病毒。而受到影响的计算机解决方法：
l、Windows用户可通过在命令行方式(开始“．”程序“．”附件“菜单下调出”命令提示符“)下执行”arps网关IP网关MAC地址“命令来减轻中毒计算机对本机的影响。网关IP和MAC地址可在网络工作正常时通过命令行方式下的“arp．a'’命令来得到。
2、使用AntiARPSniffer软件保护本地计算机正常运行。输入网关地址(网关地址获取方式：[开始]．．>[程序]．．>[附件]菜单下调出“命令提示符”，输入ipeonfig，其中DefaultGateway即为网关地址)；点击获取网关MAC地址，点击自动防护保证当前网卡与网关的通信不被第三方监听。点击恢复默认，然后点击防止地址冲突，如频繁的出现IP地址冲突，这说明攻击者频繁发送ARP欺骗数右击[我的电脑】．．>[管理】．一>点击[事件查看器】．．>点击[系统】一一>查看来源为fTcpIP]．．．>双击事件可以看到显示地址发生冲突，并记录了该MAC地址，请复制该MAC地址并填入AntiARPSniffer的本地MAC地址输入框中(请注意将：转换为．)，输入完成之后点击瞄护地址冲突]．为了使MAC地址生效请禁用本地网卡然后再启用网卡，在CMD命令行中输入Ipconfig／all，查看当前MAC地址是否与本地MAC地址输入框中的MAC地址相符，如果成功将不再会显示地址冲突。
浅谈如何防治ARP病毒相关推荐
- 计算机病毒的隐藏方式有ign,浅谈windows下的病毒隐藏技术.doc
浅谈windows下的病毒隐藏技术 浙江工业职业技术学院 毕业论文 (2011届) 浅谈windows下的病毒隐藏技术 学生姓名 学 号 分 院 专 业 信 指导教师 完成日期 2011年5月 19日 ...
- 浅谈ARP病毒的清除与预防
(一) ARP病毒的预防 1. 内网IP绑定<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:of ...
- ARP病毒的分析与防治
ARP病毒的分析与防治 版权声明:原创作品,允许转载,转载时请务必以超链接形式标明文章 原始出处 .作者信息和本声明.否则将追究法律责任.http://caihong.blog.51cto.com/2 ...
- 猖獗不衰 ARP病毒该如何防治？
猖獗不衰 ARP病毒该如何防治? 出处:赛迪网 责任编辑:ANSON ARP病毒防制方法还待加强 ARP病毒问题已经讲了很长一段时间了,大家对于ARP病毒的防制也总结了不少的经验,不断在网上发 ...
- 浅谈用delphi来编写蠕虫病毒
能大家想到病毒,第一反应就是可能是用asm来编写,或者是vbsript,而高级语言如delphi就好象不能编写一样,其实事实并不是这个样子的,只要我们花一些时间,照样可以写出简短而高效的病毒程序来,一 ...
- 加强计算机管理,浅谈如何加强高校计算机专业管理
摘要:为了使高校计算机专业实验室的管理和维护水平得以提高,让计算机专业实验室最大限度地发挥作用,该文从计算机专业实验室软硬件管理与维护.实验室管理制度.实验课程管理设置提出了一些改进措施,将有利于提高 ...
- 浅谈城市大脑与智慧城市发展趋势
摘要:本文从城市大脑的概念出发,概述了智慧城市的宏观发展目标和新型智慧城市建设的基本原则及发展需求.重点阐述了城市大脑建设内容.智慧城市顶层设计1533+N系统架构.城市KPI指标.五个运行管理服务平 ...
- 浅谈无人机的应用场景
随着技术的发展,无人机的应用场景不断扩展.我们时常在新闻里能看到无人机在各行各业的应用,就如今年的春晚,据说也采用了无人机的技术来操控.那,无人机还有哪些应用场景呢?下面我们就来详细了解一下无人机的应 ...
- 学校通用计算机保护,浅谈学校计算机教室软件系统的保护.docx
浅谈学校计算机教室软件系统的保护 --冰点还原企业版在学校计算机教室中的应用 内容概要 中小学计算机教室是实施信息技术教学的重要场所,计算机教室的安全.稳定运行,对信息技术教育的发展具有决定性意义.因 ...
最新文章
- 偏依赖图（Partial Dependence Plots）是什么？排列重要性（Permutaion Importance）是什么？如何解读？有什么意义？
- 手机群发短信脚本python
- DL之GoogleNet：GoogleNet(InceptionV1)算法的简介(论文介绍)、架构详解、案例应用等配图集合之详细攻略
- OpenCV中高斯混合背景建模算法汇总
- 最短路径Dijkstra讲解，工具包使用 python
- staruml顺序图生成协作图_一个工具箱 之 南丁格尔玫瑰图生成器
- c语言 程序延时 校准,c语言实现系统时间校正工具代码分享
- HuggingFace又出炼丹神器！稀疏矩阵运算进入平民化时代！
- Menelaus定理与证明
- java数据类型之间的转换_Java基本类型之间的转换
- linux系统之编译内核实现iptables应用层过滤
- 设计模式学习笔记（十四：单件模式）
- python3 xpath_【学习笔记】Python3-爬虫-xpath
- 三菱四节传送带梯形图_PLC控制四节传送带设计
- 网络编程基础及代码实现
- GSM 第二代移动通信网络
- 安卓 ANR 原因，解决方法
- 代理服务器没有响应解决方案
- QT使用tableWidget显示双排列表 并且选中用红框圈出来
- C# AO/ArcEngine 栅格数据总结