怎样判断局域网遭arp攻击 公司局域网被arp攻击怎么解决？
\u600e\u4e48\u67e5\u51fa\u5c40\u57df\u7f51\u5185\u7684ARP\u653b\u51fb\uff1f\u3000\u3000\u5728\u51fa\u95ee\u9898\u7684\u7535\u8111\u4e0a\u8fd0\u884ccmd\uff0c\u8f93\u5165arp /all\uff0c\u770b\u672c\u5730\u8def\u7531\u7684MAC\uff0c\u5e94\u8be5\u88ab\u522b\u4eba\u5192\u5145\u4e86\uff1b\u4e4b\u540e\u9700\u8981\u67e5\u67e5\u5176\u5b83\u7535\u8111\u90a3\u4e2a\u6539\u4e86MAC\uff0c\u8fd9\u4e2a\u662f\u6700\u57fa\u7840\u7684\u505a\u6cd5\u554a\u3002\u3010\u901a\u5e38\u60c5\u51b5\u662f\u65e0\u804a\u4eba\u7528\u7f51\u7edc\u526a\u5200\u624b\uff0cp2p\u7ec8\u7ed3\u8005\u4e4b\u7c7b\u8f6f\u4ef6\u6076\u641e\u7684\uff0c\u67e5\u5230\u540e\u53ef\u80fd\u4ed6\u5df2\u7ecf\u5220\u9664\uff0c\u4fee\u6539\u4e86\u3002\u3011
\u3000\u3000\u3010\u89e3\u51b3\u65b9\u6cd5\u3011
\u3000\u30001\u3001\u5c06IP\u548cMAC\u5730\u5740\u8fdb\u884c\u90a6\u5b9a\uff1a\u901a\u8fc7\u662f\u5728\u8def\u7531\u5668\u7aef\u5c06\u5c40\u57df\u7f51\u4e2d\u5404\u8ba1\u7b97\u673a\u7684IP\u5730\u5740\u4e0e\u5176\u5bf9\u5e94\u7684\u7f51\u5361MAC\u5730\u5740\u5b9e\u884c\u90a6\u5b9a\u3002\u6253\u5f00\u8def\u7531\u5668\u7ba1\u7406\u754c\u9762\u2014\u2014\u201cIP\u4e0eMAC\u90a6\u5b9a\u201d\u2014\u2014\u201c\u9759\u6001ARP\u90a6\u5b9a\u8bbe\u7f6e\u201d\u9879\uff0c\u2014\u2014\u201c\u6dfb\u52a0\u5355\u4e2a\u9879\u76ee\u201d\u6309\u94ae\u3002\u5728\u6253\u5f00\u7684\u201cARP\u9759\u6001\u90a6\u5b9a\u201d\u7a97\u53e3\u4e2d\uff0c\u8f93\u5165\u8981\u90a6\u5b9a\u7684IP\u548cMAC\uff0c\u7136\u540e\u70b9\u51fb\u201c\u4fdd\u5b58\u201d\u6309\u94ae\u5373\u53ef\u3002\u7528\u540c\u6837\u7684\u65b9\u6cd5\u6dfb\u5bf9\u5c40\u57df\u7f51\u4e2d\u5176\u5b83\u8ba1\u7b97\u673a\u8fdb\u884cIP\u4e0eMAC\u5730\u5740\u90a6\u5b9a\u3002\u6700\u540e\u70b9\u51fb\u201c\u4f7f\u6240\u6709\u6761\u76ee\u751f\u6548\u201d\u6309\u94ae\u5373\u53ef\u3002
\u3000\u3000
\u3000\u30002\u3001\u5229\u7528\u7f51\u7edc\u9632\u62a4\u7c7b\u8f6f\u4ef6\u5bf9\u7f51\u5173IP\u8fdb\u884c\u90a6\u5b9a\uff1a\u5728360\u536b\u58eb\u3001\u767e\u5ea6\u536b\u58eb\u7b49\u627e\u5230\u201c\u6d41\u91cf\u9632\u706b\u5899\u201d\uff0c\u7136\u540e\u5728\u6253\u5f00\u7684\u7a97\u53e3\u4e2d\u5207\u6362\u81f3\u201c\u5c40\u57df\u7f51\u9632\u62a4\u201d\u9009\u9879\u5361\u3002\u7136\u540e\u5c06\u201c\u7f51\u5173\u90a6\u5b9a\u201d\u6a21\u5f0f\u8bbe\u7f6e\u4e3a\u201c\u624b\u673a\u90a6\u5b9a\u201d\uff0c\u70b9\u51fb\u201c\u8be6\u60c5/\u8bbe\u7f6e\u201d\u6309\u94ae\u3002\u5728\u6253\u5f00\u7684\u201c\u6dfb\u52a0\u4fdd\u62a4\u7f51\u5173IP\u548cMAC\u201d\u7a97\u53e3\u4e2d\uff0c\u70b9\u51fb\u201c\u6dfb\u52a0\u7f51\u5173\u201d\u6309\u94ae\u6765\u624b\u52a8\u90a6\u5b9a\u7f51\u5173IP\u548cMAC\u5730\u5740\u3002
\u3000\u3000
\u3000\u3000
\u3000\u3000\u3010\u4e2a\u4eba\u7528\u6237\u7684\u9632\u62a4\u65b9\u6cd5\u3011
\u3000\u3000\u9996\u5148\u8981\u660e\u786eARP\u653b\u51fb\u4ec5\u80fd\u5728\u5c40\u57df\u7f51\u5185\u8fdb\u884c\uff0c\u6ca1\u6709\u8def\u7531\u5668\u4e14\u7528\u6237\u4e0d\u5728\u591a\u7528\u6237\u7684\u5c40\u57df\u7f51\u53ef\u4ee5\u4e0d\u5fc5\u8003\u8651
\u3000\u30001.\u5b89\u88c5ARP\u9632\u706b\u5899\u5982\u4eca\u5927\u90e8\u5206\u5b89\u5168\u8f85\u52a9\u8f6f\u4ef6\u5747\u5185\u7f6eARP\u9632\u706b\u5899\uff0c\u8457\u540d\u7684\u6709\uff1a360\u5b89\u5168\u536b\u58eb(\u5185\u7f6e)\u3001\u91d1\u5c71\u8d1d\u58f3ARP\u4e13\u6740\u3001\u91d1\u5c71\u536b\u58eb
\u3000\u30002.\u5b89\u88c5\u6740\u6bd2\u8f6f\u4ef6\u6740\u6bd2\u8f6f\u4ef6\u53ef\u4ee5\u6709\u6548\u7684\u9632\u6b62ARP\u75c5\u6bd2\u8fdb\u5165\u673a\u5668
\u3000\u30003.\u5df2\u7ecf\u4e2d\u6bd2\u7684\u5904\u7406\u65b9\u6cd5\u7531\u4e8e\u4e2d\u6bd2\u540e\u7f51\u901f\u4f1a\u51cf\u6162\uff0c\u6740\u8f6f\u5931\u6548\u3002\u6240\u4ee5\u5e94\u8be5\u7528\u4e13\u95e8\u7684\u4e13\u6740\u6740\u6bd2\u540e\u5b89\u88c5\u6740\u6bd2\u8f6f\u4ef6\u4fdd\u62a4\u7cfb\u7edf\u5fc5\u987b\u6ce8\u610f!!!
\u7ed1\u5b9amac\u662f\u4e00\u79cd\u89e3\u51b3\u529e\u6cd5\uff0c\u4f46\u662f\u516c\u53f8\u5c40\u57df\u7f51\u906d\u5230ARP\u653b\u51fb\u7ed1\u5b9amac\u4e5f\u4e0d\u592a\u73b0\u5b9e\uff0carp\u653b\u51fb\u4e00\u822c\u662f\u4f2a\u88c5\u6210\u5176\u4ed6\u7684MAC\u8fdb\u884c\u5c40\u57df\u7f51\u5185\u653b\u51fb\uff0c\u6240\u4ee5\u4f60\u80fd\u67e5\u5230\u7684\u653b\u51fb\u6e90\u57fa\u672c\u90fd\u662f\u88ab\u5229\u7528\u7684\u65e0\u8f9c\u7684\u5ba2\u6237\u7aef\u3002\u672c\u4eba\u6839\u636e\u8fd9\u51e0\u6b21\u5904\u7406arp\u653b\u51fb\u7684\u7ecf\u9a8c\uff0c\u516c\u53f8\u5c40\u57df\u7f51arp\u5927\u591a\u6570\u90fd\u662f\u4ea4\u6362\u673a\u4ee5\u53ca\u8def\u7531\u8bbe\u7f6e\u4e0d\u5408\u7406\u9020\u6210\u5c40\u57df\u7f51\u5185\u90e8\u5ba2\u6237\u7aef\u76f8\u4e92\u7ade\u4e89\u6bd4\u5982ip\u51b2\u7a81\u5565\u7684\uff0c\u6240\u4ee5\u9996\u5148\u8981\u786e\u4fdd\u4ea4\u6362\u673a\u53ca\u8def\u7531\u8bbe\u7f6e\u5408\u7406\uff0c\u771f\u6b63\u7684\u906d\u75c5\u6bd2\u653b\u51fb\u662f\u5c11\u7684\uff0c\u6240\u4ee5\u8981\u662f\u6709\u6743\u9650\u5427\u4ea4\u6362\u673a\u8fdb\u884c\u8fd8\u539f\u7136\u540e\u91cd\u65b0\u8bbe\u7f6e\uff0c\u8def\u7531\u4e5f\u8fdb\u884c\u91cd\u65b0\u8bbe\u7f6e\u6700\u597d\u4fee\u6539\u8def\u7531\u5206\u914d\u7684ip\u6ce2\u6bb5\u3002\u82e5\u662f\u8fd8\u4e0d\u884c\u90a3\u5c31\u53ea\u80fd\u8bf7\u4e13\u4e1a\u4eba\u58eb\u8fdb\u884c\u73b0\u573a\u5904\u7406\u4e86\u3002
故障现象：机器以前可正常上网的，突然出现可认证，不能上网的现象（无法ping通网关），重启机器或在MSDOS窗口下运行命令ARP -d后，又可恢复上网一段时间。 故障原因：这是APR病毒欺骗攻击造成的。 引起问题的原因一般是由传奇外挂携带的ARP木马攻击。当在局域网内使用上述外挂时，外挂携带的病毒会将该机器的MAC地址映射到网关的IP地址上，向局域网内大量发送ARP包，从而致使同一网段地址内的其它机器误将其作为网关，这就是为什么掉线时内网是互通的，计算机却不能上网的原因。 临时处理对策： 步骤一. 在能上网时，进入MS-DOS窗口，输入命令：arp –a 查看网关IP对应的正确MAC地址，将其记录下来。 注：如果已经不能上网，则先运行一次命令arp –d将arp缓存中的内容删空，计算机可暂时恢复上网（攻击如果不停止的话），一旦能上网就立即将网络断掉（禁用网卡或拔掉网线），再运行arp –a。 步骤二. 如果已经有网关的正确MAC地址，在不能上网时，手工将网关IP和正确MAC绑定，可确保计算机不再被攻击影响。手工绑定可在MS-DOS窗口下运行以下命令： arp –s 网关IP 网关MAC 例如：假设计算机所处网段的网关为218.197.192.254，本机地址为218.197.192.1在计算机上运行arp –a后输出如下： C:\Documents and Settings>arp -a Interface: 218.197.192.1 --- 0x2 Internet Address Physical Address Type 218.197.192.254 00-01-02-03-04-05 dynamic 其中00-01-02-03-04-05就是网关218.197.192.254对应的MAC地址，类型是动态（dynamic）的，因此是可被改变。被攻击后，再用该命令查看，就会发现该MAC已经被替换成攻击机器的MAC，如果大家希望能找出攻击机器，彻底根除攻击，可以在此时将该MAC记录下来，为以后查找做准备。 手工绑定的命令为： arp –s 218.197.192.254 00-01-02-03-04-05 绑定完，可再用arp –a查看arp缓存， C:\Documents and Settings>arp -a Interface: 218.197.192.1 --- 0x2 Internet Address Physical Address Type 218.197.192.254 00-01-02-03-04-05 static 这时，类型变为静态（static），就不会再受攻击影响了。但是，需要说明的是，手工绑定在计算机关机重开机后就会失效，需要再绑定。所以，要彻底根除攻击，只有找出网段内被病毒感染的计算机，令其杀毒，方可解决。找出病毒计算机的方法： 如果已有病毒计算机的MAC地址，可使用NBTSCAN软件找出网段内与该MAC地址对应的IP，即病毒计算机的IP地址，然后可报告校网络中心对其进行查封。 NBTSCAN的使用方法：下载nbtscan.rar到硬盘后解压，然后将cygwin1.dll和nbtscan.exe两文件拷贝到c:\windows\system32(或system)下，进入MSDOS窗口就可以输入命令： nbtscan -r 218.197.192.0/24 （假设本机所处的网段是218.197.192，掩码是255.255.255.0；实际使用该命令时，应将斜体字部分改为正确的网段） 。 注：使用nbtscan时，有时因为有些计算机安装防火墙软件，nbtscan的输出不全，但在计算机的arp缓存中却能有所反应，所以使用nbtscan时，还可同时查看arp缓存，就能得到比较完全的网段内计算机IP与MAC的对应关系。 补充一下： Anti ARP Sniffer 使用说明 一、功能说明: 使用Anti ARP Sniffer可以防止利用ARP技术进行数据包截取以及防止利用ARP技术发送地址冲突数据包。 二、使用说明： 1、ARP欺骗： 填入网关IP地址，点击〔获取网关mac地址〕将会显示出网关的MAC地址。点击[自动防护]即可保护当前网卡与该网关的通信不会被第三方监听。 注意：如出现ARP欺骗提示，这说明攻击者发送了ARP欺骗数据包来获取网卡的数据包，如果您想追踪攻击来源请记住攻击者的MAC地址，利用MAC地址扫描器可以找出IP 对应的MAC地址。 2、IP地址冲突 首先点击“恢复默认”然后点击“防护地址冲突”。 如频繁的出现IP地址冲突，这说明攻击者频繁发送ARP欺骗数据包，才会出现IP冲突的警告，利用Anti ARP Sniffer可以防止此类攻击。 首先您需要知道冲突的MAC地址，Windows会记录这些错误。查看具体方法如下： 右击[我的电脑]-->[管理]-->点击[事件查看器]-->点击[系统]-->查看来源为[TcpIP]--->双击事件可以看到显示地址发生冲突，并记录了该MAC地址，请复制该MAC地址并填入Anti ARP Sniffer的本地MAC地址输入框中(请注意将:转换为-)，输入完成之后点击[防护地址冲突]，为了使MAC地址生效请禁用本地网卡然后再启用网卡，在CMD命令行中输入Ipconfig /all，查看当前MAC地址是否与本地MAC地址输入框中的MAC地址相符。如果成功将不再会显示地址冲突。 注意:如果您想恢复默认MAC地址,请点击[恢复默认],为了使MAC地址生效请禁用本地网卡然后再启用网卡。1 ARP病毒---导致网络(ping)时断时通---解决办法
ARP病毒解决办法
决战ARP病毒arp -s 192.168.1.1 08-10-17-f8-6a-4b
从上周起，在单位上网时发生的怪事就一直困扰着我，起初以为是网络不稳定才出现时断时续的现象，并没有引起我太大的注意，可事过两天，该现象却越来越严重，发生频率也是越来越高，同时其他同事的电脑也是同样无法正常上网，故障跟我的一模一样，这引起了我的注意，于是决定把这个问题调查个水落石出。
初期的判断主要是围绕着我自己的电脑展开，在进行了查毒和系统的重装后，竟然问题依旧，难道问题不是出在我这台电脑上吗？带着问题我打开了百度的搜索网页，查了一下网络时断时续的相关资料，果然这种现象是近期的一个热点，原因是中了一种arp的木马病毒，它的原理是将网关的MAC地址改写，直接导致访问网关的电脑无法正确找到网关设备，使网络无法正确连接而造成网络瘫痪。经过进一步调查发现，该木马程序的出现是局域网内有人使用ARP欺骗的木马程序(比如：传奇盗号的软件，某些传奇外挂中也被恶意加载了此程序)。而现象却是网络内所有的电脑都无法正确访问网关导致无法上网，所以单从自己的电脑发向去调查，肯定会是毫无收获的，因为自己的电脑也只是受害电脑之一。
解决方案有两种：
一是临时应急型，可暂时解决不能上网的问题，而不是彻底清除病毒：只需使用Windows系统自带的arp命令即可完成。方法如下：点击开始，运行，输入“arp -s 网关地址 网关MAC地址”，这样即可使网关地址与真正的网关MAC地址绑定，使得局域网内病毒主机无法再进行干扰！但问题是此方法在计算机重启后自动失效，想再次使用必须重复上述操作。
二是彻底清除型，此方法必须将网内受感染的病毒主机找出，若局域网只连几台电脑，则查找难度则很低，只要将病毒主机查出并杀毒即可解决问题。但局域网若是带了几十甚至几百台电脑主机时，查找的难度则会增加很多……
问题既然找出，下一步就要搜查病毒主机了。由于单位上网的小局域网内只连有五、六台左右的电脑，这使查找难度降低很多。但也并非一帆风顺，因为病毒主机伪装的MAC地址并没有使用它自己的网卡MAC地址，而是虚构了一个地址，这使我再次陷入迷茫！但后来在使用arp -a命令时发现总有一个IP地址会出现(此IP既不是我电脑的，也不是网关的)，我由此怀疑这个IP地址就是一切故障的始作蛹者，于是我坚决地在集线器上找到了这个IP对应的网线并将之拨掉，果然在没有这台病毒主机干扰后，网络终于恢复了正常。至此由该arp病毒引发的上网时断时续问题随着这台病毒主机被抓出而划上了完美的句号。
ARP病毒---导致网络(ping)时断时通---解决办法
【解决思路】
1、不要把你的网络安全信任关系建立在IP基础上或MAC基础上，(rarp同样存在欺骗的问题)，理想的关系应该建立在IP+MAC基础上。
2、设置静态的MAC-->IP对应表，不要让主机刷新你设定好的转换表。
3、除非很有必要，否则停止使用ARP，将ARP做为永久条目保存在对应表中。
4、使用ARP服务器。通过该服务器查找自己的ARP转换表来响应其他机器的ARP广播。确保这台ARP服务器不被黑。
5、使用“proxy”代理IP的传输。
6、使用硬件屏蔽主机。设置好你的路由，确保IP地址能到达合法的路径。(静态配置路由ARP条目)，注意，使用交换集线器和网桥无法阻止ARP欺骗。
7、管理员定期用响应的IP包中获得一个rarp请求，然后检查ARP响应的真实性。
8、管理员定期轮询，检查主机上的ARP缓存。
9、使用防火墙连续监控网络。注意有使用SNMP的情况下，ARP的欺骗有可能导致陷阱包丢失。
【HiPER用户的解决方案】
建议用户采用双向绑定的方法解决并且防止ARP欺骗。
1、在PC上绑定路由器的IP和MAC地址：
1)首先，获得路由器的内网的MAC地址(例如HiPER网关地址192.168.16.254的MAC地址为0022aa0022aa局域网端口MAC地址>)。
2)编写一个批处理文件rarp.bat内容如下：
@echo off
arp -d
arp -s 192.168.16.254 00-22-aa-00-22-aa
将文件中的网关IP地址和MAC地址更改为您自己的网关IP地址和MAC地址即可。
将这个批处理软件拖到“windows--开始--程序--启动”中。
rp
显示和修改“地址解析协议 (ARP)”缓存中的项目。ARP 缓存中包含一个或多个表，它们用于存储 IP 地址及其经过解析的以太网或令牌环物理地址。计算机上安装的每一个以太网或令牌环网络适配器都有自己单独的表。如果在没有参数的情况下使用，则 arp 命令将显示帮助信息。
语法
arp[-a [InetAddr] [-N IfaceAddr]] [-g [InetAddr] [-N IfaceAddr]] [-d InetAddr [IfaceAddr]] [-s InetAddr EtherAddr [IfaceAddr]]
参数
-a[ InetAddr] [ -N IfaceAddr]
显示所有接口的当前 ARP 缓存表。要显示特定 IP 地址的 ARP 缓存项，请使用带有 InetAddr 参数的 arp -a，此处的 InetAddr 代表 IP 地址。如果未指定 InetAddr，则使用第一个适用的接口。要显示特定接口的 ARP 缓存表，请将 -N IfaceAddr 参数与 -a 参数一起使用，此处的 IfaceAddr 代表指派给该接口的 IP 地址。-N 参数区分大小写。
-g[ InetAddr] [ -N IfaceAddr]
与 -a 相同。
-d InetAddr [IfaceAddr]
删除指定的 IP 地址项，此处的 InetAddr 代表 IP 地址。对于指定的接口，要删除表中的某项，请使用 IfaceAddr 参数，此处的 IfaceAddr 代表指派给该接口的 IP 地址。要删除所有项，请使用星号 (*) 通配符代替 InetAddr。
-s InetAddr EtherAddr [IfaceAddr]
向 ARP 缓存添加可将 IP 地址 InetAddr 解析成物理地址 EtherAddr 的静态项。要向指定接口的表添加静态 ARP 缓存项，请使用 IfaceAddr 参数，此处的 IfaceAddr 代表指派给该接口的 IP 地址。
/?
在命令提示符下显示帮助。
注释
? InetAddr 和 IfaceAddr 的 IP 地址用带圆点的十进制记数法表示。
? EtherAddr 的物理地址由六个字节组成，这些字节用十六进制记数法表示并且用连字符隔开（比如，00-AA-00-4F-2A-9C）。
按以下顺序删除病毒组件
1) 删除 ”病毒组件释放者”
%windows%\SYSTEM32\LOADHW.EXE
2) 删除 ”发ARP欺骗包的驱动程序” (兼 “病毒守护程序”)
%windows%\System32\drivers\npf.sys
a. 在设备管理器中, 单击”查看”-->”显示隐藏的设备”
b. 在设备树结构中,打开”非即插即用….”
c. 找到” NetGroup Packet Filter Driver” ,若没找到,请先刷新设备列表
d. 右键点击” NetGroup Packet Filter Driver” 菜单,并选择”卸载”.
e. 重启windows系统,
f. 删除%windows%\System32\drivers\npf.sys
3) 删除 ”命令驱动程序发ARP欺骗包的控制者”
%windows%\System32\msitinit.dll
2. 删除以下”病毒的假驱动程序”的注册表服务项:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Npf
三、定位ARP攻击源头和防御方法
1．定位ARP攻击源头
主动定位方式：因为所有的ARP攻击源都会有其特征——网卡会处于混杂模式，可以通过ARPKiller这样的工具扫描网内有哪台机器的网卡是处于混杂模式的，从而判断这台机器有可能就是“元凶”。定位好机器后，再做病毒信息收集，提交给趋势科技做分析处理。
标注：网卡可以置于一种模式叫混杂模式（promiscuous），在这种模式下工作的网卡能够收到一切通过它的数据，而不管实际上数据的目的地址是不是它。这实际就是Sniffer工作的基本原理：让网卡接收一切它所能接收的数据。
被动定位方式：在局域网发生ARP攻击时，查看交换机的动态ARP表中的内容，确定攻击源的MAC地址；也可以在局域居于网中部署Sniffer工具，定位ARP攻击源的MAC。
也可以直接Ping网关IP，完成Ping后，用ARP –a查看网关IP对应的MAC地址，此MAC地址应该为欺骗的MAC。
使用NBTSCAN可以取到PC的真实IP地址、机器名和MAC地址，如果有”ARP攻击”在做怪，可以找到装有ARP攻击的PC的IP、机器名和MAC地址。
命令：“nbtscan -r 192.168.16.0/24”（搜索整个192.168.16.0/24网段, 即192.168.16.1-192.168.16.254）；或“nbtscan 192.168.16.25-137”搜索192.168.16.25-137 网段，即192.168.16.25-192.168.16.137。输出结果第一列是IP地址，最后一列是MAC地址。
NBTSCAN的使用范例：
假设查找一台MAC地址为“000d870d585f”的病毒主机。
1）将压缩包中的nbtscan.exe 和cygwin1.dll解压缩放到c:下。
2）在Windows开始—运行—打开，输入cmd（windows98输入“command”），在出现的DOS窗口中输入：C: btscan -r 192.168.16.1/24（这里需要根据用户实际网段输入），回车。
3）通过查询IP--MAC对应表，查出“000d870d585f”的病毒主机的IP地址为“192.168.16.223”。
通过上述方法，我们就能够快速的找到病毒源，确认其MAC——〉机器名和IP地址。
2．防御方法
a.使用可防御ARP攻击的三层交换机，绑定端口-MAC-IP，限制ARP流量，及时发现并自动阻断ARP攻击端口，合理划分VLAN，彻底阻止盗用IP、MAC地址，杜绝ARP的攻击。
b.对于经常爆发病毒的网络，进行Internet访问控制，限制用户对网络的访问。此类ARP攻击程序一般都是从Internet下载到用户终端，如果能够加强用户上网的访问控制，就能极大的减少该问题的发生。
c.在发生ARP攻击时，及时找到病毒攻击源头，并收集病毒信息，可以使用趋势科技的SIC2.0，同时收集可疑的病毒样本文件，一起提交到趋势科技的TrendLabs进行分析，TrendLabs将以最快的速度提供病毒码文件，从而可以进行ARP病毒的防御。
该病毒发作时候的特征为，中毒的机器会伪造某台电脑的MAC地址，如该伪造地址为网关服务器的地址，那么对整个网吧均会造成影响，用户表现为上网经常瞬断。
一、在任意客户机上进入命令提示符(或MS-DOS方式)，用arp –a命令查看：
C:\WINNT\system32>arp -a
Interface: 192.168.0.193 on Interface 0x1000003
Internet Address Physical Address Type
192.168.0.1 00-50-da-8a-62-2c dynamic
192.168.0.23 00-11-2f-43-81-8b dynamic
192.168.0.24 00-50-da-8a-62-2c dynamic
192.168.0.25 00-05-5d-ff-a8-87 dynamic
192.168.0.200 00-50-ba-fa-59-fe dynamic
可以看到有两个机器的MAC地址相同，那么实际检查结果为
00-50-da-8a-62-2c为192.168.0.24的MAC地址，192.168.0.1的实际MAC地址为00-02-ba-0b-04-32，我们可以判定192.168.0.24实际上为有病毒的机器，它伪造了192.168.0.1的MAC地址。
二、在192.168.0.24上进入命令提示符(或MS-DOS方式)，用arp –a命令查看：
C:\WINNT\system32>arp -a
Interface: 192.168.0.24 on Interface 0x1000003
Internet Address Physical Address Type
192.168.0.1 00-02-ba-0b-04-32 dynamic
192.168.0.23 00-11-2f-43-81-8b dynamic
192.168.0.25 00-05-5d-ff-a8-87 dynamic
192.168.0.193 00-11-2f-b2-9d-17 dynamic
192.168.0.200 00-50-ba-fa-59-fe dynamic
可以看到带病毒的机器上显示的MAC地址是正确的，而且该机运行速度缓慢，应该为所有流量在二层通过该机进行转发而导致，该机重启后网吧内所有电脑都不能上网，只有等arp刷新MAC地址后才正常，一般在2、3分钟左右。
三、如果主机可以进入dos窗口，用arp –a命令可以看到类似下面的现象：
C:\WINNT\system32>arp -a
Interface: 192.168.0.1 on Interface 0x1000004
Internet Address Physical Address Type
192.168.0.23 00-50-da-8a-62-2c dynamic
192.168.0.24 00-50-da-8a-62-2c dynamic
192.168.0.25 00-50-da-8a-62-2c dynamic
192.168.0.193 00-50-da-8a-62-2c dynamic
192.168.0.200 00-50-da-8a-62-2c dynamic
该病毒不发作的时候，在代理服务器上看到的地址情况如下：
C:\WINNT\system32>arp -a
Interface: 192.168.0.1 on Interface 0x1000004
Internet Address Physical Address Type
192.168.0.23 00-11-2f-43-81-8b dynamic
192.168.0.24 00-50-da-8a-62-2c dynamic
192.168.0.25 00-05-5d-ff-a8-87 dynamic
192.168.0.193 00-11-2f-b2-9d-17 dynamic
192.168.0.200 00-50-ba-fa-59-fe dynamic
病毒发作的时候，可以看到所有的ip地址的mac地址被修改为00-50-da-8a-62-2c，正常的时候可以看到MAC地址均不会相同。
解决办法：
一、采用客户机及网关服务器上进行静态ARP绑定的办法来解决。
1． 在所有的客户端机器上做网关服务器的ARP静态绑定。
首先在网关服务器（代理主机）的电脑上查看本机MAC地址
C:\WINNT\system32>ipconfig /all
Ethernet adapter 本地连接 2:
Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Intel? PRO/100B PCI
Adapter (TX)
Physical Address. . . . . . . . . : 00-02-ba-0b-04-32
Dhcp Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 192.168.0.1
Subnet Mask . . . . . . . . . . . : 255.255.255.0
然后在客户机器的DOS命令下做ARP的静态绑定
C:\WINNT\system32>arp –s 192.168.0.1 00-02-ba-0b-04-32
注：如有条件，建议在客户机上做所有其他客户机的IP和MAC地址绑定。
2． 在网关服务器（代理主机）的电脑上做客户机器的ARP静态绑定
首先在所有的客户端机器上查看IP和MAC地址，命令如上。
然后在代理主机上做所有客户端服务器的ARP静态绑定。如：
C:\winnt\system32> arp –s 192.168.0.23 00-11-2f-43-81-8b
C:\winnt\system32> arp –s 192.168.0.24 00-50-da-8a-62-2c
C:\winnt\system32> arp –s 192.168.0.25 00-05-5d-ff-a8-87
。。。。。。。。。
3． 以上ARP的静态绑定最后做成一个windows自启动文件，让电脑一启动就执行以上操作，保证配置不丢失。
二、有条件的网吧可以在交换机内进行IP地址与MAC地址绑定
三、IP和MAC进行绑定后，更换网卡需要重新绑定，因此建议在客户机安装杀毒软件来解决此类问题：该网吧发现的病毒是变速齿轮2.04B中带的，病毒程序在
http://www.wgwang.com/list/3007.html 可下载到：
1、 KAV(卡巴斯基)，可杀除该病毒，病毒命名为：TrojanDropper.Win32.Juntador.c
杀毒信息：07.02.2005 10:48:00 C:\Documents and
Settings\Administrator\Local Settings\Temporary Internet
Files\Content.IE5\B005Z0K9\Gear_Setup[1].exe infected
TrojanDropper.Win32.Juntador.c
2、 瑞星可杀除该病毒，病毒命名为：TrojanDropper.Win32.Juntador.f
用arp命令查看arp缓存。查找攻击源mac。进行。。。
把每台电脑绑定好自已的mac地址，使用防火墙等禁止攻击源
网速慢,或者断线频繁
去下个antiarp会检查出来的！
软件还不错，可以防护你的网络不再受arp攻击。
潍坊亿科计算机服务中心
下一个ARP监控就行了，很多这类工具的，
绛旓細涓銆侀鍏堣瘖鏂槸鍚︿负ARP鐥呮瘨鏀诲嚮 1銆佸綋鍙戠幇涓婄綉鏄庢樉鍙樻參锛屾垨鑰呯獊鐒舵帀绾挎椂锛屾垜浠彲浠ョ敤锛歛rp -a 鍛戒护鏉ユ鏌RP琛細鐐瑰嚮“寮濮”鎸夐挳-閫夋嫨“杩愯”-杈撳叆“cmd”鐐瑰嚮“纭畾”鎸夐挳锛屽湪绐楀彛涓緭鍏ワ細arp -a 鍛戒护銆傚浣曟帓鏌ュ唴缃慉RP鏂綉鏀诲嚮绁搁?灞鍩熺綉ARP鏀诲嚮妫娴嬫柟...
绛旓細鏍规嵁ARP鏀诲嚮鐨勯噸瑕佽〃鐜版槸浼灞鍩熺綉缃戝叧鍦板潃锛鍥犳鍙互閫氳繃鏌ョ湅ARP鍦板潃姹犻噷杩涜鍒ゆ柇銆鎵撳紑鈥滆繍琛屸濈獥鍙ｏ紝杈撳叆鍛戒护鈥淎RP -A鈥銆傛鏃跺鏋滃彂鐜板瓨鍦ㄥ涓綉鍏冲湴鍧锛屽苟涓旇繘琛屼簡鈥滈潤鎬佲濈粦瀹氾紝鍒欏彲纭俊鐢佃剳宸蹭腑ARP鏀诲嚮銆傚彟澶栵紝鎴戜滑涔熷彲浠鍊熺敤鐢佃剳闃叉姢绫昏蒋浠惰繘琛屽垽鏂銆傛墦寮360瀹夊叏鍗＋锛岃繘鍏モ滄祦閲忛槻鐏鈥濆姛鑳姐傛帴鐫鐐...
绛旓細4銆佸啀绱竴鐐圭殑鏂规硶锛灞鍩熺綉鍐呮満鍣ㄥ皯锛夛紝鐪嬪摢涓鍙版満鍣ㄦ湁涓婚〉绡℃敼銆佹潃杞墦涓嶅紑绛夋儏鍐碉紝鏉鍒ゆ柇鏈哄櫒鏄惁涓嫑銆
绛旓細妫娴婣RP娆洪獥鏀诲嚮姣旇緝鏈夋晥鐨勬柟娉曚富瑕佹湁涓ょ锛涓绉嶆槸鍦ㄥ眬鍩熺綉鍐呴儴浣跨敤鎶撳寘杞欢杩涜鎶 鍖呭垎鏋愩佸彟涓绉嶆槸鐩存帴鍒板埌涓夊眰浜ゆ崲鏈轰笂鏌ヨARP琛锛岃繖涓ょ鏂规硶鍚勬湁浼樼己鐐癸紝鍏蜂綋鍒嗘瀽濡備笅锛1銆佹姄鍖呭垎鏋 鏂规硶鈥斺斾娇鐢ㄦ姄鍖呰蒋浠讹紙濡倃indump銆乻niffer pro绛夛級鍦ㄥ眬鍩熺綉鍐呮姄ARP鐨剅eply鍖咃紝浠indump涓 渚嬶紝浣跨敤windump -i 2 -...
绛旓細1銆佸皢IP鍜孧AC鍦板潃杩涜閭﹀畾锛氶氳繃鏄湪璺敱鍣ㄧ灏灞鍩熺綉涓悇璁＄畻鏈虹殑IP鍦板潃涓庡叾瀵瑰簲鐨勭綉鍗AC鍦板潃瀹炶閭﹀畾銆傛墦寮璺敱鍣ㄧ鐞嗙晫闈⑩斺斺淚P涓嶮AC閭﹀畾鈥濃斺斺滈潤鎬ARP閭﹀畾璁剧疆鈥濋」锛屸斺斺滄坊鍔犲崟涓」鐩濇寜閽傚湪鎵撳紑鐨勨淎RP闈欐侀偊瀹氣濈獥鍙ｄ腑锛岃緭鍏ヨ閭﹀畾鐨処P鍜孧AC锛岀劧鍚庣偣鍑烩滀繚瀛樷濇寜閽嵆鍙傜敤鍚屾牱鐨勬柟娉曟坊...
绛旓細鏁呴殰璇婃柇鍔炴硶锛氬鏋滅敤鎴峰彂鐜颁互涓婄枒浼兼儏鍐达紝鍙互閫 杩囧涓嬫搷浣滆繗琛岃瘖鏂細鐐瑰嚮寮濮嬫寜閽-閫夋嫨杩愯-杈撳叆arp -d-鐐瑰嚮纭畾鎸夐挳锛岀劧鍚庨噸鏂板皾璇曚笂缃戯紝濡傛灉鑳芥仮澶嶆甯稿垯璇存槑 姝ゆ鎺夌嚎鍙兘鏄彈 ARP 娆洪獥鎵鑷淬 锛坅rp -d鍛戒护鐢ㄤ簬娓呴櫎骞堕噸寤烘湰 鏈 arp 琛ㄥ苟涓岃兘鎶靛尽 ARP 娆洪獥锛 鎵ц鍚庝粛鏈夊彲鑳藉啀娆閬彈 ARP 鏀诲嚮銆
绛旓細鏁呴殰鐜拌薄:鏈哄櫒浠ュ墠鍙甯镐笂缃戠殑,绐佺劧鍑虹幇鍙璇,涓嶈兘涓婄綉鐨勭幇璞(鏃犳硶ping閫氱綉鍏),閲嶅惎鏈哄櫒鎴栧湪MSDOS绐楀彛涓嬭繍琛屽懡浠ARP -d鍚,鍙堝彲鎭㈠涓婄綉涓娈垫椂闂淬 鏁呴殰鍘熷洜:杩欐槸APR鐥呮瘨娆洪獥鏀诲嚮閫犳垚鐨勩 寮曡捣闂鐨勫師鍥犱竴鑸槸鐢变紶濂囧鎸傛惡甯︾殑ARP鏈ㄩ┈鏀诲嚮銆傚綋鍦灞鍩熺綉鍐呬娇鐢ㄤ笂杩板鎸傛椂,澶栨寕鎼哄甫鐨勭梾姣掍細灏嗚鏈哄櫒鐨凪AC鍦板潃鏄犲皠鍒...
绛旓細ARP娆洪獥鏈ㄩ┈鐨勪腑姣掔幇璞¤〃鐜颁负锛氫娇鐢灞鍩熺綉鏃朵細绐佺劧鎺夌嚎锛岃繃涓娈垫椂闂村悗鍙堜細鎭㈠姝ｅ父銆傜敤鎴烽绻佹柇缃戯紝IE娴忚鍣ㄩ绻佸嚭閿欙紝浠ュ強涓浜涘父鐢ㄨ蒋浠跺嚭鐜版晠闅滅瓑銆
绛旓細鏂规硶涓锛氬湪鏀跺埌ARP娆洪獥鐨勬湰鏈猴紝鍦ㄥ紑濮--杩愯涓紝杈撳叆鈥渃md鈥濓紝杩涘叆ms-dos锛岄氳繃鍛戒护琛岀獥鍙ｈ緭鍏モarp -a鈥濆懡浠わ紝鏌ョ湅ARP鍒楄〃銆備細鍙戠幇璇AC宸茬粡琚浛鎹㈡垚鏀诲嚮鏈哄櫒鐨凪AC锛屽皢璇AC璁板綍锛堜互澶囨煡鎵撅級锛岀劧鍚庢牴鎹MAC鎵惧嚭涓梾姣掔殑璁＄畻鏈恒傛柟娉曚簩锛氬熷姪绗笁鏂规姄鍖呭伐鍏凤紙濡俿niffer鎴朼ntiarp锛夋煡鎵灞鍩熺綉涓彂arp鍖...
绛旓細鐢╝rp -a鐪嬬湅MAC鍜孖P鐨勫搴斿叧绯绘槸涓嶆槸姝ｇ‘锛屽鏋滀笉姝ｇ‘搴旇鏄彈鍒颁簡ARP鐨勬敾鍑锛岀綉鍐呭彲鑳芥湁浜轰腑浜咥RP鐥呮瘨锛岀幇鍦ㄧ殑ARP闃茬伀澧欏緱鍒扮殑淇℃伅鏄悜缃戠粶涓彂閫丄RP鎺㈠锛岀劧鍚庨氳繃杩斿洖鐨勪俊鎭褰曪紝浣嗘槸濡傛灉缃戠粶涓殑淇℃伅鏄敊璇殑锛岄偅涔堜粬寰楀埌鐨勪俊鎭篃鏄敊璇殑锛屽洜姝や笉鑳藉噯纭畾浣嶆敾鍑绘簮锛岃鎯冲噯纭畾浣嶆敾鍑绘簮灏辫淇濊瘉寰楀埌...
