ARP病毒問題的處理2010-09-30 22:111、Antiarp軟件下載

來源:本站原創 安全技術 超過626 views圍觀 0條評論

ARP病毒問題的處理2010-09-30 22:11

1、Antiarp軟件下載

2、NbtScan 1.5.1軟件下載

有關ARP病毒問題的處理說明:
故障現象 :機器以前可正常上網的,突然出現可認證,不能上網的現象(無法ping通網關),重啟機器或在MSDOS窗口下運行命令ARP -d后,又可恢復上網一段時間。
故障原因:這是APR病毒欺騙攻擊造成的。
引起問題的原因一般是由傳奇外掛攜帶的ARP木馬攻擊。當在局域網內使用上述外掛時,外掛攜帶的病毒會將該機器的MAC地址映射到網關的IP地址上,向局域網內大量發送ARP包,從而致使同一網段地址內的其它機器誤將其作為網關,這就是為什么掉線時內網是互通的,計算機卻不能上網的原因。
臨時處理對策:
  步驟一. 在能上網時,進入MS-DOS窗口,輸入命令:arp –a 查看網關IP對應的正確MAC地址,將其記錄下來。
      注:如果已經不能上網,則先運行一次命令arp –d將arp緩存中的內容刪空,計算機可暫時恢復上網(攻擊如果不停止的話),一旦能上網就立即將網絡斷掉(禁用網卡或拔掉網線),再運行arp –a。
步驟二. 如果已經有網關的正確MAC地址,在不能上網時,手工將網關IP和正確MAC綁定,可確保計算機不再被攻擊影響。手工綁定可在MS-DOS窗口下運行以下命令: arp –s 網關IP 網關MAC
例如:假設計算機所處網段的網關為218.197.192.254,本機地址為218.197.192.1在計算機上運行arp –a后輸出如下:
C:\Documents and Settings>arp -a
Interface: 218.197.192.1 — 0x2
Internet Address Physical Address Type
218.197.192.254 00-01-02-03-04-05 dynamic
其中00-01-02-03-04-05就是網關218.197.192.254對應的MAC地址,類型是動態(dynamic)的,因此是可被改變。
被攻擊后,再用該命令查看,就會發現該MAC已經被替換成攻擊機器的MAC,如果大家希望能找出攻擊機器,徹底根除攻擊,可以在此時將該MAC記錄下來,為以后查找做準備。
手工綁定的命令為:
arp –s 218.197.192.254 00-01-02-03-04-05
綁定完,可再用arp –a查看arp緩存,
C:\Documents and Settings>arp -a
Interface: 218.197.192.1 — 0x2
Internet Address Physical Address Type
218.197.192.254 00-01-02-03-04-05 static
這時,類型變為靜態(static),就不會再受攻擊影響了。但是,需要說明的是,手工綁定在計算機關機重開機后就會失效,需要再綁定。所以,要徹底根除攻擊,只有找出網段內被病毒感染的計算機,令其殺毒,方可解決。找出病毒計算機的方法:
如果已有病毒計算機的MAC地址,可使用NBTSCAN軟件找出網段內與該MAC地址對應的IP,即病毒計算機的IP地址,然后可報告校網絡中心對其進行查封。
NBTSCAN的使用方法:
下載nbtscan.rar到硬盤后解壓,然后將cygwin1.dll和nbtscan.exe兩文件拷貝到c:\windows\system32(或system)下,進入MSDOS窗口就可以輸入命令:
nbtscan -r 218.197.192.0/24 (假設本機所處的網段是218.197.192,掩碼是255.255.255.0;實際使用該命令時,應將斜體字部分改為正確的網段) 。
注:使用nbtscan時,有時因為有些計算機安裝防火墻軟件,nbtscan的輸出不全,但在計算機的arp緩存中卻能有所反應,所以使用nbtscan時,還可同時查看arp緩存,就能得到比較完全的網段內計算機IP與MAC的對應關系

文章出自:CCIE那點事 http://www.qdxgqk.live/ 版權所有。本站文章除注明出處外,皆為作者原創文章,可自由引用,但請注明來源。 禁止全文轉載。
本文鏈接:http://www.qdxgqk.live/?p=278轉載請注明轉自CCIE那點事
如果喜歡:點此訂閱本站
  • 相關文章
  • 為您推薦
  • 各種觀點
?
暫時還木有人評論,坐等沙發!
發表評論

您必須 [ 登錄 ] 才能發表留言!

?
?
萌宠夺宝游戏