adj 2008-8-18 17:16
何謂 ARP 的攻擊程式以及解決方法
該木馬病毒不僅會影響自己的上網和資訊安全，還會波及全網，只要還有一台電腦感染該病毒，就會對學校的網路運行和資訊安全造成嚴重的威脅。
[b]1、中毒現象[/b]
宿舍內機器以前可正常上網的，突然出現可認證，不能上網的現象（無法ping通網關），重啟機器或在MSDOS窗口下運行命令ARP -d後，又可恢復上網一段時間。病毒發作時除了會導致同一局域網內的其他用戶出現時斷時續外，還會竊取用戶口令（如 QQ 、網路遊戲、網上銀行以及其他脆弱系統帳號等），這是木馬的慣用伎倆。
[b]2、我們VS病毒 [/b]
這是APR病毒欺騙攻擊造成的。
引起問題的原因一般是由傳奇外挂攜帶的ARP木馬攻擊。當有同學在宿舍局域網內使用上述外挂時，外挂攜帶的病毒會將該機器的MAC地址映射到網關的IP地址上，向局域網內大量發送ARP包，從而致使同一網段地址內的其他機器誤將其作為網關，這就是為什麼掉線時內網是互通的，電腦卻不能上網的原因。
該病毒主要通過 ARP 欺騙實施破壞行為。 ARP 欺騙分兩種，一種是對路由器 ARP 表的欺騙；另一種是對內網，對內網 PC 的網關欺騙。第一種 ARP 欺騙的原理是－截獲網關數據。它通知路由器一系列錯誤的內網 MAC 地址，並按照一定的頻率不斷的更新學習進行，使真實的地址資訊無法通過更新保存在路由器中，結果路由器的所有數據只能發送錯誤的 MAC 地址，造成正常的 PC 無法收到資訊。第二種 ARP 欺騙原理是－通過交換機的 MAC 地址學習機制，偽造網關。它的原理是建立假的網關，讓被它欺騙的 PC 向假網關發送數據，而不是通過正常的路由器或交換途徑尋找網關，造成在同一網關的所有 PC 無法訪問網路。
[b]3、網路解毒劑DIY[/b]
步驟一. 在能上網時，進入MS-DOS窗口，輸入命令：
arp –a
查看網關IP對應的正確MAC地址，將其記錄下來。
注：如果已經不能上網，則先運行一次命令arp –d將arp緩存中的內容刪空，電腦可暫時恢復上網（攻擊如果不停止的話），一旦能上網就立即將網路斷掉（禁用網卡或拔掉網線），再運行arp –a。
步驟二. 如果已經有網關的正確MAC地址，在不能上網時，手工將網關IP和正確MAC綁定，可確保電腦不再被攻擊影響。手工綁定可在MS-DOS窗口下運行以下命令：
arp –s 網關IP 網關MAC
例如：假設電腦所處網段的網關為218.197.192.254，本機地址為218.197.192.1在電腦上運行arp –a後輸出如下：
C:\Documents and Settings>arp -a
Interface: 218.197.192.1 --- 0x2
Internet Address Physical Address Type
218.197.192.254 00-01-02-03-04-05 dynamic
其中00-01-02-03-04-05就是網關218.197.192.254對應的MAC地址，類型是動態（dynamic）的，因此是可被改變。
被攻擊後，再用該命令查看，就會發現該MAC已經被替換成攻擊機器的MAC，如果大家希望能找出攻擊機器，徹底根除攻擊，可以在此時將該MAC記錄下來，為以後搜尋做準備。
手工綁定的命令為：
arp –s 218.197.192.254 00-01-02-03-04-05
綁定完，可再用arp –a查看arp緩存，
C:\Documents and Settings>arp -a
Interface: 218.197.192.1 --- 0x2
Internet Address Physical Address Type
218.197.192.254 00-01-02-03-04-05 static
這時，類型變為靜態（static），就不會再受攻擊影響了。
但是，需要說明的是，手工綁定在電腦關機重開機後就會失效，需要再綁定。所以，要徹底根除攻擊，只有找出網段內被病毒感染的電腦，令其殺毒，方可解決。
[b]找出病毒電腦的方法：[/b]
如果已有病毒電腦的MAC地址，可使用NBTSCAN軟體找出網段內與該MAC地址對應的IP，即病毒電腦的IP地址，然後可報告校網路中心對其進行查封。
[b]NBTSCAN的使用方法：[/b]
[url=http://www.utt.com.cn/upload/nbtscan.rar][color=#0066cc]nbtscan.rar[/color][/url]
下載nbtscan.rar到硬盤後解壓，然後將cygwin1.dll和nbtscan.exe兩文件拷貝到c:\windows\system32(或system)下，進入MSDOS窗口就可以輸入命令：
[color=red]nbtscan -r 218.197.192.0/24[/color] （假設本機所處的網段是218.197.192，掩碼是255.255.255.0；實際使用該命令時，應將斜體字部分改為正確的網段）。
使用nbtscan時，有時因為有些電腦安裝防火牆軟體，nbtscan的輸出不全，但在電腦的arp緩存中卻能有所反應，所以使用nbtscan時，還可同時查看arp緩存，就能得到比較完全的網段內電腦IP與MAC的對應關係查看網關IP對應的正確MAC地址，將其記錄下來。
根本解決方式：
[url=http://www1.dqpi.net/wlyxxfw/soft/KillArp.rar][color=#0066cc]下載趨勢科技ARP病毒專殺工具[/color][/url]
下載后解壓縮，運行包內TSC.exe文件，不要關讓它一直運行完，最后查看report文檔便知是否中毒。Virus found count(1) 表明發現一個ARP病毒;Virus clean count(1)表明清除一個ARP病毒。Virus found count(0) 表明沒有發現ARP病毒;Virus clean count(0)表明沒有清除ARP病毒。
或者:在"啟動"里添加一個防ARP病毒的文件
正常上網時運行arp -a，結果如下：
C:\Documents and Settings\Administrator>arp -a Interface: 192.168.197.131 --- 0x10003
Internet Address Physical Address Type
92.168.197.254 00-54-61-ca-34-a2 dynamic
192.168.197.254 是本網段通信閘IP
00-54-61-ca-34-a2 是通信閘MAC
然后打開記事本，填寫以下內容：（其中本網段通信閘IP 和通信閘MAC根據以上查詢的結果填寫）
@echo off
arp -d
arp -s 本網段通信閘ip 通信閘MAC
將文件保存為：antiarp.bat
在C盤里搜尋文件 "啟動" 。將antiarp.bat 移到"啟動"文件下。
From: [url=http://www.wowbox.com.tw/blog/article.asp?id=2593]http://www.wowbox.com.tw/blog/article.asp?id=2593[/url]
hjjkbobola 2010-2-19 13:34
恩可以試試看喔,謝謝大大的分享喔