瑞星卡卡安全论坛

为什么会这样呢,老想篡改网关的MAC,但是有的机器被篡改了MAC还可以正常上网,很奇怪,但是又找不到ARP攻击源,这是什么病毒呢,希望高手们帮忙分析一下,什么病毒这么厉害,应该怎样找出源头,有什么好方法

用户系统信息：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; TencentTraveler 4.0)

现在局域网中感染ARP 病毒的情况比较多，清理和防范都比较困难，给不少的网络管理员造成了很多的困扰。下面就是个人在处理这个问题的一些经验，同时也在网上翻阅了不少的参考资料。
ARP 病毒的症状：
有时候无法正常上网，有时候有好了，包括访问网上邻居也是如此，拷贝文件无法完成，出现错误；局域网内的ARP 包爆增，使用Arp 查询的时候会发现不正常的Mac 地址，或者是错误的Mac 地址对应，还有就是一个Mac 地址对应多个IP 的情况也会有出现。
ARP 攻击的原理：
ARP 欺骗攻击的包一般有以下两个特点，满足之一可视为攻击包报警:第一以太网数据包头的源地址、目标地址和ARP 数据包的协议地址不匹配。或者，ARP数据包的发送和目标地址不在自己网络网卡MAC 数据库内，或者与自己网络MAC 数据库MAC/IP 不匹配。这些统统第一时间报警，查这些数据包(以太网数据包)的源地址(也有可能伪造)，就大致知道那台机器在发起攻击了。现在有网络管理工具比如网络执法官、P2P 终结者也会使用同样的方式来伪装成网关，欺骗客户端对网关的访问，也就是会获取发到网关的流量，从而实现网络流量管理和网络监控等功能，同时也会对网络管理带来潜在的危害，就是可以很容易的获取用户的密码等相关信息。
处理办法：
通用的处理流程：
1 .先保证网络正常运行
方法一：编辑个***.bat 文件内容如下：
arp.exe s
**.**.**.**（网关ip） ****
**
**
**
**（
网关mac 地址）
end
让网络用户点击就可以了!
办法二：编辑一个注册表问题，键值如下：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"mac"="arp s
网关IP 地址网关Mac 地址"
然后保存成Reg 文件以后在每个客户端上点击导入注册表。
2 找到感染ARP 病毒的机器。
a：在电脑上ping 一下网关的IP 地址，然后使用ARP －a 的命令看得到的网关对应的MAC 地址是否与实际情况相符，如不符，可去查找与该MAC 地址对应的电脑。
b：使用抓包工具，分析所得到的ARP 数据报。有些ARP 病毒是会把通往网关的路径指向自己，有些是发出虚假ARP 回应包来混淆网络通信。第一种处理比较容易，第二种处理比较困难，如果杀毒软件不能正确识别病毒的话，往往需要手工查找感染病毒的电脑和手工处理病毒，比较困难。
c：使用mac 地址扫描工具，nbtscan 扫描全网段IP 地址和MAC 地址对应表，有助于判断感染ARP 病毒对应MAC 地址和IP 地址。
预防措施：
1，及时升级客户端的操作系统和应用程式补丁；
2，安装和更新杀毒软件。
4，如果网络规模较少，尽量使用手动指定IP 设置，而不是使用DHCP 来分配IP 地址。
5，如果交换机支持，在交换机上绑定MAC 地址与IP 地址。

感谢您的帮助
192.168.11.47    000000000000    MAC001EC21C952C    __MSBROWSE__
192.168.11.50    000D561A0711    AMY    WORKGROUP
192.168.11.52    00E0060904BC    IP52    WORKGROUP
192.168.11.56    0016368873D0    FRANK    MSHOME
192.168.11.62    001F2997FC1B    CTC-PC    WORKGROUP
192.168.11.105    001AA06065E3    ALMA    WORKGROUP
192.168.11.106    000D561A3C15    EXT106    WORKGROUP
192.168.11.108    000D56BFAEC5    HELEN    WORKGROUP
192.168.11.113    000D56BFAB68    801-113    WORKGROUP
192.168.11.117    000D56EEC15F    SAM    WORKGROUP
192.168.11.195    000000000000    BOND    WORKGROUP
192.168.11.204    001AA0A9340C    CITYDELLA    MSHOME
192.168.11.208    001AA0A91C2D    SARAH    WORKGROUP
192.168.11.220    001AA0A9323A    BETTY    WORKGROUP
192.168.11.221    0011111C4B8F    TOM-221    WORKGROUP
192.168.11.222    001AA0A9345C    FANNY    MSHOME
192.168.11.231    001D0F17EFD5    CTC-97A    WORKGROUP
192.168.11.254    0021700D6B5F    D8BK1F2X    MSHOME
192.168.11.195    000000000000    BOND    WORKGROUP
192.168.11.47    000000000000    MAC001EC21C952C    __MSBROWSE__
这是现在开着电脑的IP和对应MAC,但是根本找不到伪装MAC ---BB和BC,数字0的是Linux服务器MAC,现在上面的方法只能治标,但是没法治本,我的主要目的还是想找到源头

arp -a  看到的ip和mac是哪些？

这个命令也有用过，有时候会显示个别几个IP,比如106等,变动显示,比如我的电脑从文件服务器调东西也会显示在内

现在都已经做了双像绑顶,ARP -A只显示网关和对应MAC了

现在网关下面多显示了一行,218.107.152.158 00-01-1B-81-70

先用arp -d 清空缓存然后用arp -a 看到有多余的连接的IP 查查他的IP和MAC地址是不是对应的，把他断网看看还有没有arp攻击现象

照着做了,有一个192.168.11.70 ,但是网内根本没有这个IP,忽然冒出个70,所有电脑都手动做了双向绑定,自己有一个笔记本没改专,但是MAC老被篡改

顺便请教下,VISTA系统ARP -D.和ARP -S根本不能用，那我怎么绑定呢

IP 192.168.11.70 的MAC 都是为0,但是又没70这台机器,怎么搞的,见鬼了

VIATA系统下可以使用netsh命令绑定MAC地址

netsh怎么用,能不能详细点,谢谢了

运行  netsh i i show in
显示：（电脑中网卡的数量不同，网卡的安装次数会影响以下显示内容）
Idx  Met  MTU  状态          名称
---  ---  -----  -----------  -------------------
  1  50 4294967295  connected    Loopback Pseudo-Inte***ce 1
11  25  1500  connected    无线网络连接
  8    5  1500  disconnected  本地连接

3、在以上显示内容中找到你用来上网连接的Idx那个号码，在下面命令中使用 (我上网的网卡是“无线网络链接”所以Idx为 11 ）。然后在命令提示符窗口输入：
netsh -c "i i" add neighbors 11 "172.19.28.254" "00-11-92-ca-21-00"

4、然后在命令提示符输入运行 arp /a

显示：
接口: 192.168.0.31
Internet 地址 物理地址 类型
192.168.0.199 00-e0-4c-39-03-ee 静态

看到“静态”，成功！重启后运行arp/a再看看。

很感谢技术上的支持,我一直也在支持瑞星,虽然我们公司用的是卡巴,但是自打我进公司,我们的网络老出问题,老板一直在问,TOM{本人英文名}这是怎么回事,?我........@#%%##@%%.我就给把卡巴换成免费的瑞星啦~~~~~~~~~~~~~~~~~~~~~~虽然还是出问题,但是我相信瑞星能帮助我解决:default6: ,绝对不是枪手,谁枪手谁小狗,

晕死了 做了双向绑定还冲突。。你们那路由也闷强了。。。

路由里绑定客户机 客户机再绑定路由 这样都不行还真没法了

至于你说的攻击源 你那照片提示的192.168.11.3 不就是吗？（不好意思我没用过瑞星，俺什么杀毒也不装，只有卡卡）

还有就是你说凭空冒出 11.70  你ping一下不就知道有没有这个机器了，万一有人改了ip ，而你在路由又没限制:default19:

由于我们公司特殊性 不能做双绑
对付arp 我都用的这个
http://www.pigzuzu.cn/downview.asp?downl_ID=16

一直开着 监控开到20  很敏感
谁是攻击源 立即提示 然后我就屁颠屁颠跑去 拔了那家伙网线 :default6: