ARP欺骗病毒专题
[size=10.5pt][font=Times New Roman][color=#000000][/color][/font][/size][size=10.5pt][font=Times New Roman][color=#000000]1[/color][/font][/size][color=#000000][font=宋体][size=10.5pt]、什么是[/size][/font][size=10.5pt][font=Times New Roman]ARP[/font][/size][font=宋体][size=10.5pt]协议[/size][/font]
[size=10.5pt][/size][/color][color=#000000][font=宋体]要想了解[/font][font=Times New Roman]ARP[/font][font=宋体]欺骗攻击的原理，首先就要了解什么是[/font][font=Times New Roman]ARP[/font][font=宋体]协议。[/font][/color]
[color=#000000][font=Times New Roman]ARP[/font][font=宋体]是地址转换协议（[/font][font=Times New Roman]Address Resolution Protocol[/font][font=宋体]）的英文缩写，它是一个链路层协议，工作在[/font][font=Times New Roman]OSI[/font][font=宋体]模型的第二层，在本层和硬件接口间进行联系，同时对上层（网络层）提供服务。我们知道二层的以太网交换设备并不能识别[/font][font=Times New Roman]32[/font][font=宋体]位的[/font][font=Times New Roman]IP[/font][font=宋体]地址，它们是以[/font][font=Times New Roman]48[/font][font=宋体]位以太网地址（就是我们常说的[/font][font=Times New Roman]MAC[/font][font=宋体]地址）传输以太网数据包的。也就是说[/font][font=Times New Roman]IP[/font][font=宋体]数据包在局域网内部传输时并不是靠[/font][font=Times New Roman]IP[/font][font=宋体]地址而是靠[/font][font=Times New Roman]MAC[/font][font=宋体]地址来识别目标的，因此[/font][font=Times New Roman]IP[/font][font=宋体]地址与[/font][font=Times New Roman]MAC[/font][font=宋体]地址之间就必须存在一种对应关系，而[/font][font=Times New Roman]ARP[/font][font=宋体]协议就是用来确定这种对应关系的协议。[/font][font=Times New Roman]ARP[/font][font=宋体]工作时，首先请求主机会发送出一个含有所希望到达的[/font][font=Times New Roman]IP[/font][font=宋体]地址的以太网广播数据包，然后目标[/font][font=Times New Roman]IP[/font][font=宋体]的所有者会以一个含有[/font][font=Times New Roman]IP[/font][font=宋体]和[/font][font=Times New Roman]MAC[/font][font=宋体]地址对的数据包应答请求主机。这样请求主机就能获得要到达的[/font][font=Times New Roman]IP[/font][font=宋体]地址对应的[/font][font=Times New Roman]MAC[/font][font=宋体]地址，同时请求主机会将这个地址对放入自己的[/font][font=Times New Roman]ARP[/font][font=宋体]表缓存起来，以节约不必要的[/font][font=Times New Roman]ARP[/font][font=宋体]通信。[/font][font=Times New Roman]ARP[/font][font=宋体]缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用（[/font][font=Times New Roman]windows[/font][font=宋体]系统这个时间为[/font][font=Times New Roman]2[/font][font=宋体]分钟，而[/font][font=Times New Roman]Cisco[/font][font=宋体]路由器的这个时间为[/font][font=Times New Roman]5[/font][font=宋体]分钟），就会被删除，这样可以大大减少[/font][font=Times New Roman]ARP[/font][font=宋体]缓存表的长度，加快查询速度。通过下面的例子我们可以很清楚的看出[/font][font=Times New Roman]ARP[/font][font=宋体]的工作机制。[/font][/color]
[color=#000000][font=宋体][size=10.5pt][img]C:\Documents and Settings\Administrator\桌面\arp1.jpg[/img][/size][/font][/color]
[font=宋体][color=#000000]如上图所示，假如我们有两个网段、三台主机、两个网关、分别是：[/color][/font]
[color=#000000][font=宋体]主机名[/font][font=Times New Roman]
IP[/font][font=宋体]地址[/font][font=Times New Roman]
MAC[/font][font=宋体]地址[/font][/color]
[color=#000000][font=宋体]网关[/font][font=Times New Roman]1
192.168.1.1
01-01-01-01-01-01[/font][/color]
[color=#000000][font=宋体]主机[/font][font=Times New Roman]A
192.168.1.2
02-02-02-02-02-02[/font][/color]
[color=#000000][font=宋体]主机[/font][font=Times New Roman]B
192.168.1.3
03-03-03-03-03-03[/font][/color]
[color=#000000][font=宋体]网关[/font][font=Times New Roman]2
10.1.1.1
04-04-04-04-04-04[/font][/color]
[color=#000000][font=宋体]主机[/font][font=Times New Roman]C
10.1.1.2
05-05-05-05-05-05[/font][/color]
[font=Times New Roman][color=#000000][/color][/font]
[color=#000000][font=宋体]假如主机[/font][font=Times New Roman]A[/font][font=宋体]要与主机[/font][font=Times New Roman]B[/font][font=宋体]通讯，它首先会通过网络掩码比对，确认出主机[/font][font=Times New Roman]B[/font][font=宋体]是否在自己同一网段内，如果在它就会检查自己的[/font][font=Times New Roman]ARP[/font][font=宋体]缓存中是否有[/font][font=Times New Roman]192.168.1.3[/font][font=宋体]这个地址对应的[/font][font=Times New Roman]MAC[/font][font=宋体]地址，如果没有它就会向局域网的广播地址发送[/font][font=Times New Roman]ARP[/font][font=宋体]请求包，大致的意思是[/font][font=Times New Roman]192.168.1.3[/font][font=宋体]的[/font][font=Times New Roman]MAC[/font][font=宋体]地址是什么请告诉[/font][font=Times New Roman]192.168.1.2,[/font][font=宋体]而广播地址会把这个请求包广播给局域网内的所有主机，但是只有[/font][font=Times New Roman]192.168.1.3[/font][font=宋体]这台主机才会响应这个请求包，它会回应[/font][font=Times New Roman]192.168.1.2[/font][font=宋体]一个[/font][font=Times New Roman]arp reply[/font][font=宋体]包，大致的意思是[/font][font=Times New Roman]192.168.1.3[/font][font=宋体]的[/font][font=Times New Roman]MAC[/font][font=宋体]地址是[/font][font=Times New Roman]03-03-03-03-03-03[/font][font=宋体]。这样的话主机[/font][font=Times New Roman]A[/font][font=宋体]就得到了主机[/font][font=Times New Roman]B[/font][font=宋体]的[/font][font=Times New Roman]MAC[/font][font=宋体]地址，并且它会把这个对应的关系存在自己的[/font][font=Times New Roman]ARP[/font][font=宋体]缓存表中。之后主机[/font][font=Times New Roman]A[/font][font=宋体]与主机[/font][font=Times New Roman]B[/font][font=宋体]之间的通讯就依靠两者缓存表里的[/font][font=Times New Roman]MAC[/font][font=宋体]地址来通讯了，直到通讯停止后两分钟，这个对应关系才会被从表中删除。[/font][/color]
[color=#000000][font=宋体]再来看一个非局域网内部的通讯过程，假如主机[/font][font=Times New Roman]A[/font][font=宋体]需要和主机[/font][font=Times New Roman]C[/font][font=宋体]进行通讯，它首先会通过比对掩码发现这个主机[/font][font=Times New Roman]C[/font][font=宋体]的[/font][font=Times New Roman]IP[/font][font=宋体]地址并不是自己同一个网段内的，因此需要通过网关来转发，这样的话它会检查自己的[/font][font=Times New Roman]ARP[/font][font=宋体]缓存表里是否有网关[/font][font=Times New Roman]1(192.168.1.1)[/font][font=宋体]对应的[/font][font=Times New Roman]MAC[/font][font=宋体]地址，如果没有就通过[/font][font=Times New Roman]ARP[/font][font=宋体]请求获得，如果有就直接与网关通讯，然后再由网关[/font][font=Times New Roman]1[/font][font=宋体]通过路由将数据包送到网关[/font][font=Times New Roman]2[/font][font=宋体]，网关[/font][font=Times New Roman]2[/font][font=宋体]收到这个数据包后发现是送给主机[/font][font=Times New Roman]C[/font][font=宋体]（[/font][font=Times New Roman]10.1.1.2[/font][font=宋体]）的，它就会检查自己的[/font][font=Times New Roman]ARP[/font][font=宋体]缓存（没错，网关一样有自己的[/font][font=Times New Roman]ARP[/font][font=宋体]缓存），看看里面是否有[/font][font=Times New Roman]10.1.1.2[/font][font=宋体]对应的[/font][font=Times New Roman]MAC[/font][font=宋体]地址，如果没有就使用[/font][font=Times New Roman]ARP[/font][font=宋体]协议获得，如果有就是用该[/font][font=Times New Roman]MAC[/font][font=宋体]地址将数据转发给主机[/font][font=Times New Roman]C[/font][font=宋体]。[/font][/color]
[size=10.5pt][font=Times New Roman][color=#000000]2[/color][/font][/size][color=#000000][font=宋体][size=10.5pt]、[/size][/font][size=10.5pt][font=Times New Roman]ARP[/font][/size][font=宋体][size=10.5pt]欺骗原理[/size][/font]
[size=10.5pt][/size][/color][color=#000000][font=宋体]在了解[/font][font=Times New Roman]ARP[/font][font=宋体]协议后我们再来看看什么是[/font][font=Times New Roman]ARP[/font][font=宋体]欺骗，它的目的又是什么？通过上面的例子我们知道了在[b]以太局域网内数据包传输依靠的是[/b][/font][b][font=Times New Roman]MAC[/font][/b][b][font=宋体]地址[/font][/b][font=宋体]，[/font][b][font=Times New Roman]IP[/font][/b][b][font=宋体]地址与[/font][font=Times New Roman]MAC[/font][/b][b][font=宋体]对应的关系依靠[/font][font=Times New Roman]ARP[/font][/b][b][font=宋体]表，每台主机（包括网关）都有一个[/font][font=Times New Roman]ARP[/font][/b][b][font=宋体]缓存表[/font][/b][font=宋体]。在正常情况下这个缓存表能够有效的保证数据传输的一对一性，也就是说主机[/font][font=Times New Roman]A[/font][font=宋体]与主机[/font][font=Times New Roman]C[/font][font=宋体]之间的通讯只通过网关[/font][font=Times New Roman]1[/font][font=宋体]和网关[/font][font=Times New Roman]2[/font][font=宋体]，象主机[/font][font=Times New Roman]B[/font][font=宋体]之类的是无法截获[/font][font=Times New Roman]A[/font][font=宋体]与[/font][font=Times New Roman]C[/font][font=宋体]之间的通讯信息的。但是在[/font][font=Times New Roman]ARP[/font][font=宋体]缓存表的实现机制中存在一个不完善的地方，当主机收到一个[/font][font=Times New Roman]ARP[/font][font=宋体]的应答包后，它并不会去验证自己是否发送过这个[/font][font=Times New Roman]ARP[/font][font=宋体]请求，而是直接将应答包里的[/font][font=Times New Roman]MAC[/font][font=宋体]地址与[/font][font=Times New Roman]IP[/font][font=宋体]对应的关系替换掉原有的[/font][font=Times New Roman]ARP[/font][font=宋体]缓存表里的相应信息。如下图所示：[/font][/color]
[color=#000000][font=宋体][img]C:\Documents and Settings\Administrator\桌面\arp2.jpg[/img][/font][/color]
[size=10.5pt][/size][color=#000000][font=宋体]这就导致主机[/font][font=Times New Roman]B[/font][font=宋体]截取主机[/font][font=Times New Roman]A[/font][font=宋体]与主机[/font][font=Times New Roman]C[/font][font=宋体]之间的数据通信成为可能。首先主机[/font][font=Times New Roman]B[/font][font=宋体]向主机[/font][font=Times New Roman]A[/font][font=宋体]发送一个[/font][font=Times New Roman]ARP[/font][font=宋体]应答包说[/font][font=Times New Roman]192.168.1.1[/font][font=宋体]的[/font][font=Times New Roman]MAC[/font][font=宋体]地址是[/font][font=Times New Roman]03-03-03-03-03-03[/font][font=宋体]，主机[/font][font=Times New Roman]A[/font][font=宋体]收到这个包后并没有去验证包的真实性而是直接将自己[/font][font=Times New Roman]ARP[/font][font=宋体]列表中的[/font][font=Times New Roman]192.168.1.1[/font][font=宋体]的[/font][font=Times New Roman]MAC[/font][font=宋体]地址替换成[/font][font=Times New Roman]03-03-03-03-03-03[/font][font=宋体]，同时主机[/font][font=Times New Roman]B[/font][font=宋体]向网[/font][/color]
[color=#000000][font=宋体]关[/font][font=Times New Roman]1[/font][font=宋体]发送一个[/font][font=Times New Roman]ARP[/font][font=宋体]响应包说[/font][font=Times New Roman]192.168.1.2[/font][font=宋体]的[/font][font=Times New Roman]MAC[/font][font=宋体]是[/font][font=Times New Roman]03-03-03-03-03-03[/font][font=宋体]，同样网关[/font][font=Times New Roman]1[/font][font=宋体]也没有去验证这个包的真实性就把自己[/font][font=Times New Roman]ARP[/font][font=宋体]表中的[/font][font=Times New Roman]192.168.1.2[/font][font=宋体]的[/font][font=Times New Roman]MAC[/font][font=宋体]地址替换成[/font][font=Times New Roman]03-03-03-03-03-03[/font][font=宋体]。当主机[/font][font=Times New Roman]A[/font][font=宋体]想要与主机[/font][font=Times New Roman]C[/font][font=宋体]通讯时，它直接把应该发送给网关[/font][font=Times New Roman]1(192.168.1.1)[/font][font=宋体]的数据包发送到[/font][font=Times New Roman]03-03-03-03-03-03[/font][font=宋体]这个[/font][font=Times New Roman]MAC[/font][font=宋体]地址，也就是发给了主机[/font][font=Times New Roman]B[/font][font=宋体]，主机[/font][font=Times New Roman]B[/font][font=宋体]在收到这个包后经过修改再转发给真正的网关[/font][font=Times New Roman]1[/font][font=宋体]，当从主机[/font][font=Times New Roman]C[/font][font=宋体]返回的数据包到达网关[/font][font=Times New Roman]1[/font][font=宋体]后，网关[/font][font=Times New Roman]1[/font][font=宋体]也使用自己[/font][font=Times New Roman]ARP[/font][font=宋体]表中的[/font][font=Times New Roman]MAC[/font][font=宋体]，将发往[/font][font=Times New Roman]192.168.1.2[/font][font=宋体]这个[/font][font=Times New Roman]IP[/font][font=宋体]地址的数据发往[/font][font=Times New Roman]03-03-03-03-03-03[/font][font=宋体]这个[/font][font=Times New Roman]MAC[/font][font=宋体]地址也就是主机[/font][font=Times New Roman]B[/font][font=宋体]，主机[/font][font=Times New Roman]B[/font][font=宋体]在收到这个包后再转发给主机[/font][font=Times New Roman]A[/font][font=宋体]完成一次完整的数据通讯，这样就成功的实现了一次[/font][font=Times New Roman]ARP[/font][font=宋体]欺骗攻击。[/font][/color]
[color=#000000][font=宋体]因此简单点说[/font][font=Times New Roman]ARP[/font][font=宋体]欺骗的目的就是为了实现全交换环境下的数据监听与篡改。到这里我们可以知道要完成一次有效的[/font][font=Times New Roman]ARP[/font][font=宋体]欺骗的关键点就是[b]双向欺骗[/b]，也就是说欺骗者必须同时对网关和主机进行欺骗。[/font][/color]
[size=10.5pt][font=Times New Roman][color=#000000]3[/color][/font][/size][color=#000000][font=宋体][size=10.5pt]、[/size][/font][size=10.5pt][font=Times New Roman]ARP[/font][/size][font=宋体][size=10.5pt]欺骗病毒[/size][/font]
[size=10.5pt][/size][/color][color=#000000][font=宋体]首先需要说明的是，这里说的[/font][font=Times New Roman]ARP[/font][font=宋体]欺骗病毒并不是特指某一种病毒，而是指所有包含有[/font][font=Times New Roman]ARP[/font][font=宋体]欺骗功能的病毒的总称。由于[/font][font=Times New Roman]ARP[/font][font=宋体]欺骗到目前为止依然是一种难以控制且非常有效的攻击手段，在今后很长一段时间它都会被病毒、木马程序等利用。这也加大了我们对这类病毒的控制难度。[/font][/color]
[color=#000000][b][font=Times New Roman]ARP[/font][/b][b][font=宋体]病毒的危害：[/font][/b][/color]
[color=#000000][font=宋体]影响局域网正常运行[/font][font=Times New Roman]——[/font][font=宋体]局域网内一旦有[/font][font=Times New Roman]ARP[/font][font=宋体]的攻击存在，会欺骗局域网内所有主机和网关，让所有上网的流量必须经过[/font][font=Times New Roman]ARP[/font][font=宋体]攻击者控制的主机。其他用户原来直接通过网关上网现在转由通过被控主机转发上网，由于被控主机性能和程序性能的影响，这种转发并不会非常流畅，因此就会导致用户上网的速度变慢。而由于[/font][font=Times New Roman]ARP[/font][font=宋体]表存在老化机制，这就导致在某段时候主机能获得正确的网关[/font][font=Times New Roman]MAC[/font][font=宋体]直到新的欺骗完成，这两种情况的交替过程中，主机显示的状况就是时断时续。[/font][/color]
[color=#000000][font=宋体]泄露用户敏感信息[/font][font=Times New Roman]——[/font][font=宋体]大部分时候这些信息是黑客们所感兴趣的东西（如游戏帐号和密码、[/font][font=Times New Roman]QQ[/font][font=宋体]号和密码、网银帐号和密码等）[/font][/color]
[color=#000000][b][font=Times New Roman]ARP[/font][/b][b][font=宋体]病毒的传播方式[/font][/b][/color]
[color=#000000][font=宋体]前面讲过[/font][font=Times New Roman]ARP[/font][font=宋体]欺骗是一种攻击方式，所有的病毒都可以采用这种方式，因此[/font][font=Times New Roman]ARP[/font][font=宋体]病毒传播的方式包括现有大部分病毒传播的方式，从前我们掌握的情况来看，主要为以下几种：[/font][/color]
[color=#000000][font=宋体]通过网页下载传播（目前大部分[/font][font=Times New Roman]ARP[/font][font=宋体]木马的传播方式）[/font][/color]
[font=宋体][color=#000000]网络共享传播（弱口令共享等）[/color][/font]
[color=#000000][font=宋体]移动存储介质传播（如[/font][font=Times New Roman]U[/font][font=宋体]盘、移动硬盘等）[/font][/color]
[font=宋体][color=#000000]文件感染[/color][/font]
[color=#000000][b][font=Times New Roman]ARP[/font][/b][b][font=宋体]病毒的查杀[/font][/b][/color]
[color=#000000][font=宋体]对于已知的[/font][font=Times New Roman]ARP[/font][font=宋体]病毒，可以使用杀毒软件或者是专杀工具进行查杀，而对于一些杀毒软件无法查杀的未知[/font][font=Times New Roman]ARP[/font][font=宋体]病毒，建议用户重新安全系统并及时升级补丁程序！[/font][/color]
[color=#000000][font=宋体][size=10.5pt][font=Times New Roman][color=#000000]4[/color][/font][/size][color=#000000][font=宋体][size=10.5pt]、[/size][/font][size=10.5pt][font=Times New Roman]ARP[/font][/size][font=宋体][size=10.5pt]欺骗的检测与控制办法[/size][/font]
[size=10.5pt][/size][/color][color=#000000][font=宋体]目前比较有效的检测[/font][font=Times New Roman]ARP[/font][font=宋体]欺骗攻击的方法主要有两种，一种是在局域网内部使用抓包软件进行抓包分析、另一种是直接到到三层交换机上查询[/font][font=Times New Roman]ARP[/font][font=宋体]表，这两种方法各有优缺点，具体分析如下：[/font][/color]
[color=#000000][b][font=Times New Roman]1[/font][/b][b][font=宋体]、抓包分析[/font][/b][/color]
[color=#000000][font=宋体]方法[/font][font=Times New Roman]——[/font][font=宋体]使用抓包软件（如[/font][font=Times New Roman]windump[/font][font=宋体]、[/font][font=Times New Roman]sniffer pro[/font][font=宋体]等）在局域网内抓[/font][font=Times New Roman]ARP[/font][font=宋体]的[/font][font=Times New Roman]reply[/font][font=宋体]包，以[/font][font=Times New Roman]windump[/font][font=宋体]为例，使用[/font][font=Times New Roman]windump -i 2 -n arp and host 192.168.0.1(192.168.0.1[/font][font=宋体]是您的网关地址）抓下来的包我们只分析包含有[/font][font=Times New Roman]reply[/font][font=宋体]字符的，格式如下：[/font][font=Times New Roman]18:25:15.706335 arp reply 192.168.0.1 is-at 00:07:ec:e1:c8:c3[/font][font=宋体]如果最后的[/font][font=Times New Roman]mac[/font][font=宋体]不是您网关的真实[/font][font=Times New Roman]mac[/font][font=宋体]的话，那就说明有[/font][font=Times New Roman]ARP[/font][font=宋体]欺骗存在，而这个[/font][font=Times New Roman]mac[/font][font=宋体]就是那台进行[/font][font=Times New Roman]ARP[/font][font=宋体]欺骗主机的[/font][font=Times New Roman]mac[/font][font=宋体]。[/font][/color]
[color=#000000][font=宋体]优点[/font][font=Times New Roman]——[/font][font=宋体]简单易行，无需特别权限设置，所有用户都可以做，误判率较小！[/font][/color]
[color=#000000][font=宋体]缺点[/font][font=Times New Roman]——[/font][font=宋体]必须在局域网内部（广播域内部）听包才有效。[/font][/color]
[color=#000000][b][font=Times New Roman]2[/font][/b][b][font=宋体]、三层交换机上查询[/font][font=Times New Roman]ARP[/font][/b][b][font=宋体]缓存表[/font][/b][/color]
[color=#000000][font=宋体]方法[/font][font=Times New Roman]——[/font][font=宋体]登陆局域网的上联三层交换机，并查看交换机的[/font][font=Times New Roman]ARP[/font][font=宋体]缓存表（各种品牌的交换机命令有差异）如果在[/font][font=Times New Roman]ARP[/font][font=宋体]表中存在一个[/font][font=Times New Roman]MAC[/font][font=宋体]对应多个端口（请注意是一个[/font][font=Times New Roman]MAC[/font][font=宋体]对应多个端口，而不是一个端口上存在多个[/font][font=Times New Roman]MAC[/font][font=宋体]）的情况，那么就表明存在[/font][font=Times New Roman]ARP[/font][font=宋体]欺骗攻击，而这个[/font][font=Times New Roman]MAC[/font][font=宋体]就是欺骗主机的[/font][font=Times New Roman]MAC[/font][font=宋体]。[/font][/color]
[color=#000000][font=宋体]优点[/font][font=Times New Roman]——[/font][font=宋体]可以远程操作，无需到局域网内部，可以通过脚本来自动分析。[/font][/color]
[color=#000000][font=宋体]缺点[/font][font=Times New Roman]——[/font][font=宋体]需要特殊权限，普通用户无法进行操作。[/font][/color]
[font=Times New Roman][color=#000000][/color][/font]
[color=#000000][b][font=Times New Roman]ARP[/font][/b][b][font=宋体]欺骗的控制方法[/font][/b][/color]
[font=Times New Roman][color=#000000][/color][/font]
[color=#000000][b][font=Times New Roman]1[/font][/b][b][font=宋体]、主机静态绑定网关[/font][font=Times New Roman]MAC[/font][/b][/color]
[color=#000000][font=宋体]方法[/font][font=Times New Roman]——[/font][font=宋体]使用[/font][font=Times New Roman]arp[/font][font=宋体]命令静态绑定网关[/font][font=Times New Roman]MAC[/font][font=宋体]，格式如下：[/font][/color]
[color=#000000][font=Times New Roman]arp [/font][font=宋体]－[/font][font=Times New Roman]s [/font][font=宋体]网关[/font][font=Times New Roman]IP [/font][font=宋体]网关[/font][font=Times New Roman]MAC[/font][/color]
[font=宋体][color=#000000]如果觉得每次手动输入比较复杂，您可以编写一个简单的批处理文件然后让它每次开机时自动运行，批处理文件如下：[/color][/font]
[font=Times New Roman][color=#000000]-----------------------------------[/color][/font]
[font=Times New Roman][color=#000000]@echo off[/color][/font]
[font=Times New Roman][color=#000000]echo "arp set"[/color][/font]
[font=Times New Roman][color=#000000]arp -d[/color][/font]
[color=#000000][font=Times New Roman]arp [/font][font=宋体]－[/font][font=Times New Roman]s [/font][font=宋体]网关[/font][font=Times New Roman]IP [/font][font=宋体]网关[/font][font=Times New Roman]MAC[/font][/color]
[font=Times New Roman][color=#000000]exit[/color][/font]
[font=Times New Roman][color=#000000]------------------------------------[/color][/font]
[font=Times New Roman][color=#000000][/color][/font]
[color=#000000][font=宋体]优点[/font][font=Times New Roman]——[/font][font=宋体]简单易行，普通用户都能操作[/font][/color]
[color=#000000][font=宋体]缺点[/font][font=Times New Roman]——[/font][font=宋体]只能单向绑定。需要跟网关绑定[/font][font=Times New Roman]MAC[/font][font=宋体]结合使用。[/font][/color]
[font=Times New Roman][color=#000000][/color][/font]
[color=#000000][b][font=Times New Roman]2[/font][/b][b][font=宋体]、网关使用[/font][font=Times New Roman]IP+MAC[/font][/b][b][font=宋体]绑定模式[/font][/b][/color]
[color=#000000][font=宋体]方法[/font][font=Times New Roman]——[/font][font=宋体]交换机启用静态[/font][font=Times New Roman]ARP[/font][font=宋体]绑定功能，将用户的[/font][font=Times New Roman]IP[/font][font=宋体]与[/font][font=Times New Roman]MAC[/font][font=宋体]进行静态绑定，防止[/font][font=Times New Roman]ARP[/font][font=宋体]欺骗发生。[/font][/color]
[color=#000000][font=宋体]优点[/font][font=Times New Roman]——[/font][font=宋体]效果明显[/font][/color]
[color=#000000][font=宋体]缺点[/font][font=Times New Roman]——[/font][font=宋体]操作复杂，工作量巨大。无法保证主机端不被欺骗，需要与主机端绑定网关[/font][font=Times New Roman]MAC[/font][font=宋体]结合使用。[/font][/color]
[font=Times New Roman][color=#000000][/color][/font]
[color=#000000][b][font=Times New Roman]3[/font][/b][b][font=宋体]、使用[/font][font=Times New Roman]ARP[/font][/b][b][font=宋体]服务器[/font][/b][/color]
[color=#000000][font=宋体]方法[/font][font=Times New Roman]——[/font][font=宋体]在局域网内架设[/font][font=Times New Roman]ARP[/font][font=宋体]服务器，替代主机应答[/font][font=Times New Roman]ARP[/font][font=宋体]包。[/font][/color]
[color=#000000][font=宋体]优点[/font][font=Times New Roman]——[/font][font=宋体]效果明显[/font][/color]
[color=#000000][font=宋体]缺点[/font][font=Times New Roman]——[/font][font=宋体]配置复杂，需要改变客户端设置。成本高，需要大量的服务器。[/font][/color]
[font=Times New Roman][color=#000000][/color][/font]
[color=#000000][b][font=Times New Roman]4[/font][/b][b][font=宋体]、使用防[/font][font=Times New Roman]ARP[/font][/b][b][font=宋体]攻击的软件[/font][/b][/color]
[color=#000000][font=宋体]方法[/font][font=Times New Roman]——[/font][font=宋体]下载和使用防[/font][font=Times New Roman]ARP[/font][font=宋体]攻击的软件，如[/font][font=Times New Roman]ARPFix[/font][font=宋体]或者是[/font][font=Times New Roman]AntiARP[/font][font=宋体]等。[/font][/color]
[color=#000000][font=宋体]优点[/font][font=Times New Roman]——[/font][font=宋体]简单易行[/font][/color]
[color=#000000][font=宋体]缺点[/font][font=Times New Roman]——[/font][font=宋体]需要用户端都安装，无法保证网关不被欺骗。[/font][/color]
[font=Times New Roman][color=#000000][/color][/font]
[color=#000000][font=宋体]总结：因为[/font][font=Times New Roman]ARP[/font][font=宋体]欺骗利用的是[/font][font=Times New Roman]ARP[/font][font=宋体]协议本身的缺陷，所以到目前为止，我们依然没有一个十分有效的方法去控制这种攻击。目前难点主要集中在网关交换机上，我们还没有找到一个很有效的方法来防范网关上的[/font][font=Times New Roman]ARP[/font][font=宋体]列表不被欺骗修改。所以当前最有效的办法还是迅速阻断这种攻击的来源。这就要求能够快速检测到攻击并定位出攻击主机位置后加以处理。[/font][/color]
[/font][/color]
[[i] 本帖最后由 west100200 于 2007-10-25 17:23 编辑 [/i]]
ARP欺骗病毒专题2
5、防范ARP欺骗的常用工具ARP防火墙——ARPFix
这是我们CCERT为了解决ARP病毒所开发的一个小防火墙软件，当它被安装在正常主机上时，它能有效地防范自身被ARP欺骗并能检测出感染主机的MAC地址，如果它被安装在感染主机上时它可以阻断感染主机对外发起的ARP欺骗攻击。需要说明的是这只是一款防火墙软件，它不具备查杀ARP病毒的能力，如果需要查杀ARP病毒，您还是需要专业杀毒软件。
windump软件——windump
tcpdump软件在windows系统下的版本，简单易用！需要winpcap的支持。
sniffer pro软件——sniffer
windows系统低下功能最强大的抓包分析软件。
趋势的ARP专杀工具——TSC_ARP
趋势提供的最新的ARP专杀工具，解压缩后直接运行TSC.exe即可。
AntiARP软件——AntiArp
网络上比较流行的防范ARP欺骗攻击的软件。软件的下载地址和详细信息请参见:
[url]http://www.antiarp.com/[/url]
6、ARP欺骗病毒的最新状况
以往的ARP病毒使用ARP欺骗的目的绝大多数都是为了窃取用户的敏感信息，但是我们最近监测到ARP欺骗在病毒中又得到了新的应用，那就是作为传播网页木马病毒的传播手段，当一台主机感染带有这种ARP欺骗功能的病毒后，会在局域网内发动ARP欺骗，它会监听局域网内所有主机的数据包，一旦发现其它主机有访问WEB网页的行为后，就会通过修改相应的数据封包在你访问的网页代码里加入包含有木马程序的网页链接。从而导致局域网内其它主机不管访问什么网站都会被导引到含有木马病毒的网站上去的。当您访问任何网站您的杀毒软件都在报该网页有毒的话，很可能您的局域网内就存在这种攻击。
7、其他相关
ARP在注册表中的项：
1、关于arp缓存表项的生存期(有效时间)
在默认情况下，Windows Server 2003家族和Windows XP中，ARP缓存中的表项仅存储2分钟。如果一个ARP缓存表项在2分钟内被用到，则其期限再延长2分钟，直到最大生命期限10分钟为止。超过10分钟的最大期限后，ARP缓存表项将被移出，并且通过另外一个ARP请求——ARP回应交换来获得新的对应关系。
ARP缓存表项的存放时间可以通过改变ArpCacheLife和ArpCacheMinReferencedLife的注册表值来重新设置。
ArpCacheLife
Location:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
Data Type: REG_DWORD
Valid range: 0-0xFFFFFFFF
Default value: 120
Present by default: No
ArpCacheLife设置了未被使用的ARP缓存表项可以被保持的时间。如果注册表中没有ArpCacheLife项，则ArpCacheLife的默认值是120秒(2分钟)。
ArpCacheMinReferencedLife
Location:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
Data Type: REG_DWORD
Valid range: 0-0xFFFFFFFF
Default value: 600
Present by default: No
ArpCacheMinReferencedLife设置被重复使用的表项可以在ARP缓存中存放的时间。ArpCacheMinReferencedLife的默认值是600秒(10分钟)。 在注册表中ArpCacheMinReferencedLife和ArpCacheLife的值的使用方法如下：
如果ArpCacheLife比ArpCacheMinReferencedLife的值大或与之相等，则被使用和未被使用的ARP缓存表项可存储的时间都是ArpCacheLife。
如果ArpCacheLife比ArpCacheMinReferencedLife的值小，则未被使用的ARP缓存表项在ArpCacheLife秒的时间后就过期了，被使用的表项的生存期为ArpCacheMinReferencedLife秒。
2、无偿ARP和重复的IP地址检测
ARP可以被用来检测重复的IP地址，这是通过传送一种叫做无偿ARP的ARP请求来完成的。无偿ARP就是一个发往自己IP地址的ARP请求。在无偿ARP中，SPA(发送者协议地址)和TPA(目标协议地址)被设置成同一个IP地址。
如果节点发送一个发往自己IP地址的ARP请求，就不应收到任何一个ARP回应帧，这样节点就可以判断没有其他节点使用跟它相同的IP地址。如果节点发送一个发往自己IP地址的ARP请求，结果收到ARP回应，这样此节点就可以判断有另外一个节点使用同样的IP地址。注册表中对ArpRetryCount的设置控制了无偿ARP的发送数量。
ArpRetryCount
Location:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
Data Type: REG_DWORD
Valid range: 0-3
Default value: 3
Present by default: No
ArpRetryCount设置了当初始化某个IP地址时，发送的无偿ARP的次数。如果发送了ArpRetryCount个无偿ARP后，都没有收到ARP回应，IP就假定此IP地址在此网络段中是唯一的。
提示：无偿ARP试图检测在同一个网络段中的IP地址重复。由于路由器并不转发ARP帧，无偿ARP并不能检测在不同网络段之间的IP地址冲突。个人感觉这种无偿ARP是不是能够用在开发检测ARP病毒的机制上？
8、讨论
目前我们还没有一个针对该种攻击方式特别行之有效的办法，如果您在处理ARP病毒的时候有什么好的方法和经验，欢迎您与大家分享！稍后我们会建立一个邮件列表，用来讨论相关的问题！ thanks!!!!!!!!!! 好东西！ 支持。。。。。不错。。
介绍个ARP欺骗检测工具,觉得不错
此检测工具针对近期流行的局域网ARP欺骗,可以有效的定位到发起ARP欺骗的主机. 下载个360吧，防ARP的功能挺不错的。 谢谢楼主，学习到了！ :L: 看大家都刷ARP。可我怎么就没遇到过ARP病毒呢。也不知道ARP病毒的到底怎么样，我的防火墙行不:L: 学习了,长见识了, 经典啊 :loveliness: :PP: 看贴要回页:
[1]
