ARP防治攻略――――服务器防护

根据ARP攻击的原理，以下介绍全面的防治解决方法，采用下面的解决方法二加方法三，效果就不错了，当然交换机性能许可情况下，最好还是加上交换机绑定MAC地址、服务器端绑定IP  MAC。

　　本文是转载网上的资料，在此感谢对技术无私分享的同仁们！   (阿俭)

 

先了解 ARP 变种病毒的特性吧 ：

　　一 、 破坏你的 ARP 双向绑定批出理
　　二 、 中毒机器改变成代理服务器又叫代理路由
　　三 、 改变路由的网关 MAC 地址和 internat 网关的 MAC 地址一样
　　病毒发作情况：现在的 ARP 变种 不是攻击客户机的 MAC 地址攻击路由内网网关，改变了它的原理，这点实在佩服 ， 直接攻击您的路由的什么地址你知道吗？哈哈 ~~ 猜猜吧 ~~ 不卖关了 ~~ 新的变种 ARP 直接攻击您路由的 MAC 地址和外网网关 ， 而且直接就把绑定 IP　 MAC 的批处理文件禁用了。一会儿全掉线，一会儿是几台几台的掉线。而且 中了 ARP 的电脑会把那台电脑转变成内网的代理服务器进行盗号和发动攻击。如果大家发现中了 ARP 没有掉线，那说明你 中了最新的变种，你只要重启了那台中了 ARP 病毒的电脑，那么受到 ARP 攻击的机子就会全部掉线 ， 内网的网关不掉包，而外网的 IP 和 DNS 狂掉，这点也是 ARP 变种的出现的情况，请大家留意。
在最后会公布解决的案例和相关补丁，请大家看完全文可能对你有帮助哦，不要急着下 ~ 呵呵 ~
　　该病毒发作时候的特征为，中毒的机器会伪造某台电脑的 MAC 地址，如该伪造地址为网关服务器的地址，那么对整个网吧均会造成影响，用户表现为上网经常瞬断。
　　一、在任意客户机上进入命令提示符 ( 或 MS-DOS 方式 ) ，用 arp �Ca 命令查看：
C:\WINNT\system32>arp -a

Interface: 192.168.0.193 on Interface 0x1000003
Internet Address Physical Address Type
192.168.0.1 00-50-da-8a-62-2c dynamic
192.168.0.23 00-11-2f-43-81-8b dynamic
192.168.0.24 00-50-da-8a-62-2c dynamic
192.168.0.25 00-05-5d-ff-a8-87 dynamic
192.168.0.200 00-50-ba-fa-59-fe dynamic
可以看到有两个机器的 MAC 地址相同，那么实际检查结果为 00-50-da-8a-62-2c 为 192.168.0.24 的 MAC 地址， 192.168.0.1 的实际 MAC 地址为 00-02-ba-0b-04-32 ，我们可以判定 192.168.0.24 实际上为有病毒的机器，它伪造了 192.168.0.1 的 MAC 地址。
　　二、在 192.168.0.24 上进入命令提示符 ( 或 MS-DOS 方式 ) ，用 arp �Ca 命令查看：
C:\WINNT\system32>arp -a
Interface: 192.168.0.24 on Interface 0x1000003
Internet Address Physical Address Type
192.168.0.1 00-02-ba-0b-04-32 dynamic
192.168.0.23 00-11-2f-43-81-8b dynamic
192.168.0.25 00-05-5d-ff-a8-87 dynamic
192.168.0.193 00-11-2f-b2-9d-17 dynamic
192.168.0.200 00-50-ba-fa-59-fe dynamic
　　可以看到带病毒的机器上显示的 MAC 地址是正确的，而且该机运行速度缓慢，应该为所有流量在二层通过该机进行转发而导致，该机重启后网吧内所有电脑都不能上网，只有等 arp 刷新 MAC 地址后才正常，一般在 2 、 3 分钟左右。
　　三、如果主机可以进入 dos 窗口，用 arp �Ca 命令可以看到类似下面的现象：
C:\WINNT\system32>arp -a
Interface: 192.168.0.1 on Interface 0x1000004
Internet Address Physical Address Type
192.168.0.23 00-50-da-8a-62-2c dynamic
192.168.0.24 00-50-da-8a-62-2c dynamic
192.168.0.25 00-50-da-8a-62-2c dynamic
192.168.0.193 00-50-da-8a-62-2c dynamic
192.168.0.200 00-50-da-8a-62-2c dynamic
　　该病毒不发作的时候，在代理服务器上看到的地址情况如下：
C:\WINNT\system32>arp -a
Interface: 192.168.0.1 on Interface 0x1000004
Internet Address Physical Address Type
192.168.0.23 00-11-2f-43-81-8b dynamic
192.168.0.24 00-50-da-8a-62-2c dynamic
192.168.0.25 00-05-5d-ff-a8-87 dynamic
192.168.0.193 00-11-2f-b2-9d-17 dynamic
192.168.0.200 00-50-ba-fa-59-fe dynamic

　　病毒发作的时候，可以看到所有的 ip 地址的 mac 地址被修改为 00-50-da-8a-62-2c ，正常的时候可以看到 MAC 地址均不会相同。

一步一步按步骤操作

解决办法一：
　　一、采用客户机及网关服务器上进行静态 ARP 绑定的办法来解决。
　　1 ． 在所有的客户端机器上做网关服务器的 ARP 静态绑定。
首先在网关服务器（代理主机）的电脑上查看本机 MAC 地址
C:\WINNT\system32>ipconfig /all
Ethernet adapter 本地连接 2:
Connection-specific DNS Suffix . :
Descript_ion . . . . . . . . . . . : Intel? PRO/100B PCI Adapter (TX)
Physical Address. . . . . . . . . : 00-02-ba-0b-04-32
Dhcp Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 192.168.0.1
Subnet Mask . . . . . . . . . . . : 255.255.255.0
然后在客户机器的 DOS 命令下做 ARP 的静态绑定
C:\WINNT\system32>arp �Cs 192.168.0.1 00-02-ba-0b-04-32
注：如有条件，建议在客户机上做所有其他客户机的 IP 和 MAC 地址绑定。

　　2 ． 在网关服务器（代理主机）的电脑上做客户机器的 ARP 静态绑定
首先在所有的客户端机器上查看 IP 和 MAC 地址，命令如上。
然后在代理主机上做所有客户端服务器的 ARP 静态绑定。如：
C:\winnt\system32> arp �Cs 192.168.0.23 00-11-2f-43-81-8b
C:\winnt\system32> arp �Cs 192.168.0.24 00-50-da-8a-62-2c
C:\winnt\system32> arp �Cs 192.168.0.25 00-05-5d-ff-a8-87
　　3 ． 以上 ARP 的静态绑定最后做成一个 windows 自启动文件，让电脑一启动就执行以上操作，保证配置不丢失。
　　二、有条件的网吧可以在交换机内进行 IP 地址与 MAC 地址绑定
　　三、 IP 和 MAC 进行绑定后，更换网卡需要重新绑定，因此建议在客户机安装杀毒软件来解决此类问题。
解决方法二：
　　1 ：在网关路由上对客户机使用静态 MAC 绑定。 ROUTE OS 软路由的用户可以参照相关教程，或是在 IP--->ARP 列表中一一选中对应项目单击右键选择 “MAKE STATIC” 命令，创建静态对应项。
用防火墙封堵常见病毒端口： 134-139 ， 445 ， 500 ， 6677 ， 5800 ， 5900 ， 593 ， 1025 ， 1026 ， 2745 ， 3127 ， 6129 以及 P2P 下载
　　2 ：在客户机上进行网关 IP 及其 MAC 静态绑定，并修改导入如下注册表：
　（ A ）禁止 ICMP 重定向报文
ICMP 的重定向报文控制着 Windows 是否会改变路由表从而响应网络设备发送给它的 ICMP 重定向消息，这样虽然方便了用户，但是有时也会被他人利用来进行网络攻击，这对于一个计算机网络管理员来说是一件非常麻烦的事情。通过修改注册表可禁止响应 ICMP 的重定向报文，从而使网络更为安全。 修改的方法是：打开注册表编辑器，找到或新建 “HKEY_LOCAL_Machine\System\CurrentControlSet\Services\TCPIP\Paramters” 分支，在右侧窗口中将子键 “EnableICMPRedirects”(REG_DWORD 型 ) 的值修改为 0 （ 0 为禁止 ICMP 的重定向报文）即可。
　　（ B ）禁止响应 ICMP 路由通告报文
“ICMP 路由公告 ” 功能可以使他人的计算机的网络连接异常、数据被窃听、计算机被用于流量攻击等，因此建议关闭响应 ICMP 路由通告报文。 修改的方法是：打开注册表编辑器，找到或新建 “HKEY_LOCAL_Machine\System\CurrentControlSet\Services\TCPIP\Paramters\Interfaces” 分支，在右侧窗口中将子键 “PerformRouterDiscovery”�REG_DWORD 型的值修改为 0 （ 0 为禁止响应 ICMP 路由通告报文， 2 为允许响应 ICMP 路由通告报文）。修改完成后退出注册表编辑器，重新启动计算机即可。
　（ C ）设置 arp 缓存老化时间设置
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services:\Tcpip\Parameters
ArpCacheLife REG_DWORD 0-0xFFFFFFFF( 秒数 , 默认值为 120 秒 )
ArpCacheMinReferencedLife REG_DWORD 0-0xFFFFFFFF( 秒数 , 默认值为 600)
说明 : 如果 ArpCacheLife 大于或等于 ArpCacheMinReferencedLife, 则引用或未引用的 ARP
缓存项在 ArpCacheLife 秒后到期 . 如果 ArpCacheLife 小于 ArpCacheMinReferencedLife,
未引用项在 ArpCacheLife 秒后到期 , 而引用项在 ArpCacheMinReferencedLife 秒后到期 .
每次将出站数据包发送到项的 IP 地址时 , 就会引用 ARP 缓存中的项。

曾经看见有人说过，只要保持 IP-MAC 缓存不被更新，就可以保持正确的 ARP 协议运行。关于此点，我想可不可以通过，修改注册表相关键值达到：

默认情况下 ARP 缓存的超时时限是两分钟，你可以在注册表中进行修改。可以修改的键值有两个，都位于

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

修改的键值：

键值 1 ： ArpCacheLife ，类型为 Dword ，单位为秒，默认值为 120

键值 2 ： ArpCacheMinReferencedLife ，类型为 Dword ，单位为秒，默认值为 600

注意：这些键值默认是不存在的，如果你想修改，必须自行创建；修改后重启计算机后生效。

如果 ArpCacheLife 的值比 ArpCacheMinReferencedLife 的值大，那么 ARP 缓存的超时时间设置为 ArpCacheLife 的值；如果 ArpCacheLife 的值不存在或者比 ArpCacheMinReferencedLife 的值小，那么对于未使用的 ARP 缓存，超时时间设置为 120 秒；对于正在使用的 ARP 缓存，超时时间则设置为 ArpCacheMinReferencedLife 的值。
我们也许可以将上述键值设置为非常大，不被强制更新 ARP 缓存。为了防止病毒自己修改注册表，可以对注册表加以限制。
只要事先在没遇到 ARP 攻击前，通过任意一个 IP-MAC 地址查看工具，纪录所有机器的正确 IP-MAC 地址。等到受到攻击可以查看哪台机器出现问题，然后通常是暴力解决，问题也许不是很严重。但是对于内网电脑数量过大，每台机器都帮定所有 IP-MAC 地址，工作量非常巨大，必须通过专门软件执行。
解决办法三：
　　安全模式下删除 system32\npptools.dll ，我维护的网吧那里删除了一个月了，从来没中过 ARP 病毒，也无任何不良反映， ARP 病毒缺少了 npptools.dll 这个文件根本不能运行，目前所发现的 ARP 病毒通通提示 npptools.dll 出错，无法运行 暂时还没发现可以自动生成 npptools.dll 的病毒， npptools.dll 本身就 40 多 K ，病毒如果还要生成自己的运行库的话，不是几十 K 的大小就可以办到的，再大一些的就不是病毒了 ， 当然，还是要做 ARP -S 绑定，只绑定本机自身跟路由即可，可以在 “ 一定程度上 ” 减少 ARP 程序的破坏 ， 删除不了同志，麻烦您先关闭文件保护，最简单的方法就是用 XPLITE 来关闭，网上一搜一大把的 另外再次声明，这个方法只对 ARP 病毒生效，对恶意软件只是小部分有效的

特别提醒一点：不要忘记了梆定外网网关和 MAC ，下面我举个例子吧

IP ： 10.10.10.10

子网掩码： 255.255.255.255

网关： 10.10.10.9[ 一定要绑定这个网关地址和 MAC]

DNS ： 222.222.222.222

备用 DNS ： 222.222.221.221

个人推荐安全工具及补丁：

个人认为这点 TP-LINK480T 的路由做的非常好，具体请看本站的对于 TP-LINK480T 的路由介绍

小网吧使用 TP-LINK480T 的请升级最新版本，本站有下载

使用思科和华为的请绑定网关地址和 MAC

推荐工具： AntiArpSniffer3 最新版

补丁 :mAC 绑定程序

Vnd8.28 防 ARP 补丁

ARP 变种病毒微软补丁

TP-LINK480T 最新升级补丁