局域网受到ARP欺骗攻击时的解决方法
局域网受到
ARP
欺骗攻击时的解决方法介绍
【故障现象】当局域网
内某台主机运行ARP
欺骗的木马
程序时，会欺骗局域网内所有主机和安全
网关，让所有上网的流量必须经过病毒
主机。其他用户原来直接通过安全网关上网现在转由通过病毒主机上网，切换的时候用户会断一次线。
切换到病毒主机上网后，如果用户已经登陆了传奇服务器
，那么病毒主机就会经常伪造断线
的假像，那么用户就得重新登录传奇服务器，这样病毒主机就可以盗号
了。
由于ARP欺骗
的木马程序
发作的时候会发出大量的数据包
导致局域网通讯拥塞以及其自身处理能力
的限制，用户会感觉上网速度越来越慢。当
ARP
欺骗的木马程序停止运行时，用户会恢复从安全网关上网，切换过程中用户会再断一次线。
【快速查找】在
Web系统
状态、
系统信息、
系统历史记录中，看到大量如下的信息
:
MAC SPOOF 192.168.16.200
MAC Old 00:01: 6c :36:d1: 7f
MAC New 00:05:5d:60:c7:18
这个消息代表了用户的MAC地址
发生了变化，在
ARP
欺骗木马开始运行的时候，局域网所有主机的
MAC
地址更新为病毒主机的
MAC
地址
(
即所有信息的
MAC New
地址都一致为病毒主机的
MAC
地址
)
。
同时在安全网关的
Web
高级配置
用户管理
ARP
表中看到所有用户的
MAC
地址信息都一样，或者在
Web
系统状态、
用户统计中看到所有用户的
MAC
地址信息都一样。
如果是在
Web
系统状态、
系统信息、
系统历史记录中看到大量
MAC Old
地址都一致，则说明局域网内曾经出现过
ARP
欺骗
(ARP
欺骗的木马程序停止运行时，主机在安全网关上恢复其真实的
MAC
地址
)
。
在上面我们已经知道了使用
ARP
欺骗木马的主机的
MAC
地址，那么我们就可以使用
NBTSCAN(
下载地址
:[url]http://www.utt.com.cn/upload/nbtscan.rar[/url])
工具来快速查找它。
NBTSCAN
可以取到
PC
的真实IP地址
和
MAC
地址，如果有传奇木马
在做怪，可以找到装有木马的
PC
的
IP/
和
MAC
地址。
命令
:“nbtscan -r 192.168.16.0/24”(
搜索整个
192.168.16.0/24
网段
,
即
192.168.16.1-192.168.16.254);
或
“nbtscan 192.168.16.25-137”
搜索
192.168.16.25-137
网段，即
192.168.16.25-192.168.16.137
。输出结果第一列是
IP
地址，最后一列是
MAC
地址。
NBTSCAN
的使用范例
:
假设查找一台
MAC
地址为
“000d870d585f”
的病毒主机。
1)
将压缩包中的
nbtscan.exe
和
cygwin1.dll
解压缩放到
c:\
下。
2)
在Windows
开始
à
运行
à
打开，输入
cmd(windows98
输入
“command”)
，在出现的DOS
窗口中输入
:C:\nbtscan -r 192.168.16.1/24(
这里需要根据用户实际网段输入
)
，回车。
3)
通过查询
IP--MAC
对应表，查出
“000d870d 585f ”
的病毒主机的
IP
地址为
“192.168. 16.223”
。
【解决办法】
采用双向绑定的方法解决并且防止
ARP
欺骗。
1
、在
PC
上绑定安全网关的
IP
和
MAC
地址：
1
）首先，获得安全网关的内网
的
MAC
地址（例如
HiPER
网关地址
192.168.16.254
的
MAC
地址为
0022aa0022aa<WEBUI&AGRAVE;
基本配置
&AGRAVE;
局域网端口
MAC
地址
>
）。
2
）编写一个批处理文件
rarp.bat
内容如下：
@echo off
arp -d
arp -s 192.168.16.254 00-22-aa-00-22-aa
将文件中的网关
IP
地址和
MAC
地址更改为实际使用的网关
IP
地址和
MAC
地址即可。
将这个批处理软件拖到
“windowsà
开始
程序
启动
”
中。
3
）如果是网吧
，可以利用收费软件服务端程序（
pubwin
或者万象都可以）发送批处理文件
rarp.bat
到所有客户机的启动目录。
Windows2000
的默认启动目录为
“C:\Documents and Settings\All Users
「开始」菜单程序启动
”
。
2
、在安全网关上绑定用户主机的
IP
和
MAC
地址：
在
Web
高级配置用户管理
中将局域网每台主机均作绑定。