找出“ arp欺骗”木马病毒的实质_病毒预防教程

最近，一种新型的“ ARP欺骗”木马病毒已经在Internet上传播，严重影响了我们的正常生活。 “ ARP欺骗”到底是什么？它将给我们的生活带来什么样的影响？让我们首先解释一下什么是ARP。 ARP（地址解析协议）是位于TCP / IP协议栈中的低级协议，负责将IP地址解析为相应的MAC地址。那么“ ARP欺骗”呢？从影响网络连接顺畅性的方式来看，ARP欺骗分为两种类型，一种是欺骗路由器ARP表；另一种是欺骗路由器ARP表。另一个是Intranet PC的网关欺骗。第一种ARP欺骗的原理是拦截网关数据。它将一系列错误的内部网络MAC地址通知路由器，并将其保持在一定的频率，这样就无法更新实际地址信息并将其保存在路由器中。结果，路由器的所有数据只能发送到错误的MAC地址，从而导致普通PC无法接收信息。 ARP欺骗的第二个原则是伪造网关。它的原理是建立一个假网关，让被其欺骗的PC将数据发送到假网关，而不是通过普通路由器上线。从PC的角度来看，它只是无法连接到Internet，“网络已断开”。

“ ARP欺骗”的影响

当局域网中的主机运行木马程序进行ARP欺骗时，它将欺骗局域网中的所有主机和安全网关，因此所有Internet通信都必须通过病毒主机。其他用户曾经直接通过安全网关访问Internet，现在又通过病毒主机切换到Internet。切换时，用户将断开一次连接。切换到病毒主机以浏览Internet后，如果用户已登录到图例服务器，则病毒主机通常会伪造断开连接的虚假外观，并且用户必须再次登录到图例服务器，以便病毒主机可以窃取该帐户。 ARP欺骗木马程序在发生时会发出大量数据包，这会导致LAN通信拥塞，并且其自身的处理能力受到限制，用户会感觉到Internet的速度越来越慢。当ARP欺骗木马程序停止运行时，用户将继续从安全网关访问Internet，并且在切换过程中用户将再次断开连接。

ARP欺骗木马只需要成功感染一台计算机，它可能导致整个局域网无法访问Internet，甚至可能导致整个网络瘫痪。除了使同一LAN中的其他用户间歇性访问Internet外，该木马还窃取用户密码。例如，盗用QQ密码，盗用各种游戏密码和帐户进行货币交易，盗用银行帐户进行非法交易等。这些是木马的惯用技巧，给用户带来极大的不便和巨大的经济性。损失。

1。检查本地“ ARP欺骗”木马的中毒过程

调用“任务管理器”，单击“进程”选项卡，然后检查其中是否存在名为“ MIR0.dat”的进程。如果是这样，则表示它已被中毒。右键单击该进程，然后选择“结束进程”。

2，检查网络中感染了“ ARP欺骗”木马的计算机

在“开始”-“程序”-“附件”菜单下调用“命令提示符”。输入并执行以下命令：

ipconfig

记录网关IP地址，该地址是与“默认网关”相对应的值，例如“ 59.66.36.1”。然后输入并执行以下命令：

arp –a

在“ Internet ADDRess”下找到上一步中记录的网关IP地址，并记录其对应的物理地址，即“ Physical Address”的值，例如“ 00-01-e8-1f-35- 54“。网络正常时，这是网关的正确物理地址。当网络受到“ ARP欺骗”木马的异常影响时，它是该木马所在计算机的网卡的物理地址。您也可以扫描此子网中的所有IP地址，然后检查ARP表。如果存在与网关相同的物理地址，则该IP地址和物理地址是中毒计算机的IP地址和网卡的物理地址。

如果您的计算机受到攻击，我们可以选择以下方法来解决它。

方法1，使用安全工具软件

我们可以下载名为Anti ARP Sniffer的软件来保护本地计算机的正常运行。下载并安装后，将软件设置为自动启动，首先为Antiarp.exe生成一个桌面快捷方式，在“开始”中单击“程序”，然后双击“开始”，然后将桌面上的Antiarp.exe快捷方式复制到单击“启动”以确保它在下次打开时自动运行，并起到保护计算机的作用。

方法2，制作一个批处理文件

将arp绑定到客户端上的网关，具体步骤如下：

第1步：

查找此网段的网关地址，例如192.168.1.1。下面以该网关为例。正常浏览Internet时，“开始→运行→cmd→确定”，输入：arp -a，单击Enter，然后检查与网关相对应的物理地址。

例如：网关192.168.1.1对应于00-01-02-03-04-05。

第二步：

写一个批处理文件rarp.bat，内容如下：

@回声关闭

arp -d

arp -s 192.168.1.1 00-01-02-03-04-05

另存为：rarp.bat。

第三步：

运行批处理文件将此批处理文件拖到“ Windows→开始→程序→开始”，如果需要立即生效，请运行该文件。

注意：当网络正常时，需要进行上述配置。

方法3，下载ARP免疫设备

LAN ARP攻击免疫设备。将下载的压缩包中的三个dll文件复制到Windows \ systeM32，将npf文件复制到Windows \ system32 \ drivers，然后将这4个文件的安全属性更改为只读，即没有人员修改。

紧急计划

网管人员使用上面介绍的ARP Trojan检测方法在LAN交换机上检测到感染病毒的端口后，立即关闭该病毒的端口，并通过该端口找出相应的用户并进行通知彻底检查并杀死病毒。然后，对独立设备采取预防措施，然后在彻底检查并杀死病毒后打开相应的交换机端口，然后重新打开Internet。

安全保护建议

以上问题可以解决，但用户仍然需要提高对网络安全的认识，不要轻易下载或使用盗版软件或存在安全隐患的软件；或浏览一些缺乏信誉的网站（网页）；不要仅仅打开未知来源的电子邮件，尤其是邮件附件；及时下载和更新操作系统补丁，安装正版防病毒软件，增强个人计算机抵御计算机病毒的能力；不要随意共享文件和文件夹，即使您要共享，也必须设置权限。通常，只能访问特定帐户或特定计算机。另外，建议不要将其设置为可写或可控制，以防止个人计算机受到木马病毒的入侵，并给整个局域网的安全带来隐患。

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/shouji/article-329882-1.html