如果您的网络出现,整体突然掉线,或者有不定时的部分机器掉线,再或者出现一台一台机器的掉线.而且一般情况下几种掉线都会自动恢复.那我非常热切的恭喜您,您中奖啦.奖品是ARP欺骗. 不用高兴也不用激动,因为这个奖项量很大,很朋友都在深受其意.ARP到底咋回事,这里咱说道说道.
g8 ~ m( _. W7 n; y2 g( k
8 y9 q: R4 u% yARP欺骗原理:
) o) t; }( Q9 O- z' p 在同一NET内的所以机器是通过MAC地址通讯。方法为，PC和另一台设备通讯，PC会先寻找对方的IP地址，然后在通过ARP表（ARP表里面有所以可以通讯IP和IP所对应的MAC地址）调出相应的MAC地址。通过MAC地址与对方通讯。也就是说在内网中各设备互相寻找和用来通讯的地址是MAC地址，而不是IP地址。
! Z$ H, S3 i7 a
但是当初ARP方式的设计没有考虑到过多的安全问题。给ARP留下很多的隐患，ARP欺骗就是其中一个例子。
" B$ [6 N7 _/ I2 I+ a0 p8 l0 x 网内的任何一台机器都可以轻松的发送ARP广播，来宣称自己的IP和自己的MAC。这样收到的机器都会在自己的ARP表格中建立一个他的ARP项，记录他的IP和MAC地址。如果这个广播是错误的其他机器也会接受。例如： 192。168。1。11机器MAC是 00:00:00:11:11:11,他在内网广播自己的IP地址是192。168。1。254(其实是路由器的IP)，MAC地址是00:00:00:11:11:11(他自己的真实MAC).这样大家会把给192。168。1。254的信息和发给00:00:00:11:11:11.也就是192。168。1。11..。 有了这个方法欺骗者只需要做一个软件,就可以在内网想骗谁就骗谁.而且软件网上到处都是,随便DWON随便用.要多随便有多随便啊...
/ J; ?: f- H8 t, u+ n% r3 S
基于原理,ARP在技术上面又分为,对PC的欺骗和对路由的欺骗.他们的区别在后面的ARP解决里面仔细阐述.
3 U( O0 c7 ~% s% r m% { ARP欺骗的起因：
; g( x6 b* }1 b- ~* r( d! a
网络游戏兴起后网络盗号，木马也跟着疯狂。ARP欺骗就是一种很好的盗号方式。欺骗者利用自己在网吧上网时，先找到内网网关的MAC地址，然后发送自己ARP欺骗，告送内网所以的机器自己是网关。例如：192。168。1。55 MAC00-14-6c-18-58-5a 机器为欺骗者的盗号机器，首先，他会先找到内网的网关（内网网关为 192。168。1。1 MAC为XX.XX.XX.XX.XX.XX）。之后他就会发送ARP广播，说自己的IP地址是192。168。1。1 MAC地址是00-14-6c-18-58-5a.这样，内网的所有收到他发信息得机器都会把它误认为内网的网关。所有上网信息都会通过他的MAC地址发给这个机器，由于找不到真正的网关，这些被骗的机器就无法上网。而发送的所有信息都会被这个盗号机器收到，通过分析收到的信息他可以在里面找到有用的信息，特别是有关于帐号的部分，从而得到正在游戏的玩家的帐号，发生盗号事件。
3 {. A7 T$ |/ N
ARP的发现：
2 H( A9 B3 z, D" x9 {# q5 ] ARP的通病就是掉线,在掉线的基础上可以通过以下几种方式判别，1。一般情况下不需要处理1分钟之内就可以回复正常上网。因为ARP欺骗是由时限，过了期限就会自动的回复正常。而且现在大多数路由器都会在很短时间内不停广播自己的正确ARP，使受骗的机器回复正常。但是如果出现攻击性ARP欺骗(其实就是时间很短的量很大的欺骗ARP,1秒有个几百上千的)，他是不断的通过非常大量ARP欺骗来阻止内网机器上网，即使路由器不断广播正确的包也会被他大量的错误信息给淹没。2。打开被骗机器的DOS界面，输入ARP -A命令会看到相关的ARP表，通过看到的网关的MAC地址可以去判别是否出现ARP欺骗，但是由于时限性，这个工作必须在机器回复正常之前完成。如果出现欺骗问题,ARP表里面会出现错误的网关MAC地址,和真实的网关MAC一对黑白立分.
& c* i: p8 u! |+ r$ }* j* }
ARP解决：
1 {( k4 f; W3 L9 z4 m8 F
现在看到ARP解决方案,都感觉有点效率低下,而且不够稳定.本人对欣向路由较为了解,以他为例吧.
/ Q; j) W- A; N0 x
+ `$ }7 q- H! D n! J& Y
1.路由ARP广播.
; {- h+ W6 k' ~; w. P# `% e 国内部分硬件路由有此功能,最早是在欣向的路由里面发现这个功能.感觉不错,挺有方法的,但是在软路由里面好像还未发现,软路由的兄弟们加把劲啦.他的原理是路由器不间断的广播正确的路由器ARP.例如:路由器的IP是192.168.1.1 MAC:11:12:13:14:15:16,那他就会不停的每秒广播自己的正确ARP.不管你内网机器是否喜欢收,1秒收一个一秒收一个,收到了就改一次ARP表收到了就改一次ARP表.无穷无尽无止无息,子子孙孙无穷亏也.....如果出现ARP欺骗,欺骗者发出欺骗信息,PC刚收到欺骗信息就收到了正确信息.所以问题也就解决了.但是有个隐患,就是广播风暴的问题.不间断的广播是否会应该内网的网络呢??? (带着问题请教了国内某厂家欣X的工程师,工程师很热情的解除了我的疑惑,感谢一下先).以每秒次的频率发送APR广播在内网是微乎其微的,因为任何一个机器都会有广播发生,多一个ARP最多相当于多几台机器的信息量,对内网是不会有影响的.但是这种方式有他的问题,当欺骗者加大欺骗ARP的频率超过路由时(在欺骗软件上面实现非常容易),还是会造成欺骗的效果.解决也应该很简单就是加大路由器的广播频率,但是欣X的工程师却否定了这种方法,原因请看第2条.
; l5 P2 `4 }$ _/ ?
9 W2 x( ^8 Y2 Z2.超量路由ARP广播.
# e+ f* A& y- P J: G3 `" p! u
近期发现个别路由厂家宣传可以完全防止ARP问题.我抱着崇敬的心态去学习了一下处理方法,不得不让人失望,是非常失望和痛心.所谓完全防止其实就是前面的路由ARP广播,只是简单的把频率加大到每秒100.200.....次. 这种方法效果单看ARP方面确实比每秒一次要好.但是却是得不偿失,甚至有点.....不说了,免得让人骂.简单给大家分析一下,每秒100为例吧,也就是说,路由器1秒时间会发出100个ARP广播,200台的电脑,每台机器每秒处理100次.如果有10台交换机,就会有10个交换机处理100次.每次交换机都会把信息互相转发,这每秒ARP信息的处理量要按照10N次方＊100去计算的.大家如果了解广播的模式就会清楚,交换家之间会互相不停的传递信息,你发给大家,我收到了,还会发给大家.大家收到了还是要发给大家.这样每台PC最终收到的信息每秒要上万条吧(这个量应该只小没大吧?).每秒都这样干100次.不知道网络内部要成为什么样子??PC的就没事老维护ARP表就不干别的了吗?为了一个ARP,7*24小时的折腾网络值得吗?网络性能要降低多少啊.人满时或者有点内网的小攻击时,网吧不瘫痪估计有点难啊,,,死字很容易写啊.当然平时你是感觉不到的.但是我要问一句想出此方法的工程师,你出这个方案,是为了解决问题吗?
6 Y; S* u6 n+ y2 w3 H& @8 O: x3.极力推荐的方法.静态绑定.
~7 j- |1 p% Y7 c
ARP解决最有效的方法，就是从根本杜绝他的欺骗途径。
9 _2 ^0 z* b _3 R w7 L 欺骗是通过ARP的动态实时的规则欺骗内网机器，所以我们把ARP全部设置为静态可以根本解决对内网PC的欺骗。
% I1 ~4 X0 _3 [# i# Y( k, h& D
方法为：找到路由器的lan口的MAC地址，把MAC地址通过静态的方式帮定到每台PC上面。通过命令，ARP -S 可以实现。 首先，建立一个批处理文件。内容只有一行命令，“ARP -S 内网网关 网关的MAC地址 ”，例如：“ARP -S 192.168.1.1 00-13-32-33-12-11 ”.把批处理文件放到启动里面,这样每次开机都会执行这个文件,即使出现ARP欺骗,由于我们设置的是静态方式,PC也不会去理会欺骗的ARP.
" T2 M- ?# |! v% I
+ L9 K1 E+ N- O0 a* f1 F
8 E6 g$ m: Y% P0 q+ ~4 o 如果设置成功会在PC上面通过执行 arp -a 可以看到相关的提示:
* [' ~$ f H4 Z1 r
Internet Address Physical Address Type(注意这里)
& D s" _- J2 M$ Y6 ? 192.168.1.1 00-0f-7a-05-0d-a4 static(静态)
. J3 E; X) w) w: L5 b6 @* m7 |
一般不绑定,在动态的情况下:
C8 t9 s# u. W
Internet Address Physical Address Type
% t9 q2 c' A% t0 ~% Y Y- `& J3 K 192.168.1.1 00-0f-7a-05-0d-a4 dynamic(动态)
i5 j+ ^/ p# k. X+ v7 h2 F+ T. c) @1 }
. p! i' o: }; h" Z2 C$ c" P$ M ARP对路由的欺骗.
( Q; ]3 W& L: h% p
做了静态绑定之后,为什么还会掉线呢?还是ARP吗?不幸的是,还是ARP( ARP对路由欺骗).
2 R/ Q, u( I4 n4 o
因为有种情况下的问题,没有得到解决.大家设想一下,现在的处理方法如果碰到欺骗者不是冒充网关,而是冒充内网的PC会如何呢?答案是掉线,冒充谁,谁掉线.因为路由器收到欺骗ARP后找不到你了,转发给你的信息全部给了欺骗者的机器啦... 我们在PC上面可以绑定网关.难道在路由上面也绑定PC吗? 答案是否定的,难道我内网每台PC的MAC地址都在路由里面绑定,累死了,而且几百个MAC地址看着就眼晕,而且如果有任何改动都需要调整路由器,几百条记录也太累了吧.针对这个问题对多台设备进行了测试,包括3个版本的软路由,欣X,侠X,艾X等等的产品(大家也想测试的话,给当地的厂家代理商说你要试用,简单啊).最终结果不尽人意,软路由3种里面只有1种有可以解决的方法,而且是每台绑定方法.3款硬路由有1款是可以完全防范,2款需要绑定(提醒大家,2款产品都有绑定数量的限制,超过数量无法解决,采购时注意询问).对于1款可以防范的产品做了一些研究但是没有结果,再次打通了欣X的工程师电话,请教处理方法.工程师给出了答案,欣X路由是采用的WINDRIVER的VxWORKSII的操作系统.在效率与安全性要比免费LINUX系统的强很多,这套2代的系统本身就可以维护一个数据库,不从硬件的数据库提取数据,数据表内容都是在PC上网时收集的,对于ARP欺骗根本就不予理睬,针对ARP对路由的欺骗在基础上面就已经给屏蔽了.而且内网可以随意的改动与调整...打住..有点象厂家稿子啦......
l2 F" K' P l, c+ @ F% t2 ^- u0 S* x8 n8 f! y: w1 {
1 c" D3 i: t4 s7 y( i- g; s2 t
ARP的问题这里基本都提到了,如果还有想法请大家提出来.我们一起讨论.......
: s" v0 D8 d- k5 @/ t6 V) y
- P$ q: E: J/ j8 b" N4 ? 后面在补充一种ARP欺骗的问题,他就是对交换机,很多带管理的交换机他们都有一张ARP表格需要维护,而且通过这张表来提高数据的交换效率.如果出现ARP欺骗,交换机就无法给目标IP发送数据啦,所以需要在交换机里面做静态ARP绑定.
( H6 Y. T, e2 V( o: [: `" m8 X. A5 K$ v. V, B" Z6 o
为什么会有不掉线,一切看似正常的ARP
n! C. K& X1 _) G: \3 w
$ d. O0 C; ^* y, t: _# |1 X3 j 大家是否出现过网吧丢游戏号,丢QQ号,丢钱包的问题呢?
$ v* ?6 O' W6 G' |! }4 {* n: Z! s* Y* S1 X( A* l' a, \% P
特别是大面积的丢失帐号,很大部分就是ARP造成的.原理是:欺骗者,先骗了PC后骗了路由器.
+ | o9 k3 x; D" W8 o* K; p5 t; [- A9 S; Y& r: g* e5 r' }+ o
这种情况下,PC把信息发给欺骗者,然后欺骗者把信息再转发给路由器.当欺骗者收到路由器回来的信息后再发给相对应的PC.这样就可以再不影响内网PC正常上网情况下,截获PC的上网信息,就可以盗你的游戏帐号,盗你的qq号.偷你的钱包他就要换另一个方法了(下一篇文章着重讨论防范偷钱包.)
7 o; R. B: `" b- R
+ \) y5 j7 _6 z; J7 ?4 G
大家问题的解决：
, y! G9 }# T& X7 ], ]9 c! P/ g1。欣X不需要升级就可以解决ARP欺骗路由器的问题，因为他可以本身就防范，原因就是用了VxWorks II,具体看前面就不详细解决啦。另外,这里重申一点大家容易进入的误区...路由器发送ARP包解决ARP欺骗的方法,是很很笨拙,一秒几百次ARP发送的方法更是..........
6 `3 P& Y- b) P# c2。杀病毒还是重装系统都没有太多的意义，因为你能保证不在感染吗，能保证么有人在网络内主动运行吗？
$ D, ?9 ^" r4 K( w6 N+ n ~3 d3。对于那些各类的SERVER，确实比较头痛，因为不论是LIUXN还是WINDOWS都要面临各种内网的机器变动啊，调换啊之类的事情。但是有个好消息，欣向有一个类似网管的软件，好象可以解决类似问题。以欣向的技术估计软件不会差了。
0 _; J) d$ T3 m0 s0 x
5 W: L3 ~* [. v( I* Y& U6 d( t) \+ z4。有朋友提出改动内网PC的IP与MAC，设置为与路由冲突，使路由DWON掉。这个问题超出了ARP的范畴。但是，你说的方法确实破坏力很强，我之前的软路由确实很怕这个东西。但是用欣向的路由就没事啦。
" }! X8 E$ v, M! M
) [9 W1 A$ Q5 o$ @大家有问题继续提，我会尽量和大家一起深入探讨的。。。
1 A" L6 Q2 c" z' Y6 w- ~4 y' d8 l( g+ F
追加欣向ARP工具，并介绍使用方法与技巧。
6 G# n) M9 n' l* [6 ?" s+ A/ a& }! U2 \3 \* I
经过这2天的测试与使用，发现欣向的这个工具还是非常适应潮流地，是大家需要地，是不错地，是个好同志地，是。。。。好了，先和大家探讨一下如何使用。
! ]* o; e4 [' l, V
; R" e& T3 c; z
这里给大家推荐的工具包括：
, V, Y+ }$ i8 t, c: h) @) v$ l1 @4 f2 O6 W$ X, k) G7 I3 @- w
1。欣向ARP工具。包括很全面的ARP防范的功能。（其中包括WinPcap_3_0.,请务必先安装此软件）
0 \$ i: J% V$ W' P" Z! L; \: T1 f) [
I" @% j7 i& t1 Q% x. ^下载地址：
http://www.nuqx.com/downcenter.asp
, O0 p, w+ L0 I' g) q5 S3 O6 S! o9 m0 h
(试了1个小时，咱这论坛的上传功能实在是不会玩，大家去欣向下吧。)
: Y* i- I6 a8 k$ }$ i
4 u+ ~, `* z* F9 c* c# T+ J2。抓包看包工具。ethereal-setup-0.10.8。
; z% p) _' P' ?+ B! \% q
( n. H; }9 |7 Ihttp://www.ethereal.com/distribution/win32/ethereal-setup-0.10.8.exe : D* N8 g# H1 m, x @
8 \0 c+ I7 n9 Y/ }8 f; V! s2 G欣向ARP工具。（欣全向ARP工具.exe）
( x0 k) S" G$ |$ S! r7 Y; U
) K0 ^8 [& z3 H1 r 共分5大功能 （软件中所有需要保存文件的功能都会保存在软件所在的目录中）
; \# ?: v2 F' }) D: ?2 _4 B2 b9 m0 R, S$ X
1。IP/MAC清单
4 A8 i: z. i9 a1 D; F" T. I2 v: O% r/ Y% r( B8 s! Q, S
a。选择网卡。如果是单网卡不需要设置。如果是多网卡需要设置连接内网的那块网卡。
! h, b% T& u; f( u1 k0 ]- a: S' _5 @2 g/ g/ B
b。IP/MAC扫描。这里会扫描目前网络中所有的机器的IP与MAC地址。请在内网运行正常时扫描，因为这个表格将作为对之后ARP的参照。
. U9 B+ o5 ~9 e7 Y( P' p% u: v! h- R/ l& j4 m" d& [: O6 w! \, J
之后的功能都需要这个表格的支持，如果出现提示无法获取IP或MAC时，就说明这里的表格里面没有相应的数据。
' O, f' d7 M W- ~# `: p2 Q
/ H2 ~0 X1 Z( ~: A9 F2。ARP欺骗检测
( I+ E4 R9 `! I2 X" q. m" E! t$ d( Q3 u
这个功能会一直检测内网是否有PC冒充表格内的IP.你可以把主要的IP设到检测表格里面，例如，路由器，电影服务器，等需要内网机器访问的机器IP.
& A+ n8 l2 O8 V6 l
/ p* I8 H: D$ T$ @3 S& _2 J+ l(补充")ARP欺骗记录"表如何理解:
- _( |* ?4 @ Q; R0 L
8 L' w" U: l3 u; A0 c7 S. U& i1 ~; ]" time":发现问题时的时间;
, J F5 x# Y, W6 A+ U/ h0 [; | H; N6 l6 U% b" ]
"sender":发送欺骗信息的IP或MAC;
[9 _/ @2 Y' J( P- i7 a
: n o, G( ~0 f "Repeat":欺诈信息发送的次数;
+ E K4 l; J. \. n' b2 I5 a$ ]
$ Z( x" f: R. G3 a
" ARP info":是指发送欺骗信息的具体内容.如下面例子:
j3 d6 B% P8 _' U1 E8 b
' X+ Z) v) }5 d0 g* O( {1 I; X time sender Repeat ARP info
2 m! J/ w/ B3 z/ d0 q' T
$ }# ?7 O5 V. |. A22:22:22 192.168.1.22 1433 192.168.1.1 is at 00:0e:03:22:02:e8
) x d. C% X* W
0 [* i- z8 a4 ]% Y这条信息的意思是:在22:22:22的时间,检测到由192.168.1.22发出的欺骗信息,已经发送了1433次,他发送的欺骗信息的内容是:192.168.1.1的MAC地址是00:0e:03:22:02:e8.
$ ~, j; e6 D2 t+ X
2 w8 I# w* F* D. Y! U打开检测功能，如果出现针对表内IP的欺骗，会出现提示。可以按照提示查到内网的ARP欺骗的根源。提示一句，任何机器都可以冒充其他机器发送IP与MAC，所以即使提示出某个IP或MAC在发送欺骗信息，也未必是100％的准确。所有请不要以暴力解决某些问题。
6 z( }1 P$ }. E1 C3 }* I, A* I" ]0 T: q+ ?, N
3。主动维护（快速解决）
2 G* }! Q' }5 J) e9 u9 H( v
# N3 U& P7 e( f. j3 P6 R8 F! t这个功能可以直接解决ARP欺骗的掉线问题，但是并不是理想方法。他的原理就在网络内不停的广播制定的IP的正确的MAC地址。
- g4 E9 h3 u$ }' z) ]/ f' {- R& _
. Y. v6 T5 z; U% C, w"制定维护对象"的表格里面就是设置需要保护的IP。发包频率就是每秒发送多少个正确的包给网络内所有机器。强烈建议尽量少的广播IP，尽量少的广播频率。一般设置1次就可以，如果没有绑定IP的情况下，出现ARP欺骗，可以设置到50－100次，如果还有掉线可以设置更高，即可以实现快速解决ARP欺骗的问题。但是想真正解决ARP问题，还是请参照上面绑定方法。
) @+ |8 @! R! {/ u! M" u2 F% X& m7 M
4。欣向路由器日志
! Y6 J0 b/ a( Y" e
& G# k! _2 }2 x: g( R收集欣向路由器的系统日志，等功能。
* C! m0 I. f+ y( s% Q z
; u9 [! G q) _, F7 n
5。抓包
6 U/ q" r. G0 p5 v
( Y( U0 z* V& {3 ]& `网吧很少接触到包级别的设置或问题。欣向的这个功能很可能把大家带到一个新技术高度，但是对于包的分析比一般的问题要复杂很多了，但是却可以提高对网络的把控力。
# S9 j2 n; M8 l! U2 L
2 F# |& [, U& v5 W
大家通过抓到的包可以分析内网的各种问题。具体这里不解释啦，基本所有的TCP/IP问题都可以分析。
2 s& O6 n) ?& w) y$ p# q
6 z$ y' m: S' J+ N. d9 x, L4 [; n
抓包功能里面的空白条是控制抓包规则的，ethereal软件就是给大家分析包用的，大家把包文件直接拖到ethereal里面就可以打开。ethereal即可以抓包也可以看包，如果有机会可以研究一下。
1 ` l+ w* M+ p8 m5 y/ I
9 I; X0 D) } e+ h: u' g这几天看到很多朋友都在提出一些网络方案,询问是否可以彻底解决ARP问题.还有朋友请求帮忙.不在挨个说了,一起抓吧.
9 f( x3 w( B6 ?% l
1 X' @) ?/ O- b( f4 d首先要在3个方面考虑,1.路由器.2.PC.3.中间的交换机.
' p& U+ s- n$ \5 T) I) |9 D/ u5 ]
- G# s4 U& i7 G- I" u' e( J) v
1.路由器要选择可以防范ARP对路由器欺骗的,应该如果选择看自己的情况.具体品牌就不推荐了,后面我会出一个真假ARP防范区别的方法.让大家可以放心的采购.
+ x/ V1 ^% a( N
) t) S: T! Z3 }9 g2 Y
2.PC都需要对路由器绑定,还有比较重要的服务器.(一般服务器绑定不是很重要)
/ |5 [9 v2 d' C9 ^# g S. K
0 p( Y# H, ^: t, A
3.中间的交换机要关闭MAC管理功能,或者做交换机下面的PC与其他连接交换机端口的MAC-IP绑定.再或者就选用不带MAC管理的交换机.这个功能对网吧其实真是没大用,因为主要业务还是对外网的访问,内网的那电流量再现在强大的交换机面前可以说忽略不计.
* Z" h+ X3 J& C% F+ K3 J- X8 t" x; L$ o
以上3点全部做到ARP就无作恶之处啦.....
1 E. d( z9 |- c' o) w
4 Y3 r4 `, Z7 G& ~5 H; O真假ARP防范识别.
2 d+ l; U; G" {. ]% h
% n, S# C& k) U* D; E$ I4 Y0 e, j
好多朋友都再说ARP的防范啊,什么100次200次的啊.看着那个烦啊.
5 I, K. T( n0 d5 }. }& o+ I
0 m% n; `; {) z, d 给大家一个检测方法,简单有效.
$ `6 {9 i% \# {- z
( W- F' s7 `% k( B$ t
1.测试PC的欺骗防范.
, O4 o. l) u7 Z9 k( ?; _$ Y# Y4 Q
# R/ T# {: X0 `) [% L& p# K9 b% V1 p( ] ,关闭路由器,把PC1设置为与路由器同IP,打开欣向ARP工具.记录PC1的IP MAC,然后把PC1设置为"主动维护"里面,............这样就把模拟的ARP攻击的环境假设好了.再把路由器打开,按照正常设置内网的PC上网.然后在"主动维护"里面开始主动维护,,这时路由器会一直广播错误的路由器MAC...先设置到100次,,只到500次看看是否可以防范....现在就看你的路由器的能力了.
) l1 t1 b. c" C6 B) Y! S
1 F4 z4 K% A; q- F# e3 Y
2.对路由的欺骗防范.
8 n0 _9 E( K9 e. V* @* ?& ~$ o
3 X) Z X6 E: S n: w* X: b找3台电脑,先设置错误的IP.然后打开ARP工具记录,把3个IP添加到主动维护里面,之后在把3台电脑的IP改为正确.........然后在开始主动维护....看看是否3台电脑还是否可以上网....黑白立判.
3 R3 K1 j9 T, D8 d0 P6 M
ARP攻击的原理与解决方法(第三版）含如何在局域网内查找病毒主机
( K% }4 ]* e/ s+ v
/ b, Z) T6 i! ]' ~【故障原因】
/ g+ [9 t/ E. o- N; R0 J* B
# w+ [2 {, ?$ Y8 t
局域网内有人使用ARP欺骗的木马程序（比如：魔兽世界，天堂，劲舞团等盗号的软件，某些外挂中也被恶意加载了此程序）。
, i! G6 n- J7 q9 ]6 \6 ]* R4 B7 k6 I
/ s2 K( X0 o8 d9 Z7 X$ E& f7 m5 D; [【故障原理】
' ~6 H8 G0 v" ~7 e
( \6 a. e- e7 ^8 H
要了解故障原理，我们先来了解一下ARP协议。
9 y7 t' b3 m9 o' }& D8 x1 @ Y$ o) r0 M7 u5 P1 }' \
在局域网中，通过ARP协议来完成IP地址转换为第二层物理地址（即MAC地址）的。ARP协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞。
* ~( w" T6 h- O& w* A/ ^5 C. f/ L% e; q5 G0 Y4 B# C3 u
ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。
2 e8 {0 N7 J# d. b6 J. ~; p N4 S: y, X
每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的，如下所示。
8 P6 Y3 J3 r: d6 D
4 p' \( P+ }. y- h, ~3 V; F' W2 N' F
主机 IP地址 MAC地址
* G% g5 e( I8 N( w; X# p6 D0 Q
A 192.168.16.1 aa-aa-aa-aa-aa-aa
& }8 o. G! x" O9 ?+ e" b' \( L4 wB 192.168.16.2 bb-bb-bb-bb-bb-bb
5 Q" i W* J6 Z$ S# L L
C 192.168.16.3 cc-cc-cc-cc-cc-cc
$ c2 e/ T; E% A& S# mD 192.168.16.4 dd-dd-dd-dd-dd-dd
5 l8 y/ j1 G4 W$ Y
" `1 p$ A" C( f2 N2 a. g0 T3 t+ Y6 y0 h! ^3 i; R) G
我们以主机A（192.168.16.1）向主机B（192.168.16.2）发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了，也就知道了目标MAC地址，直接把目标MAC地址写入帧里面发送就可以了；如果在ARP缓存表中没有找到相对应的IP地址，主机A就会在网络上发送一个广播，目标MAC地址是“FF.FF.FF.FF.FF.FF”，这表示向同一网段内的所有主机发出这样的询问：“192.168.16.2的MAC地址是什么？”网络上其他主机并不响应ARP询问，只有主机B接收到这个帧时，才向主机A做出这样的回应：“192.168.16.2的MAC地址是bb-bb-bb-bb-bb-bb”。这样，主机A就知道了主机B的MAC地址，它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表，下次再向主机B发送信息时，直接从ARP缓存表里查找就可以了。ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。
' S' o7 B q9 M
9 y! |; M3 F# [; _: h( @' w1 j
从上面可以看出，ARP协议的基础就是信任局域网内所有的人，那么就很容易实现在以太网上的ARP欺骗。对目标A进行欺骗，A去Ping主机C却发送到了DD-DD-DD-DD-DD-DD这个地址上。如果进行欺骗的时候，把C的MAC地址骗为DD-DD-DD-DD-DD-DD，于是A发送到C上的数据包都变成发送给D的了。这不正好是D能够接收到A发送的数据包了么，嗅探成功。
9 k" |3 a) D$ X6 J7 X, Z
4 Y% I: E0 l6 O! a2 D. WA对这个变化一点都没有意识到，但是接下来的事情就让A产生了怀疑。因为A和C连接不上了。D对接收到A发送给C的数据包可没有转交给C。
8 y4 B- V# g2 O3 d
1 r9 }5 s" r1 Z" Z2 @2 M' r' R做“man in the middle”，进行ARP重定向。打开D的IP转发功能，A发送过来的数据包，转发给C，好比一个路由器一样。不过，假如D发送ICMP重定向的话就中断了整个计划。
& m+ n0 O' S; F6 P' f( N% T
1 j9 E6 v: B5 x# D% p3 h
D直接进行整个包的修改转发，捕获到A发送给C的数据包，全部进行修改后再转发给C，而C接收到的数据包完全认为是从A发送来的。不过，C发送的数据包又直接传递给A，倘若再次进行对C的ARP欺骗。现在D就完全成为A与C的中间桥梁了，对于A和C之间的通讯就可以了如指掌了。
. [ m; Y% M7 F* y8 i; r/ p2 ?; n z
' {4 F& @3 x" o; |3 t2 R【故障现象】
% l) u: \0 v3 Y. o w- ?
0 F% K8 h: [5 W$ N$ h0 j
当局域网内某台主机运行ARP欺骗的木马程序时，会欺骗局域网内所有主机和路由器，让所有上网的流量必须经过病毒主机。其他用户原来直接通过路由器上网现在转由通过病毒主机上网，切换的时候用户会断一次线。
( ^) m6 a. B) B# v7 z$ N2 F" l7 n: t! [' o- V) |4 o
切换到病毒主机上网后，如果用户已经登陆了服务器，那么病毒主机就会经常伪造断线的假像，那么用户就得重新登录服务器，这样病毒主机就可以盗号了。
3 R0 y& t s# F+ o+ H由于ARP欺骗的木马程序发作的时候会发出大量的数据包导致局域网通讯拥塞以及其自身处理能力的限制，用户会感觉上网速度越来越慢。当ARP欺骗的木马程序停止运行时，用户会恢复从路由器上网，切换过程中用户会再断一次线。
, }7 ?. Z% y5 P( B% p; k6 G5 |; @2 r6 V3 B
【HiPER用户快速发现ARP欺骗木马】
, k" i# s2 h/ j7 ^2 d/ E6 }, @3 R3 T2 [: _. d0 i) p- t, S1 x8 `+ |. I$ z
在路由器的“系统历史记录”中看到大量如下的信息（440以后的路由器软件版本中才有此提示）：
- ~% {! B$ _4 }! w% q1 I( p
8 \9 D; C. n% q' p; b; G! Y
MAC Chged 10.128.103.124
" A! P; [. l/ Q, r# x
MAC Old 00:01:6c:36:d1:7f
/ }. q7 E- R5 x2 r) R9 g9 G3 ]MAC New 00:05:5d:60:c7:18
" z+ [* W5 _; I7 E% b
. W+ L9 I5 }4 g# k4 p) v这个消息代表了用户的MAC地址发生了变化，在ARP欺骗木马开始运行的时候，局域网所有主机的MAC地址更新为病毒主机的MAC地址（即所有信息的MAC New地址都一致为病毒主机的MAC地址），同时在路由器的“用户统计”中看到所有用户的MAC地址信息都一样。
/ c2 d3 ?2 [' H3 t8 }+ p! C* z% ?
如果是在路由器的“系统历史记录”中看到大量MAC Old地址都一致，则说明局域网内曾经出现过ARP欺骗（ARP欺骗的木马程序停止运行时，主机在路由器上恢复其真实的MAC地址）。
9 n( d i1 x- N7 d. g' d
' U9 k. k+ o! X [1 D( B' Z
【在局域网内查找病毒主机】
) z5 j7 V, [8 k6 w2 N3 ?
0 I# \' G; C) |$ F+ A, R: i* e% E在上面我们已经知道了使用ARP欺骗木马的主机的MAC地址，那么我们就可以使用NBTSCAN工具来快速查找它。
, s+ M) Z: q& j8 f% @7 N! c: i% ]
. O' l: Z! u. [2 C" ~0 `. {8 cNBTSCAN可以取到PC的真实IP地址和MAC地址，如果有”ARP攻击”在做怪，可以找到装有ARP攻击的PC的IP/和MAC地址。
7 k$ _0 r/ c! A# J% C) g0 {1 M8 J
1 u0 [+ [& q4 s) `3 ] _; h1 H命令：“nbtscan -r 192.168.16.0/24”（搜索整个192.168.16.0/24网段, 即192.168.16.1-192.168.16.254）；或“nbtscan 192.168.16.25-137”搜索192.168.16.25-137 网段，即192.168.16.25-192.168.16.137。输出结果第一列是IP地址，最后一列是MAC地址。
# L: F7 [; ]/ l* r" Q( w
2 l/ M$ a1 @! N1 m
NBTSCAN的使用范例：
- J% N; X) V$ X% w
6 I7 q+ F( E T0 ?8 ~5 c假设查找一台MAC地址为“000d870d585f”的病毒主机。
, Q; E% V% V, ` U. @: Z( |4 `
5 l9 s3 M% C+ k5 J3 S- A
1）将压缩包中的nbtscan.exe 和cygwin1.dll解压缩放到c:下。
/ O2 l( ^. |0 k8 s; X' T
E( v, N3 x5 K5 v& |' b7 a1 F
2）在Windows开始—运行—打开，输入cmd（windows98输入“command”），在出现的DOS窗口中输入：C: btscan -r 192.168.16.1/24（这里需要根据用户实际网段输入），回车。
6 @* i4 j. T! {7 j8 b0 D3 J
: r# w+ i: k& I0 y; i6 G3）通过查询IP--MAC对应表，查出“000d870d585f”的病毒主机的IP地址为“192.168.16.223”。
0 _- D8 B( }1 `, U$ b( W, `* i+ `0 h3 w" n j1 F8 t
【解决思路】
' g5 J% @# y4 Z* w4 J; a
5 R& Q, D/ H. I9 y) E2 w1、不要把你的网络安全信任关系建立在IP基础上或MAC基础上，（rarp同样存在欺骗的问题），理想的关系应该建立在IP+MAC基础上。
9 f- ~: |" N" _8 m3 I, B' e" K: U9 F' ~% J% n: O) U
2、设置静态的MAC-->IP对应表，不要让主机刷新你设定好的转换表。
7 e+ s" I' R r8 |4 X7 J$ p5 L# B
! g9 V" U6 g$ P4 l8 O( K3、除非很有必要，否则停止使用ARP，将ARP做为永久条目保存在对应表中。
" N8 v& K3 t6 S6 r
" }: h0 W. A. X! i# ?4、使用ARP服务器。通过该服务器查找自己的ARP转换表来响应其他机器的ARP广播。确保这台ARP服务器不被黑。
3 m& a5 d+ a! R/ O$ _+ L! w2 ^! ?( A3 b
' k# q$ E6 _7 F* E6 F5、使用"proxy"代理IP的传输。
( I+ U- W' @. x& k+ \9 @/ q: Z P; g! W. ?& }
6、使用硬件屏蔽主机。设置好你的路由，确保IP地址能到达合法的路径。（静态配置路由ARP条目），注意，使用交换集线器和网桥无法阻止ARP欺骗。
D* u( R! n, {& x; B
9 F9 ]; d) X: {9 u, J L' {7、管理员定期用响应的IP包中获得一个rarp请求，然后检查ARP响应的真实性。
* q5 d% x4 n7 h. h0 D" W! a
% E/ [) c Y) h+ |8、管理员定期轮询，检查主机上的ARP缓存。
, `$ v% g9 v; E3 a: ~+ z' R2 p. R: ~1 c! ]$ I. a: i5 y: M
9、使用防火墙连续监控网络。注意有使用SNMP的情况下，ARP的欺骗有可能导致陷阱包丢失。
