, e! `3 [& i/ ^% t4 Z* u3 u0 \, @ 共分5大功能 （软件中所有需要保存文件的功能都会保存在软件所在的目录中） 5 M3 B) @1 l3 A+ Q5 D" G2 k9 `4 p; a" v9 ^
1。IP/MAC清单 ( k1 {2 u) k$ s/ I: K* P
- W; ]2 R% U1 g8 C) y
a。选择网卡。如果是单网卡不需要设置。如果是多网卡需要设置连接内网的那块网卡。 - ^, v/ v! k( u3 @. U( V
$ C& ~- O7 N0 U4 W) m, v7 O
b。IP/MAC扫描。这里会扫描目前网络中所有的机器的IP与MAC地址。请在内网运行正常时扫描，因为这个表格将作为对之后ARP的参照。 " i4 L, k- R/ y) ]+ m. y: [, {; O9 w2 L- m; I3 B% T1 R; s: J
之后的功能都需要这个表格的支持，如果出现提示无法获取IP或MAC时，就说明这里的表格里面没有相应的数据。 # ^4 w0 l" t6 _8 {+ O" E5 w3 W2 G# l 1 m2 H% h6 j7 y' k: d y2 h2。ARP欺骗检测 ( [! Q; g* ^) I0 `8 M ' H9 _, r# u2 X* o( ]) o" w 这个功能会一直检测内网是否有PC冒充表格内的IP.你可以把主要的IP设到检测表格里面，例如，路由器，电影服务器，等需要内网机器访问的机器IP. # \; t ]. {' U) Z1 a$ K; n/ k' B. ?8 p1 |5 @2 W# u J/ P
(补充")ARP欺骗记录"表如何理解: - y, c* j1 R" C% b- u/ P: Z: Y+ h1 \, U1 n/ Z& N* b/ i. w4 C$ ] D; ?
" time":发现问题时的时间; 7 A1 |0 I c/ ?
/ _* a5 b; c+ `: X
"sender":发送欺骗信息的IP或MAC; . x) `* j" b4 g+ L) B, f6 e 4 ^, Q5 Z& `" d$ Z "Repeat":欺诈信息发送的次数; 7 @/ Y! |# a' w; c( t1 F* \8 [+ T
. m U/ g9 c. r, E " ARP info":是指发送欺骗信息的具体内容.如下面例子: ; g- w; o+ ^6 N* o% E- @$ v
& N$ @/ n/ J; O0 X+ a6 } time sender Repeat ARP info ' B( u# C3 e6 q/ @
+ U8 j/ A2 n j# N3 n. A, \
22:22:22 192.168.1.22 1433 192.168.1.1 is at 00:0e:03:22:02:e8 ' v" N" T' ^3 o, ]/ V3 r W. }) Q+ B, ]3 o这条信息的意思是:在22:22:22的时间,检测到由192.168.1.22发出的欺骗信息,已经发送了1433次,他发送的欺骗信息的内容是:192.168.1.1的MAC地址是00:0e:03:22:02:e8. - |# L5 t& B: N ?
# A$ |; O4 t4 n+ h
打开检测功能，如果出现针对表内IP的欺骗，会出现提示。可以按照提示查到内网的ARP欺骗的根源。提示一句，任何机器都可以冒充其他机器发送IP与MAC，所以即使提示出某个IP或MAC在发送欺骗信息，也未必是100％的准确。所有请不要以暴力解决某些问题。 $ \/ }% W1 U$ O& X
R3 \$ r9 r7 S
3。主动维护（快速解决） + l. F. s0 y# l. S- Z6 L* g; J# t; k' O; {0 h
这个功能可以直接解决ARP欺骗的掉线问题，但是并不是理想方法。他的原理就在网络内不停的广播制定的IP的正确的MAC地址。 5 s! U' e. V4 H+ r% ?2 n, i- x/ G( z3 d+ L
"制定维护对象"的表格里面就是设置需要保护的IP。发包频率就是每秒发送多少个正确的包给网络内所有机器。强烈建议尽量少的广播IP，尽量少的广播频率。一般设置1次就可以，如果没有绑定IP的情况下，出现ARP欺骗，可以设置到50－100次，如果还有掉线可以设置更高，即可以实现快速解决ARP欺骗的问题。但是想真正解决ARP问题，还是请参照上面绑定方法。 4 |# |3 y. Y9 k) [4 Y, W8 R6 F
* O9 E! y3 e; ~1 i4。欣向路由器日志 $ ?8 H0 e- D" e
$ Z1 c6 M) j! [/ X2 y- K收集欣向路由器的系统日志，等功能。 / e; e4 I* j- @! V& L
) H- i6 G Q1 H) N$ ~+ A
5。抓包 ! ^1 n, K+ T4 D% _4 B" ^
; Q3 N) A \) H% U. F7 Z3 Z3 W
网吧很少接触到包级别的设置或问题。欣向的这个功能很可能把大家带到一个新技术高度，但是对于包的分析比一般的问题要复杂很多了，但是却可以提高对网络的把控力。 5 q, O( l; @2 r+ v: d% d
& Z- o) F3 ~2 E( @大家通过抓到的包可以分析内网的各种问题。具体这里不解释啦，基本所有的TCP/IP问题都可以分析。 ; o# W! `1 y$ v. ?6 b! ~. x- f8 R
抓包功能里面的空白条是控制抓包规则的，ethereal软件就是给大家分析包用的，大家把包文件直接拖到ethereal里面就可以打开。ethereal即可以抓包也可以看包，如果有机会可以研究一下。 z/ s5 M* |) r. I
9 D9 i$ ?! e6 }
这几天看到很多朋友都在提出一些网络方案,询问是否可以彻底解决ARP问题.还有朋友请求帮忙.不在挨个说了,一起抓吧. L2 n$ b+ U* n# {# L 5 @" P# ^- }% m7 e" B* w首先要在3个方面考虑,1.路由器.2.PC.3.中间的交换机. 8 L2 ~. J* g# O7 n1 Z# j) v$ R
1.路由器要选择可以防范ARP对路由器欺骗的,应该如果选择看自己的情况.具体品牌就不推荐了,后面我会出一个真假ARP防范区别的方法.让大家可以放心的采购. ; C9 b0 o( Y) r: W0 L/ Z6 n! \- d) O% S# h
2.PC都需要对路由器绑定,还有比较重要的服务器.(一般服务器绑定不是很重要) 8 Z1 Y D3 I& M' m$ r# P 1 b% z% X2 X7 z) R6 ^( c3.中间的交换机要关闭MAC管理功能,或者做交换机下面的PC与其他连接交换机端口的MAC-IP绑定.再或者就选用不带MAC管理的交换机.这个功能对网吧其实真是没大用,因为主要业务还是对外网的访问,内网的那电流量再现在强大的交换机面前可以说忽略不计. 2 ~; a; |: C5 t5 x1 i
# H' V* o( ?2 E) r2 u
以上3点全部做到ARP就无作恶之处啦..... 6 K# m* m# M4 s$ l6 t+ { + _, i R: ?2 J1 q; s/ c真假ARP防范识别. & B. ]0 C* \# z1 `: S
- h6 O8 ~8 W; v. `/ o W% @
好多朋友都再说ARP的防范啊,什么100次200次的啊.看着那个烦啊. ' P7 ]; x% b8 {0 K1 I+ t' x, W% j* G" V3 g) [
给大家一个检测方法,简单有效. ) c) E, _! N0 E1 w+ V) P0 A
* j% F4 M: t! ~% k1.测试PC的欺骗防范. + N/ G l/ ? @/ j) U) x2 }( Y . y9 s5 r0 b0 k- a2 N ,关闭路由器,把PC1设置为与路由器同IP,打开欣向ARP工具.记录PC1的IP MAC,然后把PC1设置为"主动维护"里面,............这样就把模拟的ARP攻击的环境假设好了.再把路由器打开,按照正常设置内网的PC上网.然后在"主动维护"里面开始主动维护,,这时路由器会一直广播错误的路由器MAC...先设置到100次,,只到500次看看是否可以防范....现在就看你的路由器的能力了. " I, Y, ]3 N, N: `7 t. x: r 7 H0 l6 k5 a" ^2.对路由的欺骗防范. ; a* S& R% l" X8 @ $ V# } y J& M# D找3台电脑,先设置错误的IP.然后打开ARP工具记录,把3个IP添加到主动维护里面,之后在把3台电脑的IP改为正确.........然后在开始主动维护....看看是否3台电脑还是否可以上网....黑白立判. 2 y$ q4 G1 p7 ?" u5 I* wARP攻击的原理与解决方法(第三版）含如何在局域网内查找病毒主机 $ y0 a: }1 u' F1 U; o; s2 } 5 d" V R% ?& S' ^ F+ j【故障原因】 1 N. [! U+ M5 ~' E/ x n' p2 ?" Y4 Q
/ z( R5 E; A* b局域网内有人使用ARP欺骗的木马程序（比如：魔兽世界，天堂，劲舞团等盗号的软件，某些外挂中也被恶意加载了此程序）。 8 R- o5 [( C, X2 x6 w ( O. s/ [* o# p5 D# T【故障原理】 8 K. @5 E* i- m# d+ [( X8 _( w* K C S. h( i, G* }6 n
要了解故障原理，我们先来了解一下ARP协议。 - L8 g3 H: D* |/ a9 t4 W
' i8 h3 O) M* O& ]
在局域网中，通过ARP协议来完成IP地址转换为第二层物理地址（即MAC地址）的。ARP协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞。 9 X7 C0 K/ V) p1 j1 ^) t
8 s, I# w' W' _& _
ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。 # t9 Z+ F; d9 O! w ( K' E' R: r9 W D: _, s每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的，如下所示。 * [( n! u. H e
* A8 ^5 b- F- a! |6 ]主机 IP地址 MAC地址 # t( b* @; o' nA 192.168.16.1 aa-aa-aa-aa-aa-aa . J" x8 Q H, T: r, b5 l
B 192.168.16.2 bb-bb-bb-bb-bb-bb 5 {) [) Q; A/ }$ V0 q3 M3 c+ U: nC 192.168.16.3 cc-cc-cc-cc-cc-cc q) N. e/ N! l, CD 192.168.16.4 dd-dd-dd-dd-dd-dd 5 A' E* a* I' r0 G2 s4 E) A4 h7 k/ q, n
