ARP病毒

lyppoiuy

1、中毒者：使用趨勢科技ARP病毒專殺工具查殺病毒<br>
<br>
點(diǎn)擊這里打開趨勢科技ARP病毒專殺工具下載頁面。下載后解壓縮，運(yùn)行包內(nèi)TSC.exe文件，不要關(guān)讓它一直運(yùn)行完，最后查看report文檔便知是否中毒。<br>
<br>
2、被害者：使用AntiArp軟件抵御ARP攻擊。<br>
<br>
點(diǎn)擊這里打開AntiArp軟件下載頁面。下載后解壓縮，運(yùn)行AntiArp。輸入本網(wǎng)段的網(wǎng)關(guān)ip地址后，點(diǎn)擊&quot;獲取網(wǎng)關(guān)MAC地址&quot;，檢查網(wǎng)關(guān)IP地址和MAC地址無誤后，點(diǎn)擊&quot;自動(dòng)保護(hù)&quot;。<br>
<br>
若不知道網(wǎng)關(guān)IP地址，可通過以下操作獲?。狐c(diǎn)擊&quot;開始&quot;按鈕-&gt;選擇&quot;運(yùn)行&quot;-&gt;輸入&quot;cmd&quot;點(diǎn)擊&quot;確定&quot;-&gt;輸入&quot;ipconfig&quot;按回車，&quot;Default Gateway&quot;后的IP地址就是網(wǎng)關(guān)地址。<br>
<br>
AntiArp軟件會(huì)在提示框內(nèi)出現(xiàn)病毒主機(jī)的MAC地址。<br>
<br><br>
<br>
關(guān)于防范ARP欺騙木馬程序（病毒）攻擊的通知 <br>
　　<br>
<br>近一段時(shí)間以來，校園網(wǎng)部分用戶受到一種名為ARP欺騙木馬程序（病毒）的攻擊（ARP是“Address Resolution Protocol”“地址解析協(xié)議”的縮寫），病毒發(fā)作時(shí)其癥狀表現(xiàn)為計(jì)算機(jī)網(wǎng)絡(luò)連接正常，卻打開網(wǎng)頁時(shí)斷時(shí)通；或由于ARP欺騙的木馬程序（病毒）發(fā)作時(shí)發(fā)出大量的數(shù)據(jù)包，導(dǎo)致校園網(wǎng)用戶上網(wǎng)不穩(wěn)定，極大地影響了校園網(wǎng)用戶的正常使用，給整個(gè)校園網(wǎng)的安全帶來嚴(yán)重的隱患。 <br><br>
<br>
病毒原理 <br>
　　當(dāng)局域網(wǎng)內(nèi)某臺主機(jī)運(yùn)行ARP欺騙的木馬程序時(shí)，會(huì)欺騙局域網(wǎng)內(nèi)所有主機(jī)和交換機(jī)，讓所有上網(wǎng)的流量必須經(jīng)過病毒主機(jī)。其他用戶原來直接通過交換機(jī)上網(wǎng)現(xiàn)在轉(zhuǎn)由通過病毒主機(jī)上網(wǎng)，切換的時(shí)候用戶會(huì)斷一次線。由于ARP欺騙的木馬程序發(fā)作的時(shí)候會(huì)發(fā)出大量的數(shù)據(jù)包導(dǎo)致局域網(wǎng)通訊擁塞以及其自身處理能力的限制，用戶會(huì)感覺上網(wǎng)速度越來越慢。當(dāng)ARP欺騙的木馬程序停止運(yùn)行時(shí)，用戶會(huì)恢復(fù)從交換機(jī)上網(wǎng)（此時(shí)交換機(jī)MAC地址表正常），切換過程中用戶會(huì)再斷一次線。該病毒發(fā)作時(shí)，僅影響同網(wǎng)段內(nèi)機(jī)器的正常上網(wǎng)。 <br>
<br>
<br>
采取的措施 <br>一、校園網(wǎng)用戶要增強(qiáng)網(wǎng)絡(luò)安全意識，不要輕易下載、使用盜版和存在安全隱患的軟件；或?yàn)g覽一些缺乏可信度的網(wǎng)站（網(wǎng)頁）；不要隨便打開不明來歷的電子郵件，尤其是郵件附件；不要隨便共享文件和文件夾，即使要共享，也得設(shè)置好權(quán)限，一般指定特定帳號或特定機(jī)器才能訪問，另外不建議設(shè)置可寫或可控制，以免個(gè)人計(jì)算機(jī)受到木馬病毒的侵入給校園網(wǎng)的安全帶來隱患。 <br>二、校園網(wǎng)計(jì)算機(jī)用戶要及時(shí)下載和更新操作系統(tǒng)的補(bǔ)丁程序，安裝正版的殺毒軟件，增強(qiáng)個(gè)人計(jì)算機(jī)防御計(jì)算機(jī)病毒的能力。 <br>三、用戶檢查和處理“ ARP 欺騙”木馬的方法。 <br>
　 1、檢查本機(jī)是否中的“ ARP 欺騙”木馬染毒 <br>
同時(shí)按住鍵盤上的“ CTRL + ALT +DEL ”鍵，選擇“任務(wù)管理器”，點(diǎn)選“進(jìn)程”標(biāo)簽。查看其中是否有一個(gè)名為“ MIR0.dat ”之類的進(jìn)程。如果有，則說明已經(jīng)中毒。右鍵點(diǎn)擊此進(jìn)程后選擇“結(jié)束進(jìn)程”。 <br>
　 2、在受到ARP欺騙木馬程序（病毒）攻擊時(shí)，用戶可選擇下列方法的一種處理。 <br>方法一： <br>下載Anti ARP Sniffer軟件保護(hù)本地計(jì)算機(jī)正常運(yùn)行（點(diǎn)擊下載-內(nèi)有詳細(xì)使用說明）。同時(shí)把此軟件設(shè)為自動(dòng)啟動(dòng)，步驟：先把Antiarp.exe生成桌面快捷方式-&gt;選&quot;開始&quot;-&gt;&quot;程序&quot;-&gt;雙擊&quot;啟動(dòng)&quot;-&gt;再把桌面上Antiarp.exe快捷鍵拷到&quot;啟動(dòng)&quot;中，以保證下次開機(jī)自動(dòng)運(yùn)行，起到保護(hù)的作用。 <br>方法二： <br>
　　在“開始” - “程序” - “附件”菜單下調(diào)出“命令提示符”。輸入并執(zhí)行以下命令：ipconfig <br>
　　記錄網(wǎng)關(guān) IP 地址，即“ Default Gateway ”對應(yīng)的值，例如“ 10.1.4.1 ”。再輸入并執(zhí)行以下命令： <br>
arp –a <br>
　　在“ Internet Address ”下找到上步記錄的網(wǎng)關(guān) IP 地址，記錄其對應(yīng)的物理地址，即“ Physical Address ”值，例如“ 00-e0-fc-0f-8f-4d”。在網(wǎng)絡(luò)正常時(shí)這就是網(wǎng)關(guān)的正確物理地址，在網(wǎng)絡(luò)受“ ARP 欺騙”木馬影響而不正常時(shí)，它就是木馬所在計(jì)算機(jī)的網(wǎng)卡物理地址。 也可以掃描本子網(wǎng)內(nèi)的全部 IP 地址，然后再查 ARP 表。如果有一個(gè) IP 對應(yīng)的物理地址與網(wǎng)關(guān)的相同，那么這個(gè) IP 地址和物理地址就是中毒計(jì)算機(jī)的 IP 地址和網(wǎng)卡物理地址。 本方法可在一定程度上減輕中木馬的其它計(jì)算機(jī)對本機(jī)的影響。用上邊介紹的方法確定正確的網(wǎng)關(guān) IP 地址和網(wǎng)關(guān)物理地址，然后在 “命令提示符”窗口中輸入并執(zhí)行以下命令： <br>
　 arp –s 網(wǎng)關(guān) IP 網(wǎng)關(guān)物理地址 。 <br>方法三：(只適用時(shí)出現(xiàn)故障時(shí)的臨時(shí)解決辦法） <br>
在“開始” - “程序” - “附件”菜單下調(diào)出“命令提示符”。輸入并執(zhí)行以下命令： <br>
arp -d <br>方法四： <br>局域網(wǎng)ARP攻擊免疫器(點(diǎn)擊下載)。（1）將這里面3個(gè)dll文件復(fù)制到windows\system32 里面，將npf 這個(gè)文件復(fù)制到 windows\system32\drivers 里面。（2）將這4個(gè)文件在安全屬性里改成只讀。也就是不允許任何人修改。 <br>
　 四、以下程序帶有此類ARP病毒（傳奇殺手等），請不要使用： <br>
　　傳奇2冰橙子1.44版 <br>
　　傳奇2及時(shí)雨P(guān)K版 <br>
　　&quot;網(wǎng)吧傳奇殺手&quot;的木馬軟件進(jìn)行傳奇帳號和密碼的掃描 <br>
　　網(wǎng)絡(luò)執(zhí)法官等類似程序 <br>
　　五、若用戶未按上述要求采取任何安全措施，導(dǎo)致個(gè)人計(jì)算機(jī)在校園網(wǎng)上發(fā)送大量的病毒數(shù)據(jù)包，影響了校園網(wǎng)的安全，我中心將采取有效措施令其離線殺毒。<br>六、趨勢科技提供的ARP病毒清除工具(點(diǎn)擊下載)<br>
<br>