arp 病毒ARP病毒是什么原理?

什么是arp病毒啊？

ARP挂马的原理 目的：通过arp欺骗来直接挂马 优点:可以直接通过arp欺骗来挂马. 通常的arp欺骗的攻击方式是在同一vlan下,控制一台主机来监听密码,或者结合ssh中间人攻击来监听ssh1的密码. 但这样存在局限性: 1.管理员经常不登陆,那么要很久才能监听到密码 2.目标主机只开放了80端口,和一个管理端口,且80上只有静态页面,那么很难利用.而管理端口,如果是3389终端,或者是ssh2,那么非常难监听到密码. 优点: 1.可以不用获得目标主机的权限就可以直接在上面挂马 2.非常隐蔽,不改动任何目标主机的页面或者是配置,在网络传输的过程中间直接插入挂马的语句. 3.可以最大化的利用arp欺骗,从而只要获取一台同一vlan下主机的控制权,就可以最大化战果. 原理：arp中间人攻击，实际上相当于做了一次代理。 正常时候: A---->B ,A是访问的正常客户,B是要攻击的服务器,C是被我们控制的主机 arp中间人攻击时候: A---->C---->B B---->C---->A 实际上,C在这里做了一次代理的作用 那么HTTP请求发过来的时候,C判断下是哪个客户端发过来的包,转发给B,然后B返回HTTP响应的时候,在HTTP响应包中,插入一段挂马的代码,比如<iframe>...之类,再将修改过的包返回的正常的客户A,就起到了一个挂马的作用.在这个过程中,B是没有任何感觉的,直接攻击的是正常的客户A,如果A是管理员或者是目标单位,就直接挂上马了. 什么是ARP？ 英文原义：Address Resolution Protocol 中文释义：（RFC-826）地址解析协议 局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。所谓“地址解析”就是主机在 发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址以保证通信的顺利进行。 注解：简单地说，ARP协议主要负责将局域网中的32为IP地址转换为对应的48位物理地址，即网卡的MAC地址，比如IP地址为192.168.0.1网卡MAC地址为00-03-0F-FD-1D-2B。整个转换过程是一台主机先向目标主机发送包含IP地址信息的广播数据包，即ARP请求，然后目标主机向该主机发送一个含有IP地址和MAC地址数据包，通过MAC地址两个主机就可以实现数据传输了。 应用：在安装了以太网网络适配器的计算机中都有专门的ARP缓存，包含一个或多个表，用于保存IP地址以及经过解析的MAC地址。在Windows中要查看或者修改ARP缓存中的信息，可以使用arp命令来完成，比如在Windows XP的命令提示符窗口中键入“arp -a”或“arp -g”可以查看ARP缓存中的内容；键入“arp -d IPaddress”表示删除指定的IP地址项（IPaddress表示IP地址）。arp命令的其他用法可以键入“arp /?”查看到

中arp病毒的表现是什么啊？如何解决？

1 ．检查本机的“ ARP 欺骗”木马染毒进程 同时按住键盘上的“ CTRL ”和“ ALT ”键再按“ DEL ”键，选择“任务管理器”，点选“进程”标签。察看其中是否有一个名为“ MIR0.dat ”的进程。如果有，则说明已经中毒。右键点击此进程后选择“结束进程”。参见右图。 2 ．检查网内感染“ ARP 欺骗”木马染毒的计算机 在“开始” - “程序” - “附件”菜单下调出“命令提示符”。输入并执行以下命令： ipconfig 记录网关 IP 地址，即“ Default Gateway ”对应的值，例如“ 59.66.36.1 ”。再输入并执行以下命令： arp –a 在“ Address ”下找到上步记录的网关 IP 地址，记录其对应的物理地址，即“ Physical Address ”值，例如“ 00-01-e8-1f-35-54 ”。在网络正常时这就是网关的正确物理地址，在网络受“ ARP 欺骗”木马影响而不正常时，它就是木马所在计算机的网卡物理地址。 也可以扫描本子网内的全部 IP 地址，然后再查 ARP 表。如果有一个 IP 对应的物理地址与网关的相同，那么这个 IP 地址和物理地址就是中毒计算机的 IP 地址和网卡物理地址。 3 ．设置 ARP 表避免“ ARP 欺骗”木马影响的方法 本方法可在一定程度上减轻中木马的其它计算机对本机的影响。用上边介绍的方法确定正确的网关 IP 地址和网关物理地址，然后在 “命令提示符”窗口中输入并执行以下命令： arp –s 网关 IP 网关物理地址 4 ．ARP绑定网关 步骤一： 在能正常上网时，进入MS-DOS窗口，输入命令：arp －a，查看网关的IP对应的正确MAC地址， 并将其记录下来。 注意：如果已经不能上网，则先运行一次命令arp －d将arp缓存中的内容删空，计算机可暂时恢复上网（攻击如果不停止的话）。一旦能上网就立即将网络断掉（禁用网卡或拔掉网线），再运行arp －a。 步骤二： 如果计算机已经有网关的正确MAC地址，在不能上网只需手工将网关IP和正确的MAC地址绑定，即可确保计算机不再被欺骗攻击。 要想手工绑定，可在MS-DOS窗口下运行以下命令： arp －s 网关IP 网关MAC 例如：假设计算机所处网段的网关为192.168.1.1，本机地址为192.168.1.5，在计算机上运行arp －a后输出如下： Cocuments and Settings>arp -a Interface:192.168.1.5 --- 0x2 Address Physical Address Type 192.168.1.1 00-01-02-03-04-05 dynamic 其中，00-01-02-03-04-05就是网关192.168.1.1对应的MAC地址，类型是动态（dynamic）的，因此是可被改变的。 被攻击后，再用该命令查看，就会发现该MAC已经被替换成攻击机器的MAC。如果希望能找出攻击机器，彻底根除攻击，可以在此时将该MAC记录下来，为以后查找该攻击的机器做准备。 手工绑定的命令为： arp －s 192.168.1.1 00-01-02-03-04-05 绑定完，可再用arp －a查看arp缓存： Cocuments and Settings>arp -a Interface: 192.168.1.5 --- 0x2 Address Physical Address Type 192.168.1.1 00-01-02-03-04-05 static 这时，类型变为静态（static），就不会再受攻击影响了。 但是，需要说明的是，手工绑定在计算机关机重启后就会失效，需要再次重新绑定。所以，要彻底根除攻击，只有找出网段内被病毒感染的计算机，把病毒杀掉，才算是真正解决问题。 5 ．作批处理文件 在客户端做对网关的arp绑定，具体操作步骤如下： 步骤一： 查找本网段的网关地址，比如192．168．1．1，以下以此网关为例。在正常上网时，“开始→运行→cmd→确定”，输入：arp －a，点回车，查看网关对应的Physical Address。 比如：网关192.168.1.1 对应00－01－02－03－04－05。 步骤二： 编写一个批处理文件rarp.bat，内容如下： @echo off arp －d arp -s 192.168.1.1 00－01－02－03－04－05 保存为：rarp.bat。 步骤三： 运行批处理文件将这个批处理文件拖到“Windows→开始→程序→启动”中，如果需要立即生效，请运行此文件。 注意：以上配置需要在网络正常时进行 6.使用安全工具软件 及时下载Anti ARP Sniffer软件保护本地计算机正常运行。 或者利用单位提供的集中网络防病毒系统来统一查杀木马。另外还可以利用木马杀客等安全工具进行查杀。

什么ARP病毒

ARP病毒也叫ARP地址欺骗类病毒，这是一类特殊的病毒。该病毒一般属于木马病毒，不具备主动传播的特性，不会自我复制，但是由于其发作的时候会向全网发送伪造的ARP数据包，严重干扰全网的正常运行，其危害甚至比一些蠕虫病毒还要严重得多。 　　ARP病毒发作时，通常会造成网络掉线，但网络连接正常，内网的部分电脑不能上网，或者所有电脑均不能上网，无法打开网页或打开网页慢以及局域网连接时断时续并且网速较慢等现象，严重影响到企业网络、网吧、校园网络等局域网的正常运行。 以下六个步骤，即可有效防范ARP病毒： 　　1、做好IP－MAC地址的绑定工作（即将IP地址与硬件识别地址绑定），在交换机和客户端都要绑定，这是可以使局域网免疫ARP病毒侵扰的好办法。 　　2、全网所有的电脑都打上MS06-014和MS07-017这两个补丁，这样可以免疫绝大多数网页木马，防止在浏览网页的时候感染病毒。

ARP病毒有什么作用?

arp病毒 1. arp病毒并不是某一种病毒的名称，而是对利用arp协议的漏洞进行传播的一类病毒的总称。arp协议是TCP/IP协议组的一个协议，能够把网络地址翻译成物理地址（又称MAC地址）。通常此类攻击的手段有两种：路由欺骗和网关欺骗。是一种入侵电脑的木马病毒。对电脑用户私密信息的威胁很大。 arp病毒的作用 1. 用户频繁断网、上网时感觉网络经常掉线，重新开机或修复本地连接（或先停用再启用）后网络恢复正常但几分钟后网络再次中断，甚至客户端无法登陆，但是在某一闲时或半夜某一人上网时自己可以上！ 2. IE浏览器在使用过程中频繁出错或自动关闭网页。甚至只有发送没有接收的数据包！ 3. 一些常用软件经常出现故障或非正常自动关闭，但是在上网人数较少或某一时段正常的！ 4. 网上银行、游戏及QQ账号的频繁丢失 5. 网速时快时慢，极其不稳定，但单机进行光纤数据测试时一切正常 6. 局域网内频繁性区域或整体掉线，重启计算机或网络设备后恢复正常

ARP病毒是什么原理?

ARP攻击就是通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞，攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，造成网络中断或中间人攻击。 ARP攻击主要是存在于局域网网络中，局域网中若有一个人感染ARP木马，则感染该ARP木马的系统将会试图通过“ARP欺骗”手段截获所在网络内其它计算机的通信信息，并因此造成网内其它计算机的通信故障。 从影响网络连接通畅的方式来看，ARP欺骗分为二种，一种是对路由器ARP表的欺骗；另一种是对内网PC的网关欺骗。 第一种ARP欺骗的原理是——截获网关数据。它通知路由器一系列错误的内网MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新保存在路由器中，结果路由器的所有数据只能发送给错误的MAC地址，造成正常PC无法收到信息。第二种ARP欺骗的原理是——伪造网关。它的原理是建立假网关，让被它欺骗的PC向假网关发数据，而不是通过正常的路由器途径上网。在PC看来，就是上不了网了，“网络掉线了”。 一般来说，ARP欺骗攻击的后果非常严重，大多数情况下会造成大面积掉线。有些网管员对此不甚了解，出现故障时，认为PC没有问题，交换机没掉线的“本事”，电信也不承认宽带故障。而且如果第一种ARP欺骗发生时，只要重启路由器，网络就能全面恢复，那问题一定是在路由器了。为此，宽带路由器背了不少“黑锅”。 作为网吧路由器的厂家，对防范ARP欺骗不得已做了不少份内、份外的工作。一、在宽带路由器中把所有PC的IP-MAC输入到一个静态表中，这叫路由器IP-MAC绑定。二、力劝网管员在内网所有PC上设置网关的静态ARP信息，这叫PC机IP-MAC绑定。一般厂家要求两个工作都要做，称其为IP-MAC双向绑定。 显示和修改“地址解析协议”(ARP) 所使用的到以太网的 IP 或令牌环物理地址翻译表。该命令只有在安装了 TCP/IP 协议之后才可用。 arp -a [_addr] [-N [if_addr] arp -d _addr [if_addr] arp -s _addr ether_addr [if_addr] 参数 -a 通过询问 TCP/IP 显示当前 ARP 项。如果指定了 _addr，则只显示指定计算机的 IP 和物理地址。 -g 与 -a 相同。 _addr 以加点的十进制标记指定 IP 地址。 -N 显示由 if_addr 指定的网络界面 ARP 项。 if_addr 指定需要修改其地址转换表接口的 IP 地址（如果有的话）。如果不存在，将使用第一个可适用的接口。 -d 删除由 _addr 指定的项。 -s 在 ARP 缓存中添加项，将 IP 地址 _addr 和物理地址 ether_addr 关联。物理地址由以连字符分隔的6 个十六进制字节给定。使用带点的十进制标记指定 IP 地址。项是永久性的，即在超时到期后项自动从缓存删除。 ether_addr 指定物理地址。

arp病毒的症状

你如何清除局域网中的ARP病毒... 现在局域网中感染ARP病毒的情况比较多,清理和防范都比较困难,给不少的网络管理员造成了很多的困扰.下面就是个人在处理这个问题的一些经验,同时也在网上翻阅了不少的参考资料. ARP病毒的症状 有时候无法正常上网，有时候有好了，包括访问网上邻居也是如此，拷贝文件无法完成，出现错误；局域网内的ARP包爆增，使用ARP查询的时候会发现不正常的MAC地址，或者是错误的MAC地址对应，还有就是一个MAC地址对应多个IP的情况也会有出现。 ARP攻击的原理 ARP欺骗攻击的包一般有以下两个特点，满足之一可视为攻击包报警：第一以太网数据 包头的源地址、目标地址和ARP数据包的协议地址不匹配。或者，ARP数据包的发送和目标地址不在自己网络网卡MAC数据库内，或者与自己网络MAC数据 库MAC/IP不匹配。这些统统第一时间报警，查这些数据包(以太网数据包)的源地址(也有可能伪造)，就大致知道那台机器在发起攻击了。现在有网络管理 工具比如网络执法官、P2P终结者也会使用同样的方式来伪装成网关，欺骗客户端对网关的访问，也就是会获取发到网关的流量，从而实现网络流量管理和网络监 控等功能，同时也会对网络管理带来潜在的危害，就是可以很容易的获取用户的密码等相关信息。 处理办法 通用的处理流程 1.先保证网络正常运行 方法一：编辑一个***.bat文件内容如下： arp.exe s**.**.**.**（网关ip） ************（网关MAC地址）end 让网络用户点击就可以了! 办法二：编辑一个注册表问题，键值如下： Windows Registry Editor Version 5.00[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]"MAC"="arp s网关IP地址网关MAC地址" 然后保存成Reg文件以后在每个客户端上点击导入注册表。 2.找到感染ARP病毒的机器 a、在电脑上ping一下网关的IP地址，然后使用ARP －a的命令看得到的网关对应的MAC地址是否与实际情况相符，如不符，可去查找与该MAC地址对应的电脑。 b、使用抓包工具，分析所得到的ARP数据报。有些ARP病毒是会把通往网关的路径 指向自己，有些是发出虚假ARP回应包来混淆网络通信。第一种处理比较容易，第二种处理比较困难，如果杀毒软件不能正确识别病毒的话，往往需要手工查找感 染病毒的电脑和手工处理病毒，比较困难。 c、使用MAC地址扫描工具，Nbtscan扫描全网段IP地址和MAC地址对应表，有助于判断感染ARP病毒对应MAC地址和IP地址。 预防措施 1、及时升级客户端的操作系统和应用程式补丁； 2、安装和更新杀毒软件。 3、如果网络规模较少，尽量使用手动指定IP设置，而不是使用DHCP来分配IP地址。 4、如果交换机支持，在交换机上绑定MAC地址与IP地址

arp病毒的类型，特征和防治方法

一、ARP病毒 ARP地址欺骗类病毒（以下简称ARP病毒）是一类特殊的病毒，该病毒一般属于木马(Trojan)病毒，不具备主动传播的特性，不会自我复制。但是由于其发作的时候会向全网发送伪造的ARP数据包，干扰全网的运行，因此它的危害比一些蠕虫还要严重得多。 二、ARP病毒发作时的现象 网络掉线，但网络连接正常，内网的部分PC机不能上网，或者所有电脑不能上网，无法打开网页或打开网页慢，局域网时断时续并且网速较慢等。 三、ARP病毒原理 3.1 网络模型简介 众所周知，按照OSI (Open Systems Interconnection Reference Model 开放系统互联参考模型) 的观点，可将网络系统划分为7层结构，每一个层次上运行着不同的协议和服务，并且上下层之间互相配合，完成网络数据交换的功能. 应用层 表示层 会话层 运输层 网络层 数据连路层 物理层 然而，OSI的模型仅仅是一个参考模型，并不是实际网络中应用的模型。实际上应用最广泛的商用网络模型即TCP/IP体系模型，将网络划分为四层，每一个层次上也运行着不同的协议和服务. 应用层 HTTP，FTP，TELNET，SMTP 运输层 TCP，UDP 网际层 IP，ARP，ARAP，ICMP，IGMP 网络接口层 3.2 ARP协议简介 我们大家都知道，在局域网中，一台主机要和另一台主机进行通信，必须要知道目标主机的IP地址，但是最终负责在局域网中传送数据的网卡等物理设备是不识别IP地址的，只能识别其硬件地址即MAC地址。MAC地址是48位的，通常表示为12个16进制数，每2个16进制数之间用“-”或者冒号隔开，如：00-0B-2F-13-1A-11就是一个MAC地址。每一块网卡都有其全球唯一的MAC地址，网卡之间发送数据，只能根据对方网卡的MAC地址进行发送，这时就需要一个将高层数据包中的IP地址转换成低层MAC地址的协议，而这个重要的任务将由ARP协议完成。 ARP全称为Address Resolution Protocol，地址解析协议。所谓“地址解析”就是主机在发送数据包前将目标主机IP地址转换成目标主机MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。 这时就涉及到一个问题，一个局域网中的电脑少则几台，多则上百台，这么多的电脑之间，如何能准确的记住对方电脑网卡的MAC地址，以便数据的发送呢？这就涉及到了另外一个概念，ARP缓存表。在局域网的任何一台主机中，都有一个ARP缓存表，该表中保存这网络中各个电脑的IP地址和MAC地址的对照关系。当这台主机向同局域网中另外的主机发送数据的时候，会根据ARP缓存表里的对应关系进行发送。 下面，我们用一个模拟的局域网环境，来说明ARP欺骗的过程。 3.3 ARP欺骗过程 假设一个只有三台电脑组成的局域网，该局域网由交换机(Switch)连接。其中一个电脑名叫A，代表攻击方；一台电脑叫S，代表源主机，即发送数据的电脑；令一台电脑名叫D，代表目的主机，即接收数据的电脑。这三台电脑的IP地址分别为192.168.0.2，192.168.0.3，192.168.0.4。MAC地址分别为MAC_A，MAC_S，MAC_D。其网络拓扑环境 switch a s d 192.168.0.2 192.168.0.3 192.168.0.4 现在，S电脑要给D电脑发送数据了，在S电脑内部，上层的TCP和UDP的数据包已经传送到了最底层的网络接口层，数据包即将要发送出去，但这时还不知道目的主机D电脑的MAC地址MAC_D。这时候，S电脑要先查询自身的ARP缓存表，查看里面是否有192.168.0.4这台电脑的MAC地址，如果有，那很好办，就将 封装在数据包的外面。直接发送出去即可。如果没有，这时S电脑要向全网络发送一个ARP广播包，大声询问：“我的IP是192.168.0.3，硬件地址是MAC_S，我想知道IP地址为192.168.0.4的主机的硬件地址是多少？” 这时，全网络的电脑都收到该ARP广播包了，包括A电脑和D电脑。A电脑一看其要查询的IP地址不是自己的，就将该数据包丢弃不予理会。而D电脑一看IP地址是自己的，则回答S电脑：“我的IP地址是192.168.0.4，我的硬件地址是MAC_D”需要注意的是，这条信息是单独回答的，即D电脑单独向S电脑发送的，并非刚才的广播。现在S电脑已经知道目的电脑D的MAC地址了，它可以将要发送的数据包上贴上目的地址MAC_D，发送出去了。同时它还会动态更新自身的ARP缓存表，将192.168.0.4－MAC_D这一条记录添加进去，这样，等S电脑下次再给D电脑发送数据的时候，就不用大声询问发送ARP广播包了。这就是正常情况下的数据包发送过程。 这样的机制看上去很完美，似乎整个局域网也天下太平，相安无事。但是，上述数据发送机制有一个致命的缺陷，即它是建立在对局域网中电脑全部信任的基础上的，也就是说它的假设前提是：无论局域网中那台电脑，其发送的ARP数据包都是正确的。那么这样就很危险了！因为局域网中并非所有的电脑都安分守己，往往有非法者的存在。比如在上述数据发送中，当S电脑向全网询问“我想知道IP地址为192.168.0.4的主机的硬件地址是多少？”后，D电脑也回应了自己的正确MAC地址。但是当此时，一向沉默寡言的A电脑也回话了：“我的IP地址是192.168.0.4，我的硬件地址是MAC_A” ，注意，此时它竟然冒充自己是D电脑的IP地址，而MAC地址竟然写成自己的！由于A电脑不停地发送这样的应答数据包，本来S电脑的ARP缓存表中已经保存了正确的记录：192.168.0.4－MAC_D，但是由于A电脑的不停应答，这时S电脑并不知道A电脑发送的数据包是伪造的，导致S电脑又重新动态更新自身的ARP缓存表，这回记录成：192.168.0.4－MAC_A，很显然，这是一个错误的记录（这步也叫ARP缓存表中毒），这样就导致以后凡是S电脑要发送给D电脑，也就是IP地址为192.168.0.4这台主机的数据，都将会发送给MAC地址为MAC_A的主机，这样，在光天化日之下，A电脑竟然劫持了由S电脑发送给D电脑的数据！这就是ARP欺骗的过程。 如果A这台电脑再做的“过分”一些，它不冒充D电脑，而是冒充网关，那后果会怎么样呢？我们大家都知道，如果一个局域网中的电脑要连接外网，也就是登陆互联网的时候，都要经过局域网中的网关转发一下，所有收发的数据都要先经过网关，再由网关发向互联网。在局域网中，网关的IP地址一般为192.168.0.1。如果A这台电脑向全网不停的发送ARP欺骗广播，大声说：“我的IP地址是192.168.0.1，我的硬件地址是MAC_A”这时局域网中的其它电脑并没有察觉到什么，因为局域网通信的前提条件是信任任何电脑发送的ARP广播包。这样局域网中的其它电脑都会更新自身的ARP缓存表，记录下192.168.0.1－MAC_A这样的记录，这样，当它们发送给网关，也就是IP地址为192.168.0.1这台电脑的数据，结果都会发送到MAC_A这台电脑中！这样，A电脑就将会监听整个局域网发送给互联网的数据包！ 实际上，这种病毒早就出现过，这就是ARP地址欺骗类病毒。一些传奇木马（Trojan/PSW.LMir）具有这样的特性，该木马一般通过传奇外挂、网页木马等方式使局域网中的某台电脑中毒，这样中毒电脑便可嗅探到整个局域网发送的所有数据包，该木马破解了《传奇》游戏的数据包加密算法，通过截获局域网中的数据包，分析数据包中的用户隐私信息，盗取用户的游戏帐号和密码。在解析这些封包之后，再将它们发送到真正的网关。这样的病毒有一个令网吧游戏玩家闻之色变的名字：“传奇网吧杀手”

ARP病毒的类型

ARP欺骗种类 　　（1）拒绝服务攻击：拒绝服务攻击就是使目标主机不能响应外界请求，从而不能对外提供服务的攻击方法。如果攻击者将目标主机ARP缓存中的MAC地址全部改为根本就不存在的地址，那么目标主机向外发送的所有以太网数据帧会丢失，使得上层应用忙于处理这种异常而无法响应外来请求，也就导致目标主机产生拒绝服务。 　　（2）中间人攻击：中间人攻击就是攻击者将自己的主机插入两个目标主机通信路径之间，使他的主机如同两个目标主机通信路径上的一个中继，这样攻击者就可以监听两个目标主机之间的通信。例如局域网内的三台机子A、S、D，现在A要监听S与D之间的通信。攻击过程如下：A侵染目标主机S与D的ARP缓存，使得S向D发送数据时，使用的是D的IP地址与A的MAC地址，并且D向S发送数据时，使用的是S的IP地址与A的MAC地址，因此所有S与D之间的数据都将经过A，再由A转发给他们。 　　如果攻击者对一个目标主机与它所在局域网的路由器实施中间人攻击，那么攻击者就可以截取与这个目标主机的之间的全部通信。 　　（3）多主机欺骗：篡改被攻击主机群中关于网络内某一台主机X的ARP记录，被攻击的主机群为网络中的多台主机而非一台主机。主机X为网关或网络内任何一台非网关的正在运行主机。被篡改后的MAC地址可以为网络内正在运行的主机MAC地址或随机伪造的不存在主机的MAC地址。 　　T时刻，主机A关于主机X的ARP记录被篡改； 　　T+N时刻，主机B关于主机X的ARP记录被篡改； 　　……… 　　T+M时刻，主机Z关于主机X的ARP记录被篡改； 　　例如当攻击主机要仿冒网关就会向局域网内的主机群发送ARP数据包，以自身MAC地址来冒充真正的网关，使受骗主机群的ARP缓冲区的MAC地址错误地更新为攻击源的MAC地址，导致受骗主机群向假网关发送通信信息，而不是通过路由器或交换途径寻找真正的网关并发送通信信息。这时攻击主机可以把自己设置成一台路由器负责对数据包转发，从而达到仿冒网关的目的。这是一种比较常见的欺骗形式，这种欺骗方式可以控制同一网关下的所有主机对网络的访问。网吧内经常发生游戏密码被盗现象就是因为遭受到仿冒网关的ARP攻击。 　　（4）全子网轮询欺骗：篡改被攻击主机X中关于网络内多台主机的ARP记录，这台被攻击的主机为网关或网络内任何一台非网关的主机，被篡改后的MAC地址可以为网络内正在运行的主机MAC地址或随机伪造的不存在主机的MAC地址。 　　T时刻，主机X关于主机A的ARP记录被篡改； 　　T+N时刻，主机X关于主机B的ARP记录被篡改； 　　……… 　　T+M时刻，主机X关于主机Z的ARP记录被篡改； 　　（5）网络监听：攻击主机利用上述多主机欺骗来仿冒网关，利用全子网轮询欺骗来篡改真正网关上关于局域网内所有主机的ARP缓存记录，从而实现对局域网内所有主机同外部网的通信进行监听。实现了在交换式网络环境中对网络通信的监听。 　　ARP扫描攻击 　　向局域网内的所有主机发送ARP请求，从而获得正在运行主机的ip和mac地址映射对。ARP扫描往往是为发动ARP攻击做准备。攻击源通过ARP扫描来获得所要攻击主机的ip和mac地址。从而为网络监听、盗取用户数据，实现隐蔽式攻击做准备。 　　虚拟主机攻击 　　通过在网络内虚拟构建网卡，将自己虚拟成网络内的一台主机，拥有虚拟的物理地址和ip地址。主要是通过在链路层捕获所有流经的ARP请求数据包进行分析，若是对虚拟主机的ARP请求就会发送对应虚拟物理地址的ARP响应，并且虚拟主机本身也会发送ARP请求。虚拟主机攻击会占用局域网内的IP地址资源，使得正常运行的主机发生ip地址冲突，并且局域网内的主机也无法正常获得ip地址。

arp病毒攻击哪些电脑

都会攻击，不过arp工具局域网可能会让整个局域网都掉线！！！ 以下是本人对ARP的防护措施及资料！！ ARP放火墙： /soft/33532.html arp现在已经有很多变种了，一种类型是木马，一另一种是后门程序！！！ 以下是参考资料----看你中的是哪种 病毒名称 Trojan/PSW.GamePass.arp 病毒中文名 “网游大盗”变种arp 病毒类型 木马 危险级别 ★ 影响平台 Win 9X/ME/NT/2000/XP/2003 感染对象 描述 Trojan/PSW.GamePass.arp“网游大盗”变种arp是一个木马程序，盗取盛大公司网络游戏的帐号信息。 解决方案 1、请立即升级江民杀毒软件，开启新一代智能分级高速杀毒引擎及各项监控，该引擎对目前互联网盛行的病毒、木马、恶意软件（流氓软件）、广告软件等进行智能分级高速查杀，防止恶性病毒攻击用户计算机。 2、江民KV网络版的用户请及时升级控制中心，并建议相关管理人员在适当时候进行全网查杀病毒，保证企业信息安全。 3、“江民密保”可有效保护网上银行、网络游戏、支付平台、网上证券交易等账号、密码，彻底斩断“网银大盗”、“证券大盗”、“传奇窃贼”、“天堂杀手”等专门盗号的木马黑手，全面保护用户机密信息。 4、怀疑已中毒的用户可使用江民免费在线查毒进行病毒查证。免费在线查毒地址： /chadu.asp. ==================================================== 病毒名称 Backdoor/Agobot.arp 病毒中文名 “高波”变种arp 病毒类型 后门 危险级别 ★★ 影响平台 Win 9X/ME/NT/2000/XP/2003 感染对象 描述 Backdoor/Agobot.arp“高波”变种arp是一个利用Kazaa共享及mIRC传播的后门。该后门不仅传播给已经感染后门的用户计算机，而且利用密码字典破解弱密码进行网络共享传播。“高波”变种arp运行后，自我复制到系统目录下。修改注册表，实现开机自启。在Kazaa上创建共享目录，利用某些常用软件的名称自我复制到Kazaa共享目录下，欺骗他人下载。连接指定的IRC服务器，侦听黑客指令，利用用户操作系统漏洞进行传播，终止某些杀毒软件的进程，对指定目标执行DoS攻击等。在已开启的窗口中搜索与网上银行、在线支付相关的字符串，一经发现便开始记录键击，盗取用户帐号密码，并禁止用户通过合法帐号进行在线交易。利用密码字典破解弱密码共享，自我复制到共享目录下，进行网络共享传播。释放另一病毒，隐藏自我，防止被查杀。另外，“高波”变种arp还可以自升级。 解决方案 1、请及时升级江民KV2006杀毒软件，开启BOOTSCAN功能及各项监控，防止冲击波、震荡波等恶性病毒攻击用户计算机。江民KV2006杀毒软件在Windows启动前能彻底清除以上恶性病毒，全面保护用户计算机。 2、江民kv网络版的用户请及时升级控制中心，并建议相关管理人员在适当时候进行全网查杀病毒，保证企业信息安全。 3、开启江民杀毒软件KV2006“系统漏洞检查”功能，全面扫描操作系统漏洞，及时更新Windows操作系统，安装相应补丁程序，以避免病毒利用微软漏洞攻击计算机，造成损失。 4、用户应养成及时下载最新系统安全漏洞补丁的安全习惯，从根源上杜绝黑客利用系统漏洞攻击用户计算机的病毒。同时，升级杀毒软件、开启病毒实时监控应成为每日防范病毒的必修课。 5、在打开通过局域网共享及共享软件下载的文件或软件程序之前，建议先进行病毒查杀，以免导致中毒。 6、设置网络共享帐号及密码时，尽量不要使用常见字符串，如guest、administrator等。密码最好超过八位，尽量复杂化。 7、新版江民黑客防火墙能彻底防范网银大盗、证券大盗等病毒通过记录、监听键盘消息盗取用户网上银行帐号和密码，全面保护用户机密信息。 8、针对病毒利用修改注册表实现开机自启这一特点，江民杀毒软件KV2006“注册表自动修复”功能可以在第一时间清除病毒文件，对病毒破坏的系统注册表进行智能恢复。 9、请定期做好重要资料的备份，以免造成重大损失。 10、怀疑已中毒的用户可使用江民免费在线查毒进行病毒查证。免费在线查毒地址： /chadu.asp. ========================================= 病毒名称 Trojan/Agent.arp 病毒中文名 “代理木马”变种arp 病毒类型 木马 危险级别 ★★ 影响平台 Win 9X/ME/NT/2000/XP/2003 感染对象 描述 Trojan/Agent.arp“代理木马”变种arp是一个盗取用户机密信息的木马程序。“代理木马”变种arp运行后，自我复制到系统目录下，文件名随机生成。修改注册表，实现开机自启。从指定站点下载其它木马，侦听黑客指令，盗取用户机密信息。 解决方案 1、请立即升级江民杀毒软件，开启新一代智能分级高速杀毒引擎及各项监控，防止目前盛行的病毒、木马、流氓软件（恶意软件）等攻击用户计算机。 2、江民KV网络版的用户请及时升级控制中心，并建议相关管理人员在适当时候进行全网查杀病毒，保证企业信息安全。 3、“江民密保”可有效保护网上银行、支付平台、网上证券交易、网络游戏等账号密码，全面保护用户私密信息。 4、怀疑已中毒的用户可使用江民免费在线查毒进行病毒查证。免费在线查毒地址： /chadu.asp.

ARP 病毒是什么？

ARP挂马的原理 目的：通过arp欺骗来直接挂马 优点:可以直接通过arp欺骗来挂马. 通常的arp欺骗的攻击方式是在同一vlan下,控制一台主机来监听密码,或者结合ssh中间人攻击来监听ssh1的密码. 但这样存在局限性: 1.管理员经常不登陆,那么要很久才能监听到密码 2.目标主机只开放了80端口,和一个管理端口,且80上只有静态页面,那么很难利用.而管理端口,如果是3389终端,或者是ssh2,那么非常难监听到密码. 优点: 1.可以不用获得目标主机的权限就可以直接在上面挂马 2.非常隐蔽,不改动任何目标主机的页面或者是配置,在网络传输的过程中间直接插入挂马的语句. 3.可以最大化的利用arp欺骗,从而只要获取一台同一vlan下主机的控制权,就可以最大化战果. 原理：arp中间人攻击，实际上相当于做了一次代理。 正常时候: A---->B ,A是访问的正常客户,B是要攻击的服务器,C是被我们控制的主机 arp中间人攻击时候: A---->C---->B B---->C---->A 实际上,C在这里做了一次代理的作用 那么HTTP请求发过来的时候,C判断下是哪个客户端发过来的包,转发给B,然后B返回HTTP响应的时候,在HTTP响应包中,插入一段挂马的代码,比如<iframe>...之类,再将修改过的包返回的正常的客户A,就起到了一个挂马的作用.在这个过程中,B是没有任何感觉的,直接攻击的是正常的客户A,如果A是管理员或者是目标单位,就直接挂上马了. 什么是ARP？ 英文原义：Address Resolution Protocol 中文释义：（RFC-826）地址解析协议 局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。所谓“地址解析”就是主机在 发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址以保证通信的顺利进行。 注解：简单地说，ARP协议主要负责将局域网中的32为IP地址转换为对应的48位物理地址，即网卡的MAC地址，比如IP地址为192.168.0.1网卡MAC地址为00-03-0F-FD-1D-2B。整个转换过程是一台主机先向目标主机发送包含IP地址信息的广播数据包，即ARP请求，然后目标主机向该主机发送一个含有IP地址和MAC地址数据包，通过MAC地址两个主机就可以实现数据传输了。 应用：在安装了以太网网络适配器的计算机中都有专门的ARP缓存，包含一个或多个表，用于保存IP地址以及经过解析的MAC地址。在Windows中要查看或者修改ARP缓存中的信息，可以使用arp命令来完成，比如在Windows XP的命令提示符窗口中键入“arp -a”或“arp -g”可以查看ARP缓存中的内容；键入“arp -d IPaddress”表示删除指定的IP地址项（IPaddress表示IP地址）。arp命令的其他用法可以键入“arp /?”查看到。 临时防御: /soft/25.htm ARP防火墙单机版4.0.1，03月12日发布，原名Anti ARP Sniffer，采用全新系统内核层拦截技术，能彻底解决所有ARP攻击带来的问题，能够保证在受到ARP攻击时网络仍然正常，能彻底解决在受到攻击时出现的丢包现象。能自动拦截并防御各类ARP攻击程序、ARP病毒、ARP木马、通过智能分析抑制所有ARP恶意程序发送虚假数据包。自动识别ARP攻击数据类型：外部攻击、IP冲突、对外攻击数据，并详细记录所有可疑数据包并追踪攻击者，软件能自动统计ARP广播包发送接受数量。作者授权发布。 最好的解决方式还是联系机房管理员 要求 mac-ip 做静态绑定

什么是ARP病毒，它的危害是什么？

ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。所以说从某种意义上讲ARP协议是工作在更低于IP协议的协议层。这也是为什么ARP欺骗更能够让人在神不知鬼不觉的情况下出现网络故障，他的危害更加隐蔽。 首先我们可以肯定一点的就是发送ARP欺骗包是通过一个恶毒的程序自动发送的，正常的TCP/IP网络是不会有这样的错误包发送的，而人工发送又比较麻烦。也就是说当黑客没有运行这个恶毒程序的话，网络上通信应该是一切正常的，保留在各个连接网络计算机上的ARP缓存表也应该是正确的，只有程序启动开始发送错误ARP信息以及ARP欺骗包时才会让某些计算机访问网络出现问题。接下来我们来阐述下ARP欺骗的原理。 第一步：假设这样一个网络，一个Hub或交换机连接了3台机器，依次是计算机A，B，C。 A的地址为：IP：192.168.1.1 MAC: AA-AA-AA-AA-AA-AA B的地址为：IP：192.168.1.2 MAC: BB-BB-BB-BB-BB-BB C的地址为：IP：192.168.1.3 MAC: CC-CC-CC-CC-CC-CC 第二步：正常情况下在A计算机上运行ARP -A查询ARP缓存表应该出现如下信息。 Interface: 192.168.1.1 on Interface 0x1000003 Address Physical Address Type 192.168.1.3 CC-CC-CC-CC-CC-CC dynamic 第三步：在计算机B上运行ARP欺骗程序，来发送ARP欺骗包。 B向A发送一个自己伪造的ARP应答，而这个应答中的数据为发送方IP地址是192.168.10.3（C的IP地址），MAC地址是DD-DD-DD-DD-DD-DD（C的MAC地址本来应该是CC-CC-CC-CC-CC-CC，这里被伪造了）。当A接收到B伪造的ARP应答，就会更新本地的ARP缓存（A可不知道被伪造了）。而且A不知道其实是从B发送过来的，A这里只有192.168.10.3（C的IP地址）和无效的DD-DD-DD-DD-DD-DD mac地址。 第四步：欺骗完毕我们在A计算机上运行ARP -A来查询ARP缓存信息。你会发现原来正确的信息现在已经出现了错误。 Interface: 192.168.1.1 on Interface 0x1000003 Address Physical Address Type 192.168.1.3 DD-DD-DD-DD-DD-DD dynamic 从上面的介绍我们可以清楚的明白原来网络中传输数据包最后都是要根据MAC地址信息的，也就是说虽然我们日常通讯都是通过IP地址，但是最后还是需要通过ARP协议进行地址转换，将IP地址变为MAC地址。而上面例子中在计算机A上的关于计算机C的MAC地址已经错误了，所以即使以后从A计算机访问C计算机这个192.168.1.3这个地址也会被ARP协议错误的解析成MAC地址为DD-DD-DD-DD-DD-DD的。 问题也会随着ARP欺骗包针对网关而变本加厉，当局域网中一台机器，反复向其他机器，特别是向网关，发送这样无效假冒的ARP应答信息包时，严重的网络堵塞就会开始。由于网关MAC地址错误，所以从网络中计算机发来的数据无法正常发到网关，自然无法正常上网。这就造成了无法访问外网的问题，另外由于很多时候网关还控制着我们的局域网LAN上网，所以这时我们的LAN访问也就出现问题了。 前面也提到了ARP欺骗可以造成内部网络的混乱，让某些被欺骗的计算机无法正常访问内外网，让网关无法和客户端正常通信。实际上他的危害还不仅仅如此，一般来说IP地址的冲突我们可以通过多种方法和手段来避免，而ARP协议工作在更低层，隐蔽性更高。系统并不会判断ARP缓存的正确与否，无法像IP地址冲突那样给出提示。而且很多黑客工具例如网络剪刀手等，可以随时发送ARP欺骗数据包和ARP恢复数据包，这样就可以实现在一台普通计算机上通过发送ARP数据包的方法来控制网络中任何一台计算机的上网与否，甚至还可以直接对网关进行攻击，让所有连接网络的计算机都无法正常上网。这点在以前是不可能的，因为普通计算机没有管理权限来控制网关，而现在却成为可能，所以说ARP欺骗的危害是巨大的，而且非常难对付，非法用户和恶意用户可以随时发送ARP欺骗和恢复数据包，这样就增加了网络管理员查找真凶的难度。那么难道就没有办法来阻止ARP欺骗问题的发生吗？下篇文章笔者将就这些内容进行讲解，让我们真真正正的和ARP欺骗说再见。

arp病毒是什么

ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中，一个主机机和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行

什么是arp病毒？

arp是一个网络协议，一般用于局域网中，它将IP地址解析为网卡的物理地址，又称为MAC地址。局域网中的所有ip通信最终都必须转换到基于mac地址的通信。一般局域网中每台机器都会缓存一个IP到MAC的转换地址表，使得不用每次要向其他机器发送信息时都要重新解析一遍。 由于该协议存在某些缺陷，使得局域网中恶意的机器可以发送虚假的ARP包来欺骗其他机器，使得其它机器获得虚假的ip与mac对应关系。 局域网一般通过统一的网关来访问外部网络，比如上网浏览网页（/art/200609/31883.htm

什么是ARP病毒？

arp是一个网络协议，一般用于局域网中，它将IP地址解析为网卡的物理地址，又称为MAC地址。局域网中的所有ip通信最终都必须转换到基于mac地址的通信。一般局域网中每台机器都会缓存一个IP到MAC的转换地址表，使得不用每次要向其他机器发送信息时都要重新解析一遍。 由于该协议存在某些缺陷，使得局域网中恶意的机器可以发送虚假的ARP包来欺骗其他机器，使得其它机器获得虚假的ip与mac对应关系。 局域网一般通过统一的网关来访问外部网络，比如上网浏览网页（http协议），某机器上的恶意代码通过欺骗，让其他机器将网关ip的mac地址都指向自己，又欺骗网关使得其他机器IP的mac地址也指向自己，只有它自己保存着一份真实的ip-mac转换表。这样，基于网中所有机器的上网包都通过该恶意代码的机器进行转发，从而该代码就能截获局域网其他用户的很多上网信息。这种采用arp欺骗的恶意代码就是ARP病毒。 以上是arp病毒的一个基本原理描述，更详细的信息及防护请看资料： /art/200609/31883.htm

ARP病毒是怎样传播的???

关于ARP病毒及病毒防护的通告 自今年 4 月中旬以来， "ARP 欺骗 " 类病毒 / 木马在校园网内屡有发现，最近一段时间尤其严重，当某台电脑感染了这类 ARP 欺骗病毒 / 木马程序后，会不定期发送伪造的 ARP 响应数据报文和广播报文。受感染电脑发出的这种报文会欺骗所在网段的其他电脑 , 对其他电脑宣称自己的 mac 就是网关的 mac ，对实际的网关说其他电脑 ip 的 mac 都是自己的 mac ，这样网关（交换机或路由器）无法学习到上网主机的 mac ，更新不了网关 ARP 表，就无法转发数据 帧 。 电脑中毒后会向同网段内所有计算机发ARP欺骗包，导致网络内其它电脑因网关物理地址被更改而无法上网，被欺骗电脑的典型症状是刚开机能上网，几分钟之后断网，过一会又能上网，或者重启一遍电脑就可以上网，一会又不好了，如此不断重复，造成校园网的不稳定，影响正常使用。 对于感染病毒的用户，信息网络中心会根据其产生的后果严重程度，采取提醒警告乃至暂时关闭网络接入端口等必要措施来保障校园网正常运行。 此病毒为木马病毒附带的一种欺骗病毒，目前无专杀ARP病毒的有效软件。未中毒而只是被攻击的电脑，防护办法如下：在 /gdtz/download/AntiArpSniffer3.5.zip下载AntiArp3.5.0在本机安装运行，在“网关地址”中输入本机网关地址（具体查看网关地址的方法请看附图），然后点击“获取网关MAC地址”按钮，再点击“自动防护”即可。由于此病毒只感染同一个网段的电脑，因此，如果用户所在的网段没有电脑感染arp病毒，即用户上网正常,没有如上的症状，就不需要安装此软件进行防护。 附件：查看本机网关地址的方法 windows2000和 xp的机器，点击电脑左下角的“开始”，选择“运行”，然后输入：cmd 点击确定，在出现的dos窗口中输入：ipconfig /all然后回车，在出现的项目中找到Default Gateway 对应的地址即是。 如下图所示：网关地址为：210.36.42.254 如运行AntiArp程序仍无效果，可下载系统补丁以作尝试： Win2000： /gdtz/download/arp2000.rar WinXp： /gdtz/download/arpxp.rar ARP病毒专杀（推荐）： /gdtz/download/arptsc.rar 安全建议： 1 、给系统安装补丁程序。通过 Windows Update 安装好系统补丁程序 ( 关键更新、安全更新和 Service Pack) 2 、给系统管理员帐户设置足够复杂的强密码，最好能是 12 位以上，字母 + 数字 + 符号的组合；也可以禁用 / 删除一些不使用的帐户 3 、经常更新杀毒软件（病毒库），设置允许的可设置为每天定时自动更新。安装并使用网络防火墙软件，网络防火墙在防病毒过程中也可以起到至关重要的作用，能有效地阻挡自来网络的攻击和病毒的入侵。 4 、关闭一些不需要的服务，条件允许的可关闭一些没有必要的共享，也包括 C$ 、 D$ 等管理共享。完全单机的用户也可直接关闭 Server 服务 5 、不要随便点击打开 QQ 、 MSN 等聊天工具上发来的链接信息，不要随便打开或运行陌生、可疑文件和程序，如邮件中的陌生附件，外挂程序等。 附件一： 网上相关内容（1 ， 2 ） 附件二： 国家计算机病毒应急处理中心报告近期发作的病毒的技术报告 关于利用微软 MS06-040 补丁漏洞传播的新蠕虫 “ 魔波 ” 病毒的通告 微软 8 月 9 日 发布的危害级别为 “ 高危 ” 的系统漏洞补丁程序 MS06-042 （ Microsoft Explorer 积累性补丁） 存在缺陷，这一缺陷会影响到使用 Windows XP 和 Windows 2000 操作系统中的 IE 浏览器 6.0 版本的 Server Pack1 合集 补丁的计算机用户。如果这些计算机用户在浏览互联网络上某些网页时，可能会导致自己计算机系统 IE 浏览器崩溃，进而导致无法正常使用浏览器。针对这种情况，微软公司在本月 8 月 23 日 发布了 MS06-040 补丁的更新版本 MS06-042 ，请校园网广大用户及时更新

电脑中了ARP病毒怎么解决？

ARP类病毒的解决方案 1、清空ARP缓存: 大家可能都曾经有过使用ARP的指令法解决过ARP欺骗问题，该方法是针对ARP欺骗原理进行解决的。一般来说ARP欺骗都是通过发送虚假的MAC地址与IP地址的对应ARP数据包来迷惑网络设备，用虚假的或错误的MAC地址与IP地址对应关系取代正确的对应关系。若是一些初级的ARP欺骗，可以通过ARP的指令来清空本机的ARP缓存对应关系，让网络设备从网络中重新获得正确的对应关系，具体解决过程如下： 第一步：通过点击桌面上任务栏的“开始”->“运行”，然后输入cmd后回车，进入cmd(黑色背景)命令行模式； 第二步：在命令行模式下输入arp -a命令来查看当前本机储存在本地系统ARP缓存中IP和MAC对应关系的信息； 第三步：使用arp -d命令，将储存在本机系统中的ARP缓存信息清空，这样错误的ARP缓存信息就被删除了，本机将重新从网络中获得正确的ARP信息，达到局域网机器间互访和正常上网的目的。如果是遇到使用ARP欺骗工具来进行攻击的情况，使用上述的方法完全可以解决。但如果是感染ARP欺骗病毒，病毒每隔一段时间自动发送ARP欺骗数据包，这时使用清空ARP缓存的方法将无能为力了。下面将接收另外一种，可以解决感染ARP欺骗病毒的方法。 2、指定ARP对应关系：其实该方法就是强制指定ARP对应关系。由于绝大部分ARP欺骗病毒都是针对网关MAC地址进行攻击的，使本机上ARP缓存中存储的网关设备的信息出现紊乱，这样当机器要上网发送数据包给网关时就会因为地址错误而失败，造成计算机无法上网。 第一步：我们假设网关地址的MAC信息为00-14-78-a7-77-5c，对应的IP地址为192.168.2.1。指定ARP对应关系就是指这些地址。在感染了病毒的机器上，点击桌面->任务栏的“开始”->“运行”，输入cmd后回车，进入cmd命令行模式； 第二步：使用arp -s命令来添加一条ARP地址对应关系， 例如arp -s 192.168.2.1 00-14-78-a7-77-5c命令。这样就将网关地址的IP与正确的MAC地址绑定好了，本机网络连接将恢复正常了； 第三步：因为每次重新启动计算机的时候，ARP缓存信息都会被全部清除。所以我们应该把这个ARP静态地址添加指令写到一个批处理文件（例如：bat）中，然后将这个文件放到系统的启动项中。当程序随系统的启动而加载的话，就可以免除因为ARP静态映射信息丢失的困扰了。 3、添加路由信息应对ARP欺骗： 一般的ARP欺骗都是针对网关的，那么我们是否可以通过给本机添加路由来解决此问题呢。只要添加了路由，那么上网时都通过此路由出去即可，自然也不会被ARP欺骗数据包干扰了。第一步：先通过点击桌面上任务栏的“开始”->“运行”，然后输入cmd后回车，进入cmd(黑色背景)命令行模式； 第二步：手动添加路由，详细的命令如下：删除默认的路由: route delete 0.0.0.0;添加路由: route add -p 0.0.0.0 mask 0.0.0.0 192.168.1.254 metric 1;确认修改: route change此方法对网关固定的情况比较适合，如果将来更改了网关，那么就需要更改所有的客户端的路由配置了。 4、安装杀毒软件： 安装杀毒软件并及时升级，另外建议有条件的企业可以使用网络版的防病毒软件。 建议你使用瑞星或卡巴斯基来查杀病毒。 用超级巡警3.5、360安全卫士来清理和维护系统，清除流氓软件和木马。 超级巡警 V3.5 /soft/29107.html#download 360安全卫士v3.4版 /setup.exe 杀毒三步： 一、查看进程，（可以用360安全卫士卡卡助手超级巡警等软件进行）结束恶意软件运行时建立的进程。 二，查看隐藏文件，在文件夹选项里设置。然后删病毒程序和其所调用的模块。 三、搜索注册表，找到病毒文件建立的键值。删。 然后重新启动。 1、有多操作系统的用户，可以通过引导到其它系统删除病毒所有文件，彻底清除病毒。 2、按Ctrl+Alt+Delete调出任务管理器，在进程页面中结束掉所有名称为病毒的进程（建议在后面的操作中反复此操作，以确保病毒文件不会反复发作）。 3、在开始－－运行中输入“regedit”（XP系统）打开注册表，点“编辑”——“查找”，在弹出的对话框中输入病毒文件名，找到后全删。 4、在我的电脑－工具－文件夹选项－查看－显示所有文件和文件夹，把“隐藏受保护的系统文件”的勾去掉，你会看到出现了你所说的文件名的文件，直接删除

谁知道ARP病毒是什么?

近期有某种arp病毒在校园网里传播，感染该病毒后，会影响整个网段（宿舍区整单元、办公区整个楼层）计算机的正常上网，出现同一网段的大面积断网断线。请广大用户升级杀毒软件病毒库到最新版本，没有安装杀毒软件的用户，请下载下面的专杀工具进行查杀。 　　 注意：当附近所有人的计算机都不能正常上网，出现qq掉线等情况时，您的电脑却安然无恙，数据通信正常，这说明您的机器已经中了arp病毒，需要及时杀毒，否则，与您相邻的计算机将无法上网，您的硬盘上的数据也有被窃取的危险 未中毒而只是被攻击的电脑，防护办法如下：在 /gdtz/download/AntiArpSniffer3.5.zip下载AntiArp3.5.0在本机安装运行，在“网关地址”中输入本机网关地址（具体查看网关地址的方法请看附图），然后点击“获取网关MAC地址”按钮，再点击“自动防护”即可。 附件：查看本机网关地址的方法 windows2000和 xp的机器，点击电脑左下角的“开始”，选择“运行”，然后输入：cmd 点击确定，在出现的dos窗口中输入：ipconfig /all然后回车，在出现的项目中找到Default Gateway 对应的地址即是。

arp病毒是怎么回事?具体点是什么呢？？？？

ARP病毒也叫ARP地址欺骗类病毒，属于木马类病毒，在发作时会向全网发伪造的ARP数据包，通常会造成网络掉线，内网部分电脑不能上网，或者所有电脑均不能上网，无法打开网页或打开网页慢以及局域网连接时断时续并且网速较慢等现象，严重干扰网线的正常运行，其危害甚至比一些蠕虫病毒还要严重，ARP地址欺骗技术已经成为病毒发展的一个新趋势。 ARP病毒很容易复发，很多朋友在清除病毒后，过一段时间又会反复出现，给日常上网带来了很在的困扰。它之所以会反复发作，主要是由于目前网页木马都是利用微软的MS06-014和 MS07-017这两个漏洞进入系统里面的，如果没有打好这2个补丁，就很容易再次攻击，同时将MAC-IP双向绑定也可以达到免疫ARP病毒的效果。只在做好以下六个安全措施，就可以有效防范这一类病毒： a.使用可防御ARP攻击的三层交换机，绑定端口-MAC-IP，限制ARP流量，及时发现并自动阻断ARP攻击端口，合理划分VLAN，彻底阻止盗用IP、MAC地址，杜绝ARP的攻击。 b.对于经常爆发病毒的网络，进行访问控制，限制用户对网络的访问。此类ARP攻击程序一般都是从下载到用户终端，如果能够加强用户上网的访问控制，就能极大的减少该问题的发生。 c.在发生ARP攻击时，及时找到病毒攻击源头，并收集病毒信息，可以使用趋势科技的SIC2.0，同时收集可疑的病毒样本文件，一起提交到趋势科技的TrendLabs进行分析，TrendLabs将以最快的速度提供病毒码文件，从而可以进行ARP病毒的防御。 1、做好IP-MAC地址的绑定工作（即将IP地址与硬件识别地址进行绑定），在交换机和客户端都进行绑定，这是可以使局域网免受ARP病毒侵扰的好办法； 2、全网所有的电脑都打上上面所说的2个补丁，可以免疫绝大多数网页木马，防止在浏览网页的时候感染病毒。 MS06-014中文版系统宁靖下载地址： /china//security/bulletin/MS06-014.mspx MS07-017中文版系统补丁下载地址： /china//security/bulletin/MS07-017.mspx 3、禁用系统的自动播放功能，防止病毒从U盘、移动硬盘、MP3等移动存储设备进入计算机。禁用Windows系统的自动播放功能的方法是：在运行中输入gpedit.msc，打开组策略，定位到：计算机配置－管理模板－系统－关闭自动播放－已启用－所有驱动器，然后确定即可。（注：如果你的计算机是WindowsXP Home版，那么可以用TweakUI这个软件来办到这件事 4、在网络正常时保存好全网的IP-MAC地址对照表，这样在查找ARP中毒电脑时就会很方便了。 5、部署网络流量检测设备，时刻监视全网的ARP广播包，查看其MAC是否正确。 6、部署具有全网监控功能的杀毒软件，如KV网络版，定期升级病毒，定期全网杀毒。

什么是Arp病毒？

ARP病毒也叫ARP地址欺骗类病毒，这是一类特殊的病毒。该病毒一般属于木马病毒，不具备主动传播的特性，不会自我复制，但是由于其发作的时候会向全网发送伪造的ARP数据包，严重干扰全网的正常运行，其危害甚至比一些蠕虫病毒还要严重得多。 　　ARP病毒发作时，通常会造成网络掉线，但网络连接正常，内网的部分电脑不能上网，或者所有电脑均不能上网，无法打开网页或打开网页慢以及局域网连接时断时续并且网速较慢等现象，严重影响到企业网络、网吧、校园网络等局域网的正常运行。

什么是ＡＲＰ病毒

ARP病毒也叫ARP地址欺骗类病毒，这是一类特殊的病毒。该病毒一般属于木马病毒，不具备主动传播的特性，不会自我复制，但是由于其发作的时候会向全网发送伪造的ARP数据包，严重干扰全网的正常运行，其危害甚至比一些蠕虫病毒还要严重得多。 　　ARP病毒发作时，通常会造成网络掉线，但网络连接正常，内网的部分电脑不能上网，或者所有电脑均不能上网，无法打开网页或打开网页慢以及局域网连接时断时续并且网速较慢等现象，严重影响到企业网络、网吧、校园网络等局域网的正常运行。 以下六个步骤，即可有效防范ARP病毒： 　　1、做好IP－MAC地址的绑定工作（即将IP地址与硬件识别地址绑定），在交换机和客户端都要绑定，这是可以使局域网免疫ARP病毒侵扰的好办法。 　　2、全网所有的电脑都打上MS06-014和MS07-017这两个补丁，这样可以免疫绝大多数网页木马，防止在浏览网页的时候感染病毒。 　　MS06-014 中文版系统补丁下载地址： 　　 /china//security/bulletin/MS06-014.mspx 　　MS07-017 中文版系统补丁下载地址： 　　 /china//security/bulletin/MS07-017.mspx 　　3、禁用系统的自动播放功能，防止病毒从U盘、移动硬盘、MP3等移动存储设备进入到计算机。禁用Windows 系统的自动播放功能的方法：在运行中输入 gpedit.msc 后回车，打开组策略编辑器，依次点击：计算机配置－＞管理模板－＞系统－＞关闭自动播放－＞已启用－＞所有驱动器－＞确定。 　　4、在网络正常时候保存好全网的IP－MAC地址对照表，这样在查找ARP中毒电脑时很方便。 　　5、部署网络流量检测设备，时刻监视全网的ARP广播包，查看其MAC地址是否正确。 　　6、安装杀毒软件，及时升级病毒库，定期全网杀毒

ARP病毒是什么原理?

ARP欺骗的原理 网络执法官中利用的ARP欺骗使被攻击的电脑无法上网，其原理就是使该电脑无法找到网关的MAC地址。那么ARP欺骗到底是怎么回事呢？知其然，知其所以然是我们《黑客X档案》的优良传统，下面我们就谈谈这个问题。 首先给大家说说什么是ARP,ARP（Address Resolution Protocol）是地址解析协议，是一种将IP地址转化成物理地址的协议。从IP地址到物理地址的映射有两种方式：表格方式和非表格方式。ARP具体说来就是将网络层（IP层，也就是相当于OSI的第三层）地址解析为数据连接层（MAC层，也就是相当于OSI的第二层）的MAC地址。 ARP原理：某机器A要向主机B发送报文，会查询本地的ARP缓存表，找到B的IP地址对应的MAC地址后，就会进行数据传输。如果未找到，则广播A一个ARP请求报文（携带主机A的IP地址Ia--物理地址Pa），请求IP地址为Ib的主机B回答物理地址Pb。网上所有主机包括B都收到ARP请求，但只有主机B识别自己的IP地址，于是向A主机发回一个ARP响应报文。其中就包含有B的MAC地址，A接收到B的应答后，就会更新本地的ARP缓存。接着使用这个MAC地址发送数据（由网卡附加MAC地址）。因此，本地高速缓存的这个ARP表是本地网络流通的基础，而且这个缓存是动态的。 ARP协议并不只在发送了ARP请求才接收ARP应答。当计算机接收到ARP应答数据包的时候，就会对本地的ARP缓存进行更新，将应答中的IP和MAC地址存储在ARP缓存中。因此，当局域网中的某台机器B向A发送一个自己伪造的ARP应答，而如果这个应答是B冒充C伪造来的，即IP地址为C的IP，而MAC地址是伪造的，则当A接收到B伪造的ARP应答后，就会更新本地的ARP缓存，这样在A看来C的IP地址没有变，而它的MAC地址已经不是原来那个了。由于局域网的网络流通不是根据IP地址进行，而是按照MAC地址进行传输。所以，那个伪造出来的MAC地址在A上被改变成一个不存在的MAC地址，这样就会造成网络不通，导致A不能Ping通C！这就是一个简单的ARP欺骗。 网络执法官利用的就是这个原理！知道了它的原理，再突破它的防线就容易多了。