arp欺骗病毒ARP欺骗 病毒

arp欺骗病毒  时间:2021-01-05  阅读:()

怎么样才能防范ARP地址欺骗病毒

ARP病毒也叫ARP地址欺骗类病毒,这是一类特殊的病毒。

该病毒一般属于木马病毒,不具备主动传播的特性,不会自我复制,但是由于其发作的时候会向全网发送伪造的ARP数据包,严重干扰全网的正常运行,其危害甚至比一些蠕虫病毒还要严重得多。

  ARP病毒发作时,通常会造成网络掉线,但网络连接正常,内网的部分电脑不能上网,或者所有电脑均不能上网,无法打开网页或打开网页慢以及局域网连接时断时续并且网速较慢等现象,严重影响到企业网络、网吧、校园网络等局域网的正常运行。

  以下六个步骤,即可有效防范ARP病毒:   1、做好IP-MAC地址的绑定工作(即将IP地址与硬件识别地址绑定),在交换机和客户端都要绑定,这是可以使局域网免疫ARP病毒侵扰的好办法。

  2、全网所有的电脑都打上MS06-014和MS07-017这两个补丁,这样可以免疫绝大多数网页木马,防止在浏览网页的时候感染病毒。

  3、禁用系统的自动播放功能,防止病毒从U盘、移动硬盘、MP3等移动存储设备进入到计算机。

禁用Windows 系统的自动播放功能的方法:在运行中输入 gpedit.msc 后回车,打开组策略编辑器,依次点击:计算机配置->管理模板->系统->关闭自动播放->已启用->所有驱动器->确定。

  4、在网络正常时候保存好全网的IP-MAC地址对照表,这样在查找ARP中毒电脑时很方便。

  5、部署网络流量检测设备,时刻监视全网的ARP广播包,查看其MAC地址是否正确。

  6、安装杀毒软件,及时升级病毒库,定期全网杀毒。

怎样清除欺骗型的ARP病毒

1、ARP病毒分析 当局域网内某台主机运行ARP欺骗的木马程序时,会欺骗局域网内所有主机和路由器,让所有上网的流量必须经过病毒主机。

其他用户原来直接通过路由器上网现在转由通过病毒主机上网,切换的时候用户会断一次线。

切换到病毒主机上网后,如果用户已经登陆了传奇服务器,那么病毒主机就会经常伪造断线的假像,那么用户就得重新登录传奇服务器,这样病毒主机就可以盗号了。

由于ARP欺骗的木马程序发作的时候会发出大量的数据包导致局域网通讯拥塞以及其自身处理能力的限制,用户会感觉上网速度越来越慢。

当ARP欺骗的木马程序停止运行时,用户会恢复从路由器上网,切换过程中用户会再断一次线。

在路由器的“系统历史记录”中看到大量如下的信息: MAC Chged 10.128.103.124 MAC Old 00:01:6c:36:d1:7f MAC New 00:05:5d:60:c7:18 这个消息代表了用户的MAC地址发生了变化,在ARP欺骗木马开始运行的时候,局域网所有主机的MAC地址更新为病毒主机的MAC地址(即所有信息的MAC New地址都一致为病毒主机的MAC地址),同时在路由器的“用户统计”中看到所有用户的MAC地址信息都一样。

如果是在路由器的“系统历史记录”中看到大量MAC Old地址都一致,则说明局域网内曾经出现过ARP欺骗(ARP欺骗的木马程序停止运行时,主机在路由器上恢复其真实的MAC地址)。

BKDR_NPFECT.A病毒引起ARP欺骗之实测分析 Part1. 病毒现象 中毒机器在局域网中发送假的APR应答包进行APR欺骗, 造成其他客户机无法获得网关和其他客户机的网卡真实MAC地址,导致无法上网和正常的局域网通信. Part2. 病毒原理分析: 病毒的组件 本文研究的病毒样本有三个组件构成: %windows%SYSTEM32LOADHW.EXE (108,386 bytes) ….. ”病毒组件释放者” %windows%System32drivers pf.sys (119,808 bytes) ….. ”发ARP欺骗包的驱动程序” %windows%System32msitinit.dll (39,952 bytes) …”命令驱动程序发ARP欺骗包的控制者” 病毒运作基理: 1.LOADHW.EXE 执行时会释放两个组件npf.sys 和msitinit.dll . LOADHW.EXE释放组件后即终止运行. 注意: 病毒假冒成winPcap的驱动程序,并提供winPcap的功能. 客户若原先装有winPcap, npf.sys将会被病毒文件覆盖掉. 2.随后msitinit.dll将npf.sys注册(并监视)为内核级驱动设备: "NetGroup Packet Filter Driver" msitinit.dll 还负责发送指令来操作驱动程序npf.sys (如发送APR欺骗包, 抓包, 过滤包等) 以下从病毒代码中提取得服务相关值: BinaryPathName = "system32drivers pf.sys" StartType = SERVICE_AUTO_START ServiceType = SERVICE_KERNEL_DRIVER ess = SERVICE_ALL_ACCESS DisplayName = "NetGroup Packet Filter Driver" ServiceName = "Npf" 3. npf.sys 负责监护msitinit.dll. 并将LOADHW.EXE注册为自启动程序: [HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOnce] dwMyTest =LOADHW.EXE 注: 由于该项位于RunOnce下,该注册表启动项在每次执行后,即会被系统

ARP欺骗 病毒

你的情况应该是属于局域网内部有人使用P2P终结者或者是聚生网管等一些网管类软件 并不属于病毒 既然瑞星已经提示拦截 那就说明没事了 只是老是弹出那东西令人很懊恼 最佳选择可以找幕后者商量

云步云72.5元/月起云服务器,香港安畅/葵湾/将军澳/沙田/大浦CN2机房,2核2G5M

云步云怎么样?云步云是创建于2021年的品牌,主要从事出售香港vps、美国VPS、日本VPS、香港独立服务器、香港站群服务器等,机房有香港、美国、日本东京等机房,目前在售VPS线路有CN2+BGP、CN2 GIA,香港的线路也是CN2直连大陆,该公司旗下产品均采用KVM虚拟化架构。目前,云步云提供香港安畅、沙田、大浦、葵湾、将军澳、新世界等CN2机房云服务器,2核2G5M仅72.5元/月起。点击进...

onevps:新增(支付宝+中文网站),香港/新加坡/日本等9机房,1Gbps带宽,不限流量,仅需$4/月

onevps最新消息,为了更好服务中国区用户:1、网站支付方式新增了支付宝,即将增加微信;原信用卡、PayPal方式不变;(2)可以切换简体中文版网站,在网站顶部右上角找到那个米字旗,下拉可以换中国简体版本。VPS可选机房有:中国(香港)、新加坡、日本(东京)、美国(纽约、洛杉矶)、英国(伦敦)、荷兰(阿姆斯特丹)、瑞士(苏黎世)、德国(法兰克福)、澳大利亚(悉尼)。不管你的客户在亚太区域、美洲区...

Nocser:马来西亚独立服务器促销$60.00/月

Nocser刚刚在WHT发布了几款促销服务器,Intel Xeon X3430,8GB内存,1TB HDD,30M不限流量,月付$60.00。Nocser是一家注册于马来西亚的主机商,主要经营虚拟主机、VPS和马来西亚独立服务器业务,数据中心位于马来西亚AIMS机房,线路方面,AIMS到国内电信一般,绕日本NTT;联通和移动比较友好,联通走新加坡,移动走香港,延迟都在100左右。促销马来西亚服务器...

arp欺骗病毒为你推荐
音乐播放器哪个好哪个音乐播放器最好游戏盒子哪个好请问游戏盒子哪个好啊电陶炉和电磁炉哪个好电陶炉和电磁炉哪个好尼康和佳能单反哪个好尼康和佳能哪个好啊?尼康和佳能单反哪个好佳能和尼康单反哪个好?看书软件哪个好什么读书app好用飞信空间登录移动飞信客户端怎么登陆???辽宁联通网上营业厅中国联通网上营业厅固定电话费查询铁通dns服务器地址铁通dns服务器地址360云盘共享群360云盘共享群怎么没有了
中文域名查询 申请免费域名 vir flashfxp怎么用 新世界机房 美国翻墙 回程路由 patcha 12306抢票助手 免费全能空间 亚马逊香港官网 服务器硬件防火墙 香港亚马逊 中国电信测速网站 xuni 闪讯网 mteam 聚惠网 免费网站加速 cpu使用率过高怎么办 更多