如何快速查出局域网内ARP病毒
如何快速确认内网ARP攻击的方法
ARP攻击内网的网络现象：
突发性瞬间断线，快速连上，期间上网速度越来越慢，一段时间又瞬间断线。
ARP攻击内网诊断：
1、断线时（ARP攻击木马程序运行时）在内网的PC上执行ARP –a 命令，看见网关地址的mac地址信息不是路由器的真实mac地址；
2、内网如果安装sniffer软件的话，可以看到ARP攻击木马程序运行时发出海量的ARP查询信息。
内网被攻击原因：
ARP攻击木马程序（传奇盗号木马）运行时，将自己伪装成路由器，所有内网用户上网从由路由器上网转为从中毒电脑上网，切换过程中用户会断一次线。
过程用户感觉上网非常慢。
当ARP攻击木马程序停止运行时，所有内网用户上网又从由中毒电脑上网转为从路由器上网，切换过程中用户会再断一次线。
在HiPER上的快速诊断：
1、系统状态—系统信息—系统历史纪录内，可以看见大量的mac地址变化信息，且mac地址都变化成进行
ARP攻击那台电脑的mac地址，或者由同一mac地址变回原来的真实mac地址。
MAC Chged 10.128.103.124 */该IP地址的MAC地址发生变化MAC Old 00:01:6c:36:d1:7f */变化前的MAC地址
MAC New 00:05:5d:60:c7:18 */变化后的MAC地址
2、断线时（ARP攻击木马程序运行时），在系统状态—用户统计中，观察到的所有用户的mac地址一致。
内网ARP攻击解决办法：
1、将感染病毒的PC从内网断开，查杀病毒。
2、在PC和路由器上双向绑定对方的IP和MAC地址。
快速确认内网ARP攻击的方法就为大家介绍完了，希望通过以上的介绍能够帮助到大家。
检查和处理ARP地址欺骗的方法
检查和处理“ ARP 欺骗”木马的方法
1、检查本机的“ ARP 欺骗”木马染毒进程
同时按住键盘上的“ CTRL ”和“ ALT ”键再按“ DEL ”键，选择“任务管理器”，点选“进程”标签。
察看其中是否有一个名为“ MIR0.dat ”的进程。
如果有，则说明已经中毒。
右键点击此进程后选择“结束进程”。
2 ．检查网内感染“ ARP 欺骗”木马染毒的计算机
在“开始” - “程序” - “附件”菜单下调出“命令提示符”。
输入并执行以下命令：
ipconfig
记录网关IP 地址，即“ Default Gateway ”对应的值，例如“10.87.58.126 ”。
再输入并执行以下命令：
arp –a
在“ Internet Address ”下找到上步记录的网关IP 地址，记录其
对应的物理地址，即“ Physical Address ”值，例如
“00-00-0c-07-ac-0f ”。
在网络正常时这就是网关的正确物理地址，在网络受“ ARP 欺骗”木马影响而不正常时，它就是木马所在计算机的网卡物理地址。
3 ．设置ARP 表避免“ ARP 欺骗”木马影响的方法
本方法可在一定程度上减轻中木马的其它计算机对本机的影响。
用上边介绍的方法确定正确的网关IP 地址和网关物理地址，然后在“命令提示符”窗口中输入并执行以下命令：
arp –s 网关IP 网关物理地址。
内网遭遇ARP攻击查找妙招
内网遭遇ARP攻击查找妙招
当一个网段有好几台服务器无法上网报障时，有可能是内网ARP，马上telnet 到三层交换机上（二层的不行）用show arp（华为设备用dis arp）可以查看到有几个IP地址的MAC 地址相同；记下这几个IP后马上用show logging 命令（华为设备用dis logbuffer）查看日志你会发现其中有一个IP没有日志报错；这个IP就是内网ARP发起者；马上对它采取措施（交换机上shutdown连接此IP的端口或者直接关闭此IP的服务器查杀ARP后才插网线开机）。
如果某台服务器经常有内网ARP时可以考虑为此服务器单独划分一个VLAN以阻断它对整个网段的影响；然后对它彻底处理。
也可做端口镜像后在PC机上抓包分析；但笔者认为没有上面的方法来行快。
如果没有三层交换设备的网络环境可以直接在PC机上抓包分析后做处理。
从sniffer下手揪出ARP病毒的几种方法
从sniffer下手揪出ARP病毒的几种方法一，ARP欺骗病毒发作迹象一般来说ARP欺骗病毒发作主要有以下几个特点，首先网络速度变得非常缓慢，部分计算机能够正常上网，但是会出现偶尔丢包的现象。
例如ping网关丢包。
而其他大部分计算机是不能够正常上网的，掉包现象危机。
但是这些不能上网的计算机过一段时间又能够自动连上。
ping网关地址会发现延迟波动比较大。
另外即使可以正常上网，象诸如邮箱，论坛等功能的使用依然出现无法正常登录的问题。
二，确认ARP欺骗病毒发作当我们企业网络中出现了和上面描述类似的现象时就需要我们在本机通过arp显示指令来确认病毒的发作了。
第一步：通过“开始->运行”，输入CMD指令后回车。
这样我们将进入命令提示窗口。
第二步：在命令提示窗口中我们输入ARP-A命令来查询本地计算机的ARP 缓存信息。
在显示列表中的physicaladdress列就是某IP对应的MAC地址了。
考试大提示如果企业没有进行任何MAC与IP地址绑定工作的话，ARP模式列显示的都是dynamic动态获得。
当我们发现arp-a指令执行后显示信息网关地址对应的MAC地址和正确的不同时就可以的确定ARP欺骗病毒已经在网络内发作了。
例如正常情况下笔者网络内网关地址192.168.2.1对应的MAC地址是00-10-5C-AC-3D-0A，然而执行后却发现192.168.2.1对应的MAC地址为00-10-5c-ac-31-b6。
网关地址MAC信息错误或变化确认是ARP病毒造成的。
第三步：我们用笔将错误的MAC地址记录下来，为日后通过sniffer排查做准备。
接下来我们就应该利用sniffer这个强健的工具来找出病毒根源了。
三，从sniffer下手揪出ARP病毒一般来说的办法是找一台没有感染病毒的计算机连接到企业核心路由交换设备的镜像端口来抓取数据包。
考试大提示如果没有镜像端口直接连接到网络中抓取也可以，只是所抓数据会不全，分析问题的周期比较长。
教你如何检测内网arp攻击
教你如何检测内网arp攻击【协助工具海蜘蛛】
2010-08-01 12:04
有时网络会出现掉线，有时还会一时可以上一时又上不了。
这可能是受到内网arp攻击，
但是要怎么判断呢？
其实很多路由上都可以直接看出来，下面我做个示例。
如下图，打开路由web控制页面中的信息检测-arp攻击检测，如下图：
设置完后，如果有arp攻击，就会显示出来，如图，内网IP地址为192.168.101.249有arp攻击：
如果以后内网还有掉线现象，检查一下这里就可以了。
另外，在系统设置-报警设置里也可以设置声音报警，如下图：
这样，以后内网一有攻击，路由就会自动报警了，然后看看arp攻击检测，就可以判断是否有arp 攻击了。
判断局域网遭arp攻击
判断局域网遭arp攻击 转
故障现象：机器以前可正常上网的，突然出现可认证，不能上网的现象（无法ping通网关），重启机器或在MSDOS窗口下运行命令ARP -d后，又可恢复上网一段时间。 故障原因：这是APR病毒欺骗攻击造成的。 引起问题的原因一般是由传奇外挂携带的ARP木马攻击。当在局域网内使用上述外挂时，外挂携带的病毒会将该机器的MAC地址映射到网关的IP地址上，向局域网内大量发送ARP包，从而致使同一网段地址内的其它机器误将其作为网关，这就是为什么掉线时内网是互通的，计算机却不能上网的原因。 临时处理对策： 步骤一. 在能上网时，进入MS-DOS窗口，输入命令：arp –a 查看网关IP对应的正确MAC地址，将其记录下来。 注：如果已经不能上网，则先运行一次命令arp –d将arp缓存中的内容删空，计算机可暂时恢复上网（攻击如果不停止的话），一旦能上网就立即将网络断掉（禁用网卡或拔掉网线），再运行arp –a。 步骤二. 如果已经有网关的正确MAC地址，在不能上网时，手工将网关IP和正确MAC绑定，可确保计算机不再被攻击影响。手工绑定可在MS-DOS窗口下运行以下命令： arp –s 网关IP 网关MAC 例如：假设计算机所处网段的网关为218.197.192.254，本机地址为218.197.192.1在计算机上运行arp –a后输出如下： C:\Documents and Settings>arp -a Interface: 218.197.192.1 --- 0x2 Internet Address Physical Address Type 218.197.192.254 00-01-02-03-04-05 dynamic 其中00-01-02-03-04-05就是网关218.197.192.254对应的MAC地址，类型是动态（dynamic），因此是可被改变。被攻击后，再用该命令查看，就会发现该MAC已经被替换成攻击机器的MAC，如果大家希望能找出攻击机器，彻底根除攻击，可以在此时将该MAC记录下来，为以后查找做准备。 手工绑定的命令为： arp –s 218.197.192.254 00-01-02-03-04-05 绑定完，可再用arp –a查看arp缓存， C:\Documents and Settings>arp -a Interface: 218.197.192.1 --- 0x2 Internet Address Physical Address Type 218.197.192.254 00-01-02-03-04-05 static 这时，类型变为静态（static），就不会再受攻击影响了。但是，需要说明的是，手工绑定在计算机关机重开机后就会失效，需要再绑定。所以，要彻底根除攻击，只有找出网段内被病毒感染的计算机，令其杀毒，方可解决。找出病毒计算机的方法： 如果已有病毒计算机的MAC地址，可使用NBTSCAN软件找出网段内与该MAC地址对应的IP，即病毒计算机的IP地址，然后可报告校网络中心对其进行查封。 NBTSCAN的使用方法：下载nbtscan.rar到硬盘后解压，然后将cygwin1.dll和nbtscan.exe两文件拷贝到c:\windows\system32(或system)下，进入MSDOS窗口就可以输入命令： nbtscan -r 218.197.192.0/24
局域网中检测以及预防ARP病毒的方法
? (192.168.64.63) at 00:11:5B:9A:DC:DC [ether] on eth5
? (192.168.64.192) at 00:15:58:D6:FE:15 病毒的方法
我在网络维护工作中遇到过三种类型的ARP病毒：
第一种：病毒主机只冒充网关IP地址。我们在核心三层交换机上可以看到病毒主机与网关地址冲突的日志，我们通过其MAC地址就能找到病毒主机所在的交换机，然后把端口shutdown，消除病毒主机对网络的影响，然后就可以去上门杀毒。如果其他用户的电脑事先把网关的MAC地址做了ARP绑定，那么病毒主机其实就影响不到它。安装了AntiARP之类的软件也能起到预防的效果。
的用户打电话报故障。要么就在很多台电脑上用arp -s的命令绑定防火墙的MAC地址，或者大量安装AntiARP软件，这样有病毒时，这些做了ARP绑定以及装了AntiARP软件的电脑就会无法上网，从而有助于网管尽快发现病毒主机。
把上面的ARP信息表拷贝下来，保存到一个文本文件里。然后用Excel打开它，选择根据空格符分列，然后根据MAC地址排序，我们就会很容易发现有不少IP地址的MAC地址相同，那么这个MAC地址就是病毒主机了。
第二种：病毒主机疯狂地与全网所有IP地址进行冲突。我们在核心交换机上可以看到大量的IP冲突信息，而且遭受冲突的IP地址是一轮一轮循环的，但所有的冲突源却都是同一个MAC地址，那就是病毒主机。遭受到IP冲突攻击的电脑往往会突然有几秒钟网络不通，然后恢复正常，几分钟后，下一轮冲突开始，又会断网几分钟，比较烦人。同样，我们可以通过MAC地址就找到病毒主机所在的交换机，然后把端口shutdown，消除病毒主机对网络的影响，然后就可以去上门杀毒。对于这一种病毒，即使装了AntiARP之类的软件，效果也不大，甚至在交换机上做MAC地址绑定都用处不大，只能尽早发现病毒源尽快处理才行。
如何查看局域网arp网络状况_局域网arp攻击检测
如何查看局域网arp网络状况_局域网arp攻击检测
局域网之间通信就是基于mac地址的广播或多播等方式进行的。
而最主要的通信协议就是arp协议。
查看局域网arp网络状况的方法其实很简单，下面由小编告诉你!
查看局域网arp网络状况的方法
打开桌面，点击开始，在开始中点击运行，输入cmd，回车。
在cmd中输入ipconfig /all ，可以看到本机的IP地址。
本机的IP地址如下：
本机的mac地址如下：
mac地址是由6组16进制数组成的地址数据，共48位数据。
通过在cmd中输入arp -a 可以查看本地存储的arp地址数据。
当局域网中出现arp地址欺骗的时候，可以通过arp -d命令将本地存储的arp地址全部清空，重新获取。
重新查看arp地址列表。
通过重新获取arp地址列表，可以解决网络突然掉线的问题。
主要就是防止别的计算机模拟网关来欺骗本机电脑，本地的数据包数据都放到了别的计算机上，而没有发往网关，因
此也就上不了网了。
arp地址列表一清空，重新获取，恢复正常。
看了如何查看局域网arp网络状况的人还看了
1.局域网断网ARP攻击如何检测和修复
2.怎么追踪并查杀局域网ARP病毒
3.如何在命令行下查看局域网内IP地址
4.局域网受到ARP断网攻击怎么办
感谢您的阅读！。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
如何能够快速检测定位出局域网中的ARP病毒电脑？面对着局域网中成百台电脑，一个一个地检测显然不是好办法。
其实我们只要利用ARP 病毒的基本原理：发送伪造的ARP欺骗广播，中毒电脑自身伪装成网关的特性，就可以快速锁定中毒电脑。
识别ARP
可以设想用程序来实现以下功能：在网络正常的时候，牢牢记住正确的网关IP地址和MAC地址，并且实时监控来自全网的ARP数据包。
当发现有某个ARP数据包广播，来自正确网关IP地址其MAC地址竟然是其它电脑的MAC地址的时候，ARP欺骗发生了。
对此可疑MAC地址报警，在根据网络正常时候的IP－MAC地址对照表查询该电脑，定位出其IP地址，这样就定位出中毒电脑了。
一般情况下，被ARP被攻击后，局域网内会出现以下两种现象：
1、不断弹出―本机的XXX段硬件地址与网络中的XXX段地址冲突‖的对话框。
2、计算机不能正常上网，出现网络中断的症状。
很多管理员认为有高级功能防火墙，可以得到相应的保护，恰恰相反，防火墙会误以为这是正常的请求数据包，不予拦截。
由此而见，需要我们找到问题根源，找到源头，才能真正解决问题所在。
当你的局域网内出现上面症状后，根据局域网大小，方可使用以下三种方法来检测ARP中毒电脑：
检测ARP攻击
一、工具软件法：网上已经有很多ARP病毒定位工具软件，目前网络中做得较好的是ARP防火墙。
打开ARP防火墙，输入网关IP地址后，再点击红色框内的―枚举MAC‖按钮，即可获得正确网关的MAC地址，接着点击―自动保护‖按钮，即可保护当前网卡与网关的正常通信。
当局域网中存在ARP欺骗时，该数据包会被Anti ARP Sniffer记录，该软件会以气泡的形式报警。
这时，我们再根据欺骗机的MAC地址，对比查找全网的IP－MAC地址对照表，即可快速定位出中毒电脑。
二、命令行法：在受影响的电脑中查询一下当前网关的MAC地址，就知道中毒电脑的MAC地址了，在cmd命令提示行下输入查询命令为arp －a。
这时，由于这个电脑的ARP表是错误的记录，因此，该MAC 地址不是真正网关的MAC地址，而是中毒电脑的MAC地址！这时在根据全网的IP—MAC地址对照表，查找中毒电脑的IP地址就可以了。
如果我们没有对IP地址和MAC地址进行绑定，甚至MAC地址也没有记录，此时就可以使用以下策略：在能上网的计算机上，进入MS-DOS窗口，输入命令：arp –a 查看网关IP对应的正确MAC地址，将其记录下来；如果已经不能上网，则先运行一次命令arp –d将arp缓存中的内容删空，计算机可暂时恢复上网，一旦能上网就立即将网络断掉，再运行arp –a。
三、Sniffer 抓包嗅探法：当局域网中有ARP病毒欺骗时，往往伴随着大量的ARP欺骗广播数据包，这时，流量检测机制应该能够很好的检测出网络的异常举动。
局域网中有电脑发送ARP广播包的情况是存在的，但是如果不停的大量发送，就很可疑了。
如此台192.168.0.109 电脑正是一个ARP中毒电脑。
此时利用网络监视器就可以抓取网络中的数据包，先查出发送arp数据的电脑的IP(可能是假的)及MAC 地址，然后找对应的机器就很容易找到中毒的机器了。
ARP病毒的清除
处理原则：及时恢复网络，再查找根源，最后清除病毒。
比如：有一台计算机中ARP病毒后，第一时间不能确定具体的那台计算机，这种情况下，可先保证网络正常运行：
一、在中毒客户端主机运行arp -d ，清除arp列表，可暂时恢复该主机正常网络通讯。
二、在中毒客户端主机进行针对网关的静态IP-MAC地址绑定，命令arp -s 网关ip 网关mac，为避免计算机重启后记录失效，可编写一个批处理文件rarp1.bat，内容如下：
@echo off
arp –d
arp -s 您自己的网关Ip地址和MAC地址
将这个批处理软件拖到―windows--开始--程序--启动‖中。
三、编写一个批处理，定时刷新arp缓存表
脚本代码如下: 主程序arp.bat
@echo off
cscript sleep.vbs
arp –d
exit
辅助计时程序sleep.vbs
wscript.sleep 3000
就这样，把代码复制到记事本里，然后分别保存为arp3.bat，其中的3000 是指ARP更新的时间。
然后根据定位端口的方式找到病毒源，给予清除。
ARP病毒的防御
设置静态的MAC-->IP对应表，不要让主机刷新你设定好的转换表。
除非很有必要，否则停止使用ARP，将ARP做为永久条目保存在对应表中。
在使用ARP服务器时应通过该服务器查找自己的ARP转换表来响应其他机器的ARP广播，确保ARP服务器不被黑。
并且使用硬件屏蔽主机，首先设置好路由，确保IP地址能到达合法的路径（静态配置路由ARP条目）。
如：华为的H3C AR 18-6X 系列全千兆以太网路由器就可以实现局域网中的ARP病毒免疫，该路由器提供MAC和IP地址绑定功能，可以根据用户的配置，在特定的IP地址和MAC地址之间形成关联关系。
对于声称从这个IP地址发送的报文，如果其MAC地址不是指定关系对中的地址，路由器将予以丢弃，是避免IP地址假冒攻击的一种方式。
其次管理员定期用响应的IP包中获得一个rarp请求，然后检查ARP响应的真实性，并检查主机上的ARP缓存。
安全建议
一、在网络正常时候保存好全网的IP—MAC地址对照表，这样在查找ARP中毒电脑时很方便。
二、都全网的电脑都打上MS06-014和MS07-017这两个补丁，包括所有的客户端和服务器，以免感染网页木马。
三、部署网络流量检测设备，时刻监视全网的ARP广播包，查看其MAC地址是否正确。
四、做好IP—MAC地址的绑定工作，对于从这个IP地址发送的报文，如果其MAC地址不是指定关系对中的地址，予以丢弃。
五、部署网络版的杀毒软件，定期升级病毒库，定期全网杀毒。