检查和处理“arp欺骗”木马的方法

1、检查和处理“ arp欺骗”木马的方法检查和处理“ arp欺骗”木马的方法 发表于2011年10月11日市tnt 如果你发现经常网络掉线，或者发现自己的网站所有页面都被挂马， 但到服务器上，查看页面源代码，却找不到挂马代码，就要考虑到是 否自己机器或者同一 ip段中其他机器是否中了 arp病毒。除了装arp 防火墙以外，还可以通过绑定网关的ip和mac来预防一下。这个方 法在局域网中比较适用：你所在的局域网里面有一台机器中了 arp病毒，它伪装成网关， 你上网就会通过那台中毒的机器，然后它过一会儿掉一次线来骗取别 的机器的帐戸密码什么的东西。下面是手动处理方法的简要说明：如何检查和处理“ arp

2、欺骗”木马的方法1. 检查本机的“ arp欺骗”木马染毒进程同时按住键盘上的“ ctrl ”和“ alt ”键再按“ del ”键， 选择“任务管理器”，点选“进程”标签。察看其中是否有一个名为 "miro, dat ”的进程。如果有，则说明已经中毒。右键点击此进程 后选择“结束进程”。2. 检查网内感染“ arp欺骗”木马染毒的计算机在“开始” -“程序”-“附件”菜单下调出“命令提示符” o输入并执行以下命令：ipconfig记录网关ip地址，即“ default gateway ”对应的值,例如 “ 59.66.36.1 " o再输入并执行以下命令：arp 一 a在“

3、internet address ”下找到上步记录的网关ip地址，记 录其对应的物理地址，即“ physical address ”值，例如“ 00-01-e8-if-35-54 ”。在网络正常时这就是网关的正确物理地 址，在网络受“ arp欺骗”木马影响而不止常时，它就是木马所在 计算机的网卡物理地址。也可以扫描本子网内的全部ip地址，然后再查arp表。如果 有一个ip对应的物理地址与网关的相同，那么这个ip地址和物理 地址就是中毒计算机的ip地址和网卡物理地址。3. 设置arp表避免“ arp欺骗”木马影响的方法本方法可在一定程度上减轻中木马的其它计算机对本机的影响。 用上边介绍的方法确定

4、正确的网关ip地址和网关物理地址，然后在“命令提示符”窗口中输入并执行以下命令：arp -s网关ip网关物理地址4. 静态arp绑定网关步骤一：在能正常上网时，进入ms-dos窗口，输入命令：arp -a,查看 网关的ip对应的正确mac地址，并将其记录下來。注意：如果已经不能上网，则先运行一次命令arp d将arp缓 存中的内容删空，计算机可暂吋恢复上网（攻击如果不停止的话）。 一旦能上网就立即将网络断掉（禁用网卡或拔掉网线）,再运行arp ho步骤二如果计算机已经有网关的止确mac地址，在不能上网只需手工将 网关ip和正确的mac地址绑定，即可确保计算机不再被欺骗攻击。要想手工绑定，可在m

5、s-dos窗口下运行以下命令：arp -s网关ip网关mac例如:假设计算机所处网段的网关为192. 168. 1. 1,本机地址为192. 168. 1. 5,在计算机上运行arp a后输出如下：cocuments and settings>arp -ainterface: 192. 168. 1. 5 一 0x2internet address physical address type192.168. 1. 1 00-01-02-03-04-05 dynamic其中，00-01-02-03-04-05 就是网关 192. 168. 1. 1 对应的 mac 地 址，类型是动态(dy

6、namic)的，因此是可被改变的。被攻击后，再用该命令查看，就会发现该mac已经被替换成攻击 机器的mac。如果希望能找出攻击机器，彻底根除攻击，可以在此吋 将该mac记录下來，为以后查找该攻击的机器做准备。手工绑定的命令为：arp -s 192. 168. 1. 1 00-01-02-03-04-05绑定完，可再用arp a查看arp缓存：cocuments and settings>arp -ainterface: 192. 16& 1. 5 一 0x2internet address physical address type192.168. 1.1 00-01-02-03-04-05 static这吋，类型变为静态(static),就不会再受攻击影响了。但是，需要说明的是，手工绑定在计算机关机重启后就会失效， 需要再次重新绑定，不过也可以写个批处理，拖到启动中。脚木如下:echo off