SCM中转库操作手册(集合版)121205

分发编号：WI-A0011.SCM中转库系统操作手册文件编号：SHNS-C-IT-SCM-B011制定日期：2012-12-07版数/改号：1/0页1数：共页上海日精仪器有限公司

SCM中转库系统操作手册目录HYPERLINK一、客户端设置、打印软件安装及登录中转库系统使用准备操作流程（上海日精及中转库使用）HYPERLINK二、上海日精仪器营销仓库成品发中转库操作流程（上海日精专用）HYPERLINK三、中转库收货操作及库存查询操作流程（中转库专用）HYPERLINK四、中转库物料出库操作流程（中转库专用）HYPERLINK五、中转库每月库存盘点操作、财务部门确认操作流程（上海日精及中转库使用）HYPERLINK六、中转库移库操作流程（中转库专用）HYPERLINK七、计划外出入库操作流程（上海日精专用）HYPERLINK八、换箱标签打印流程（中转库专用）HYPERLINK九、中转库客户退货操作流程（中转库专用）HYPERLINK十、中转库客户调货操作流程（中转库专用）十一、中转库与上海日精月底对账流程

一.客户端设置、软件安装与登录系统1.1设置IE浏览器（使用windows系统自带的IE浏览器必须设置，如使用其他浏览器请供应商网管同时取消其他浏览器的广告拦截功能），scm中转库系统目前不支持火狐浏览器。1.2使用SCM中转库系统的电脑必须安装pdf阅读软件（免费官方下载地址：/cn/reader/下载后按默认方式安装即可）1.3登陆SCM中转库系统1.3.1登陆上海日精仪器有限公司网站：/单击“SHNS_SV”按钮1.3.2按照系统提示安装所以插件，点击“继续浏览此网站。”1.3.3进入上海日精VPN系统登陆界面，输入VPN账号和密码1.3.4单击选择“SHNS_SCM系统”进入上海日精仪器有限公司“SCM中转库管理系统”1.3.5进入SCM中转库管理系统后，输入系统的用户和密码。二、上海日精营销仓库成品发中转库操作2.0上海日精营销仓库成品发中转库流程图2.1上海日精成品库管理员维护“中转库货运单”2.2选择是否完成此货运单的备货，完成备货后，不能在对此货运单进行修改，输入YES表示完成备货并关闭货运单，选择NO则可以继续维护货运单2.3选择是否打印货运单，该货运单只能在“维护”界面打印一次，补打或者重新打印需要到补打菜单进行补打字段名称扫描操作说明单N回车自动产生fh开头、以yymm999的形式产生单号状态N自动产生，A状态为维护状态,B为可以同步状态,C为发货完成状态自库:Y扫描要从那个库位出货的库位号，一般为1100库位至点Y扫描中转库在途库库位，一般为12XXA形式序号N自动产生：此中转单据的序号件Y物料号优先批N自动产生：条码系统中件的最优先的批次库存N自动产生：条码系统中件的最优先的批次的库存量批:N本次发货的批次数量Y本次发货的数量箱数Y本次维护的批次物料的箱数，自动带出但可以修改是否完成备货？YYES则完成备货,不能再修改此单;NO则可以再次进行备货修改此单是否打印此单？YYES则打印此单，NO则不打印此单

2.4中转单货运单补打字段名称扫描操作说明单号:Y输入要补打的货运单号是否打印？YYES则打印此单，NO则不打印此单2.5中转库货运单报字段名称扫描操作说明单号:N中转库货运单号物料号N发运到中转库的成品物料生效日期Y中转库货运单维护的日期，只要输入这个条件便可！移入库位N在途库位，例如12xxA批:N批次SCM同步结果Y一般使用默认0，只查询失败的同步数据QAD同步状态N默认查询全部三、中转库收货操作及库存查询操作流程3.0中转库收货操作及库存查询操作流程3.1“出货单收货”对上海日精发运到中转仓库的成品进行收货确认字段名称输入操作说明出货单号Y中转库接收的到上海日精《发货单》单号，一般以fh开头出货时间N上海日精《发货单》单号上标注的“打印日期”物料号N物料号批号N物料批次状态:Y上海日精《发货单》的状态

3.2对上海日精“出货单收货”后，查询中转库库存结果字段名称输入操作说明供应商库位Y中转库库位，一般包括12xxA（在途库位）、12xx（中转库位）、12xxB（中转待处理库位）及13xx（主机厂库位）物料号N物料号批号N物料批次是否显示数量0:N是否显示数量为0的物料库存

四、中转库物料出库流程4.0中转库物料出库流程4.1出库单维护字段名称输入操作说明出货单号:N自动产生F开头，年+月+日999的形式产生出货地点N自动产生：中转库地点出货库位N自动产生：中转库地点的对应库位，包含12xx与12xxB库状态N自动产生发往地点:Y主机厂代码D13xx或者上海日精仪器代码1发往库位N自动产生备注Y备注行号N序号零件Y本次出货的物料单位N自动产生出货总量Y这个物料一共要出货的数量短缺量N这个物料未发货的量行号N自动产生优先批号N12XX库位，发货物料的最优先批号优先批可用量N12XX库位，发货物料的最优先批号的可用数量批号Y本次发货的实际批次出货数量Y发货数量箱数Y箱数

4.2“出货单确认”：统计人员先打印出“出货单”，仓库人员进行备货送货，待“主机厂收货确认单”和“SCM出货单”一同签字返回后，统计员对已签字的的“SCM出货单”进行确认，并将“主机厂收货确认单”和“SCM出货单”装订存档并进行SCM系统确认。确认后不能再进行“出货单”打印。若SCM无客户签字，则必须将主机厂收货确认单附在SCM出货单的后面一起装订并存档。字段名称输入操作说明出货单号:N出货单号出货时间N出货单维护的时间物料号N物料号批号N出货批次状态Y出货单状态五、中转库每月库存盘点操作手册及查询操作5.0中转库每月库存盘点流程5.1打印盘点清单，选择要盘点的库位进行查询，并打印出盘点清单（可以将PDF保存下来）5.2盘点清单打印出来后请一定要记住“盘点单号”，盘点单号以P+年+月+日+序号的格式产生字段名称输入操作说明盘点地点Y中转库地点库位Y本次盘点的库位物料N本次盘点的物料号，不输入的情况为盘点整个库位批号:N本次次盘点的物料号的批号，不输入的情况为盘点整个库位5.3盘点结果输入（仓库），选择状态为“盘点中”，查询出已经打印出来的，“最新的”盘点清单，待仓库人员盘点完成，盘点负责领导确认后，由系统录入员录入盘点数据，录入完成并打印出盘点差异单，盘点差异单和盘点清单确认无误后才能确认,确认后表明中转库接受此盘点结果，上海日精仪器将对盘点的差异进行相关操作。5.4必须输入已经打印的“盘点单号”5.5增加盘点清单上不存在，而实际盘点有的产品。注意：增加成品物料时候，务必看清“物料号”和“批次”。5.6盘点结果录入完成后打印盘点差异单，确认盘点差异单和盘点清单上的数据一致后才能确认。5.7完成盘点确认盘点结果与盘点录入数据一致，保存并确认盘点结果（确认后不能再对盘点结果进行修改，请务必检查清楚后再进行确认）字段名称输入操作说明盘点单号Y盘点单号库位N本次盘点的库位物料N本次盘点的物料号，不输入的情况为当前盘点单批号:N本次次盘点的物料号的批号，不输入的情况为当前盘点单状态Y盘点单状态

5.8盘点结果确认（财务）查询出中转库盘点状态为“盘点完成”的盘点单号，根据盘点单号进行确认，在“备注”栏位输入相关信息后，对其进行确认，确认完成进行差异报表打印，然后进行财务索赔等工作字段名称输入操作说明盘点单号Y盘点单号库位N本次盘点的库位物料N本次盘点的物料号，不输入的情况为当前盘点单批号:N本次次盘点的物料号的批号，不输入的情况为当前盘点单状态Y盘点单状态六、中转库移库操作流程6.06.1中转库移库“移出库位”与“移至库位”必须是12xx或12xxB，不能是12xxA(在途库)；可以不按照优先批次进行移库；“备注”可以输入相关移库的原因；移库单可以不打印，驻在员取货情况做移库操作必须备注人为控制必填并必须打印。打印按钮在单据确认后方可使用。字段名称输入操作说明单号N自动生成：单号移出库位Y务必是12xx或12xxB库位移至库位Y务必是12xx或12xxB库位零件Y本次移库的物料号批号:Y本次次移库的物料号的批号，可以不按照先进先出的优先批次移库可移库数量Y该批次的可移库数量状态N单据状态移至批号Y如果不是变更批次，一定要输入与实物一致的批号；如果是变更批次的移库，要输入新的批次号，并更换实物的标签，做到账物一致移库数量Y本次移库的实际数量备注Y输入移库的原因，以便进行跟踪

七、计划外出入库操作流程7.0计划外出入库操作流程7.1计划外出入库操作首先是由上海日精营销部发起申请，进行“计划外出入库维护”7.2维护“出入库类型”时一定要看清楚，最好一张单子是一种类型。“备注”必须写清楚出入库的原因 7.3只有“提交”之后，系统提示是否打印，请务必打印出“计划外出入库“单，并在相关栏位签字确认。如果没有打印可以在财务界面补打，只有提交后上海日精财务才能看到相关的单据字段名称输入操作说明单号N自动生成：单号，以J字母开头状态N默认状态行号N序号计划外Y计划外出入库的类型，最好一张单子是一种类型库位Y进行计划外出入库的库位物料号Y本次计划外出入库的物料号批号:Y本次计划外出入库的物料号的批号，可以不按照先进先出的优先批次移库数量Y该批次的数量备注Y输入计划外出入库的原因，以便进行跟踪7.4计划外出入库操作维护结束后，营销通知财务，财务人员根据SCM上的相关单号，在QAD系统（3.7计划外出库和3.9计划外入库进行操作）进行“计划外出入库确认”。QAD计划外出库操作详见：WI-B1012.计划外出库手册.docQAD计划外入库操作详见：WI-B1013.计划外入库手册.doc7.5财务在QAD计划出入库完毕后，查询出营销提出的“计划外出入库“申请单，对相关单据进行确认。7.6确认完毕，对“计划外出入库“单进行签字，并存档保存。字段名称输入操作说明单号N单号，以J字母开头物料号N本次计划外出入库的物料号批号:N本次计划外出入库的物料号的批号，可以不按照先进先出的优先批次移库状态Y财务人员只能在“已提交”的状态进行确认。八、换箱标签打印流程8.0换箱标签打印流程8.1标签内容维护，图号、机种、批号按原标签进行输入；箱号按新箱号进行输入；输入员工与单位默认；字段名称输入操作说明物料号Y本次标签打印的物料号版本N目前为空，不输入。员工N默认，不可修改。数量Y一张标签（一个箱子一张标签）上物料的总数批号:Y本次标签打印物料号的批号单位N默认，不可修改。机种Y主机厂的客户号，按原标签输入箱号Y新生成的箱号，可按照原标签箱号-序号输入,例如原箱号A新A-1份数Y1份就是一张A4纸,一张A4纸可以打印8张标签,可供8个箱子使用名称N默认，不可修改。

8.2标签样式九、客户退货流程9.0客户退货流程9.1主机厂可以要求进行退货，中转库统计员进行“客户退货维护”9.2主机厂客户退回的物料会直接进入12xxB库位，退回的物料也必须是13xx客户库位必须有的批次和数量

9.3统计员在维护结束后，进行提交并打印出“退货单”字段名称输入操作说明退货单号:N自动产生T开头，年+月+日999的形式产生出货地点Y主机厂地点代码出货库位Y自动产生：中转库地点的对应库位，一定是12xxB库状态N自动产生发往地点:Y中转库地点发往库位N自动产生备注Y备注行号N物料序号物料号Y本次出货的物料单位N自动产生行号N批号序号批号Y本次退货的实际批次，必须在13xx库有对应的批次和库存退货数量Y退货数量箱数Y箱数自动计算但可以修改

9.4主机厂客户退货确认

字段名称输入操作说明退货单号:N退回单号退货时间N退货单生成的时间物料号N物料号批号N提示本次操作成功状态Y退货单状态十、客户调货流程10.0客户调货流程10.1主机厂厂客户调货维护9.2“退货批次”必须是13xx库存在的批次和数量，“发货批次”必须是12xx库存在的批次和数量字段名称输入操作说明调货单号:N自动产生D开头，年+月+日999的形式产生出货地点N自动产生：中转库地点出货库位N自动产生：中转库地点的对应库位，只能是12xx库状态N自动产生发往地点:Y主机厂地点代码发往库位N自动产生备注Y备注行号N序号零件Y本次出货的物料单位N自动产生行号N自动产生退货批号N本次退货的实际批次发货批号Y12XX库位，发货物料的最优先批号调货数量Y调货数量箱数Y箱数自动计算但可修改9.3对主机厂客户调货单进行确认9.4打印出客户调货单进行签字确认字段名称输入操作说明调货单号:N调货单号出货时间N调货单号维护的时间物料号N物料号批号N物料批次号状态Y调货单状态附录资料：不需要的可以自行删除超全ARP知识什么是ARPARP（AddressResolutionProtocol）是地址解析协议，是一种将IP地址转化成物理地址的协议。从IP地址到物理地址的映射有两种方式：表格方式和非表格方式。ARP具体说来就是将网络层（也就是相当于OSI的第三层）地址解析为数据链路层（也就是相当于OSI的第二层）的物理地址(注:此处物理地址并不一定指MAC地址)。ARP原理：某机器A要向主机B发送报文，会查询本地的ARP缓存表，找到B的IP地址对应的MAC地址后，就会进行数据传输。如果未找到，则广播A一个ARP请求报文（携带主机A的IP地址Ia——物理地址Pa），请求IP地址为Ib的主机B回答物理地址Pb。网上所有主机包括B都收到ARP请求，但只有主机B识别自己的IP地址，于是向A主机发回一个ARP响应报文。其中就包含有B的MAC地址，A接收到B的应答后，就会更新本地的ARP缓存。接着使用这个MAC地址发送数据（由网卡附加MAC地址）。因此，本地高速缓存的这个ARP表是本地网络流通的基础，而且这个缓存是动态的。ARP协议并不只在发送了ARP请求才接收ARP应答。当计算机接收到ARP应答数据包的时候，就会对本地的ARP缓存进行更新，将应答中的IP和MAC地址存储在ARP缓存中。因此，当局域网中的某台机器B向A发送一个自己伪造的ARP应答，而如果这个应答是B冒充C伪造来的，即IP地址为C的IP，而MAC地址是伪造的，则当A接收到B伪造的ARP应答后，就会更新本地的ARP缓存，这样在A看来C的IP地址没有变，而它的MAC地址已经不是原来那个了。由于局域网的网络流通不是根据IP地址进行，而是按照MAC地址进行传输。所以，那个伪造出来的MAC地址在A上被改变成一个不存在的MAC地址，这样就会造成网络不通，导致A不能Ping通C！这就是一个简单的ARP欺骗。（读者注：某机器A利用其它某机器B的IP地址和一个事实上并不存在的MAC地下向另一台机器C发出ARP请求，导致C中的ARP缓存表的错误映射，称为ARP欺骗）ARP协议的工作原理在每台装有tcp/ip协议的电脑里都有一个ARP缓存表，表里的ip地址与mac地址是一一对应的，如图。arp缓存表以主机A（）向主机B（）发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了，也就知道了目标的MAC地址，直接把目标的MAC地址写入帧里面发送就可以了；如果在ARP缓存表里面没有目标的IP地址，主机A就会在网络上发送一个广播,目标MAC地址是“ff-ff-ff-ff-ff-ff”，这表示向同一网段的所有主机发出这样的询问：“的mac地址是什么呀？”网络上的其他主机并不回应这一询问，只有主机B接受到这个帧时才向A作出回应：“的MAC地址是00-aa-0-62-c6-09。（如上表）”这样，主机A就知道了主机B的MAC地址，就可以向主机B发送信息了。同时，它还更新了自己的ARP缓存表，下次再向B发送数据时，直接在ARP缓存表找就可以了。ARP缓存表采用老化的机制，在一段时间里表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询的速度。如何查看ARP缓存表ARP缓存表示可以查看的，也可以添加和修改。在命令提示符下，输入“arp-a”就可以查看arp缓存表的内容了。用“arp-d”可以删除arp缓存表里的所有内容。用“arp-s“可以手动在arp表中制定ip地址与MAC地址的对应关系。ARP欺骗的种类ARP欺骗是黑客常用的攻击手段之一，ARP欺骗分为二种，一种是对路由器ARP表的欺骗；另一种是对内网PC的网关欺骗。第一种ARP欺骗的原理是——截获网关数据。它通知路由器一系列错误的内网MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新保存在路由器中，结果路由器的所有数据只能发送给错误的MAC地址，造成正常PC无法收到信息。第二种ARP欺骗的原理是——伪造网关。它的原理是建立假网关，让被它欺骗的PC向假网关发数据，而不是通过正常的路由器途径上网。在PC看来，就是上不了网了，“网络掉线了”。一般来说，ARP欺骗攻击的后果非常严重，大多数情况下会造成大面积掉线。有些网管员对此不甚了解，出现故障时，认为PC没有问题，交换机没掉线的“本事”，电信也不承认宽带故障。而且如果第一种ARP欺骗发生时，只要重启路由器，网络就能全面恢复，那问题一定是在路由器了。为此，宽带路由器背了不少“黑锅”。arp欺骗－网络执法官的原理在网络执法官中，要想限制某台机器上网，只要点击"网卡"菜单中的"权限"，选择指定的网卡号或在用户列表中点击该网卡所在行，从右键菜单中选择"权限"，在弹出的对话框中即可限制该用户的权限。对于未登记网卡，可以这样限定其上线：只要设定好所有已知用户（登记）后，将网卡的默认权限改为禁止上线即可阻止所有未知的网卡上线。使用这两个功能就可限制用户上网。其原理是通过ARP欺骗发给被攻击的电脑一个假的网关IP地址对应的MAC，使其找不到网关真正的MAC地址，这样就可以禁止其上网。修改MAC地址突破网络执法官的封锁根据上面的分析，我们不难得出结论：只要修改MAC地址，就可以骗过网络执法官的扫描，从而达到突破封锁的目的。下面是修改网卡MAC地址的方法：在"开始"菜单的"运行"中输入regedit，打开注册表编辑器，展开注册表到：HKEY_LOCAL_MACHINE/System/CurrentControlSet/Control/Class/子键，在子键下的0000，0001，0002等分支中查找DriverDesc（如果你有一块以上的网卡，就有0001，0002......在这里保存了有关你的网卡的信息，其中的DriverDesc内容就是网卡的信息描述，比如我的网卡是Intel21041basedEthernetController），在这里假设你的网卡在0000子键。在0000子键下添加一个字符串，命名为"NetworkAddress"，键值为修改后的MAC地址，要求为连续的12个16进制数。然后在"0000"子键下的NDI/params中新建一项名为NetworkAddress的子键，在该子键下添加名为"default"的字符串，键值为修改后的MAC地址。在NetworkAddress的子键下继续建立名为"ParamDesc"的字符串，其作用为指定NetworkAddress的描述，其值可为"MACAddress"。这样以后打开网络邻居的"属性"，双击相应的网卡就会发现有一个"高级"设置，其下存在MACAddress的选项，它就是你在注册表中加入的新项"NetworkAddress"，以后只要在此修改MAC地址就可以了。关闭注册表，重新启动，你的网卡地址已改。打开网络邻居的属性，双击相应网卡项会发现有一个MACAddress的高级设置项，用于直接修改MAC地址。MAC地址也叫物理地址、硬件地址或链路地址，由网络设备制造商生产时写在硬件内部。这个地址与网络无关，即无论将带有这个地址的硬件（如网卡、集线器、路由器等）接入到网络的何处，它都有相同的MAC地址，MAC地址一般不可改变，不能由用户自己设定。MAC地址通常表示为12个16进制数，每2个16进制数之间用冒号隔开，如：08:00:20:0A:8C:6D就是一个MAC地址，其中前6位16进制数，08:00:20代表网络硬件制造商的编号，它由IEEE分配，而后3位16进制数0A:8C:6D代表该制造商所制造的某个网络产品（如网卡）的系列号。每个网络制造商必须确保它所制造的每个以太网设备都具有相同的前三字节以及不同的后三个字节。这样就可保证世界上每个以太网设备都具有唯一的MAC地址。另外，网络执法官的原理是通过ARP欺骗发给某台电脑有关假的网关IP地址所对应的MAC地址，使其找不到网关真正的MAC地址。因此，只要我们修改IP到MAC的映射就可使网络执法官的ARP欺骗失效，就隔开突破它的限制。你可以事先Ping一下网关，然后再用ARP-a命令得到网关的MAC地址，最后用ARP-sIP网卡MAC地址命令把网关的IP地址和它的MAC地址映射起来就可以了。找到使你无法上网的对方解除了网络执法官的封锁后，我们可以利用Arpkiller的"Sniffer杀手"扫描整个局域网IP段，然后查找处在"混杂"模式下的计算机，就可以发现对方了。具体方法是：运行Arpkiller（图2），然后点击"Sniffer监测工具"，在出现的"Sniffer杀手"窗口中输入检测的起始和终止IP（图3），单击"开始检测"就可以了。检测完成后，如果相应的IP是绿帽子图标，说明这个IP处于正常模式，如果是红帽子则说明该网卡处于混杂模式。它就是我们的目标，就是这个家伙在用网络执法官在捣乱。局域网ARP欺骗的应对一、故障现象及原因分析情况一、当局域网内某台主机感染了ARP病毒时，会向本局域网内（指某一网段，比如：这一段）所有主机发送ARP欺骗攻击谎称自己是这个网端的网关设备，让原本流向网关的流量改道流向病毒主机，造成受害者正常上网。情况二、局域网内有某些用户使用了ARP欺骗程序（如：网络执法官,QQ盗号软件等）发送ARP欺骗数据包，致使被攻击的电脑出现突然不能上网，过一段时间又能上网，反复掉线的现象。关于APR欺骗的具体原理请看我收集的资料ARP欺骗的原理二、故障诊断如果用户发现以上疑似情况，可以通过如下操作进行诊断：点击“开始”按钮->选择“运行”->输入“arp–d”->点击“确定”按钮，然后重新尝试上网，如果能恢复正常，则说明此次掉线可能是受ARP欺骗所致。注：arp-d命令用于清除并重建本机arp表。arp–d命令并不能抵御ARP欺骗，执行后仍有可能再次遭受ARP攻击。三、故障处理1、中毒者：建议使用趋势科技SysClean工具或其他杀毒软件清除病毒。2、被害者：(1)绑定网关mac地址。具体方法如下：1）首先，获得路由器的内网的MAC地址（例如网关地址54的MAC地址为0022aa0022aa）。2）编写一个批处理文件AntiArp.bat内容如下：@echooffarp-darp-s5400-22-aa-00-22-aa将文件中的网关IP地址和MAC地址更改为您自己的网关IP地址和MAC地址即可，计算机重新启动后需要重新进行绑定，因此我们可以将该批处理文件AntiArp.bat文件拖到“windows--开始--程序--启动”中。这样开机时这个批处理就被执行了。(2)使用ARP防火墙(例如AntiArp)软件抵御ARP攻击。AntiArp软件会在提示框内出现病毒主机的MAC地址四，找出ARP病毒源第一招：使用Sniffer抓包在网络内任意一台主机上运行抓包软件，捕获所有到达本机的数据包。如果发现有某个IP不断发送ARPRequest请求包，那么这台电脑一般就是病毒源。原理：无论何种ARP病毒变种，行为方式有两种，一是欺骗网关，二是欺骗网内的所有主机。最终的结果是，在网关的ARP缓存表中，网内所有活动主机的MAC地址均为中毒主机的MAC地址；网内所有主机的ARP缓存表中，网关的MAC地址也成为中毒主机的MAC地址。前者保证了从网关到网内主机的数据包被发到中毒主机，后者相反，使得主机发往网关的数据包均发送到中毒主机。第二招：使用arp-a命令任意选两台不能上网的主机，在DOS命令窗口下运行arp-a命令。例如在结果中，两台电脑除了网关的IP，MAC地址对应项，都包含了86的这个IP，则可以断定86这台主机就是病毒源。原理：一般情况下，网内的主机只和网关通信。正常情况下，一台主机的ARP缓存中应该只有网关的MAC地址。如果有其他主机的MAC地址，说明本地主机和这台主机最后有过数据通信发生。如果某台主机（例如上面的86）既不是网关也不是服务器，但和网内的其他主机都有通信活动，且此时又是ARP病毒发作时期，那么，病毒源也就是它了。第三招：使用tracert命令在任意一台受影响的主机上，在DOS命令窗口下运行如下命令：tracert48。假定设置的缺省网关为，在跟踪一个外网地址时，第一跳却是86，那么，86就是病毒源。原理：中毒主机在受影响主机和网关之间，扮演了“中间人”的角色。所有本应该到达网关的数据包，由于错误的MAC地址，均被发到了中毒主机。此时，中毒主机越俎代庖，起了缺省网关的作用。~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~·（ARP欺骗的更容易理解的解析）最近在论坛上经常看到关于ARP病毒的问题，于是在Google上搜索ARP关键字，结果出来很多关于这类问题的讨论。我的求知欲很强，想再学习ARP下相关知识，所以对目前网络中常见的ARP问题进行了一个总结。1.ARP概念咱们谈ARP之前，还是先要知道ARP的概念和工作原理，理解了原理知识，才能更好去面对和分析处理问题。1.1ARP概念知识ARP，全称AddressResolutionProtocol，中文名为地址解析协议，它工作在数据链路层，在本层和硬件接口联系，同时对上层提供服务。IP数据包常通过以太网发送，以太网设备并不识别32位IP地址，它们是以48位以太网地址传输以太网数据包。因此，必须把IP目的地址转换成以太网目的地址。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。ARP协议用于将网络中的IP地址解析为的硬件地址（MAC地址），以保证通信的顺利进行。1.2ARP工作原理首先，每台主机都会在自己的ARP缓冲区中建立一个ARP列表，以表示IP地址和MAC地址的对应关系。当源主机需要将一个数据包要发送到目的主机时，会首先检查自己ARP列表中是否存在该IP地址对应的MAC地址，如果有﹐就直接将数据包发送到这个MAC地址；如果没有，就向本地网段发起一个ARP请求的广播包，查询此目的主机对应的MAC地址。此ARP请求数据包里包括源主机的IP地址、硬件地址、以及目的主机的IP地址。网络中所有的主机收到这个ARP请求后，会检查数据包中的目的IP是否和自己的IP地址一致。如果不相同就忽略此数据包；如果相同，该主机首先将发送端的MAC地址和IP地址添加到自己的ARP列表中，如果ARP表中已经存在该IP的信息，则将其覆盖，然后给源主机发送一个ARP响应数据包，告诉对方自己是它需要查找的MAC地址；源主机收到这个ARP响应数据包后，将得到的目的主机的IP地址和MAC地址添加到自己的ARP列表中，并利用此信息开始数据的传输。如果源主机一直没有收到ARP响应数据包，表示ARP查询失败。例如：A的地址为：IP：MAC:AA-AA-AA-AA-AA-AAB的地址为：IP：MAC:BB-BB-BB-BB-BB-BB根据上面的所讲的原理，我们简单说明这个过程：A要和B通讯，A就需要知道B的以太网地址，于是A发送一个ARP请求广播（谁是，请告诉），当B收到该广播，就检查自己，结果发现和自己的一致，然后就向A发送一个ARP单播应答（在BB-BB-BB-BB-BB-BB）。1.3ARP通讯模式通讯模式（PatternAnalysis）：在网络分析中，通讯模式的分析是很重要的，不同的协议和不同的应用都会有不同的通讯模式。更有些时候，相同的协议在不同的企业应用中也会出现不同的通讯模式。ARP在正常情况下的通讯模式应该是：请求->应答->请求->应答，也就是应该一问一答。2.常见ARP攻击类型个人认为常见的ARP攻击为两种类型：ARP扫描和ARP欺骗。2.1ARP扫描（ARP请求风暴）通讯模式（可能）：请求->请求->请求->请求->请求->请求->应答->请求->请求->请求...描述：网络中出现大量ARP请求广播包，几乎都是对网段内的所有主机进行扫描。大量的ARP请求广播可能会占用网络带宽资源；ARP扫描一般为ARP攻击的前奏。出现原因（可能）：*病毒程序，侦听程序，扫描程序。*如果网络分析软件部署正确，可能是我们只镜像了交换机上的部分端口，所以大量ARP请求是来自与非镜像口连接的其它主机发出的。*如果部署不正确，这些ARP请求广播包是来自和交换机相连的其它主机。2.2ARP欺骗ARP协议并不只在发送了ARP请求才接收ARP应答。当计算机接收到ARP应答数据包的时候，就会对本地的ARP缓存进行更新，将应答中的IP和MAC地址存储在ARP缓存中。所以在网络中，有人发送一个自己伪造的ARP应答，网络可能就会出现问题。这可能就是协议设计者当初没考虑到的！2.2.1欺骗原理假设一个网络环境中，网内有三台主机，分别为主机A、B、C。主机详细信息如下描述：A的地址为：IP：MAC:AA-AA-AA-AA-AA-AAB的地址为：IP：MAC:BB-BB-BB-BB-BB-BBC的地址为：IP：MAC:CC-CC-CC-CC-CC-CC正常情况下A和C之间进行通讯，但是此时B向A发送一个自己伪造的ARP应答，而这个应答中的数据为发送方IP地址是（C的IP地址），MAC地址是BB-BB-BB-BB-BB-BB（C的MAC地址本来应该是CC-CC-CC-CC-CC-CC，这里被伪造了）。当A接收到B伪造的ARP应答，就会更新本地的ARP缓存（A被欺骗了），这时B就伪装成C了。同时，B同样向C发送一个ARP应答，应答包中发送方IP地址四（A的IP地址），MAC地址是BB-BB-BB-BB-BB-BB（A的MAC地址本来应该是AA-AA-AA-AA-AA-AA），当C收到B伪造的ARP应答，也会更新本地ARP缓存（C也被欺骗了），这时B就伪装成了A。这样主机A和C都被主机B欺骗，A和C之间通讯的数据都经过了B。主机B完全可以知道他们之间说的什么：）。这就是典型的ARP欺骗过程。注意：一般情况下，ARP欺骗的某一方应该是网关。2.2.2两种情况ARP欺骗存在两种情况：一种是欺骗主机作为“中间人”，被欺骗主机的数据都经过它中转一次，这样欺骗主机可以窃取到被它欺骗的主机之间的通讯数据；另一种让被欺骗主机直接断网。第一种：窃取数据（嗅探）通讯模式：应答->应答->应答->应答->应答->请求->应答->应答->请求->应答...描述：这种情况就属于我们上面所说的典型的ARP欺骗，欺骗主机向被欺骗主机发送大量伪造的ARP应答包进行欺骗，当通讯双方被欺骗成功后，自己作为了一个“中间人“的身份。此时被欺骗的主机双方还能正常通讯，只不过在通讯过程中被欺骗者“窃听”了。出现原因（可能）：*木马病毒*嗅探*人为欺骗第二种：导致断网通讯模式：应答->应答->应答->应答->应答->应答->请求…描述：这类情况就是在ARP欺骗过程中，欺骗者只欺骗了其中一方，如B欺骗了A，但是同时B没有对C进行欺骗，这样A实质上是在和B通讯，所以A就不能和C通讯了，另外一种情况还可能就是欺骗者伪造一个不存在地址进行欺骗。对于伪造地址进行的欺骗，在排查上比较有难度，这里最好是借用TAP设备（这个东东好像有点贵勒），分别捕获单向数据流进行分析！出现原因（可能）：*木马病毒*人为破坏*一些网管软件的控制功能3.常用的防护方法搜索网上，目前对于ARP攻击防护问题出现最多是绑定IP和MAC和使用ARP防护软件，也出现了具有ARP防护功能的路由器。呵呵，我们来了解下这三种方法。3.1静态绑定最常用的方法就是做IP和MAC静态绑定，在网内把主机和网关都做IP和MAC绑定。欺骗是通过ARP的动态实时的规则欺骗内网机器，所以我们把ARP全部设置为静态可以解决对内网PC的欺骗，同时在网关也要进行IP和MAC的静态绑定，这样双向绑定才比较保险。方法：对每台主机进行IP和MAC地址静态绑定。通过命令，arp-s可以实现“arp–sIPMAC地址”。例如：“arp–sAA-AA-AA-AA-AA-AA”。如果设置成功会在PC上面通过执行arp-a可以看到相关的提示：InternetAddressPhysicalAddressTypeAA-AA-AA-AA-AA-AAstatic(静态)一般不绑定,在动态的情况下：InternetAddressPhysicalAddressTypeAA-AA-AA-AA-AA-AAdynamic(动态)说明：对于网络中有很多主机，500台，1000台...，如果我们这样每一台都去做静态绑定，工作量是非常大的。。。。，这种静态绑定，在电脑每次重起后，都必须重新在绑定，虽然也可以做一个批处理文件，但是还是比较麻烦的！3.2使用ARP防护软件目前关于ARP类的防护软件出的比较多了，大家使用比较常用的ARP工具主要是欣向ARP工具，Antiarp等。它们除了本身来检测出ARP攻击外，防护的工作原理是一定频率向网络广播正确的ARP信息。我们还是来简单说下这两个小工具。3.2.1欣向ARP工具我使用了该工具，它有5个功能：?A.IP/MAC清单选择网卡。如果是单网卡不需要设置。如果是多网卡需要设置连接内网的那块网卡。IP/MAC扫描。这里会扫描目前网络中所有的机器的IP与MAC地址。请在内网运行正常时扫描，因为这个表格将作为对之后ARP的参照。之后的功能都需要这个表格的支持，如果出现提示无法获取IP或MAC时，就说明这里的表格里面没有相应的数据。?B.ARP欺骗检测这个功能会一直检测内网是否有PC冒充表格内的IP。你可以把主要的IP设到检测表格里面，例如，路由器，电影服务器，等需要内网机器访问的机器IP。(补充)“ARP欺骗记录”表如何理解：“Time”：发现问题时的时间；“sender”：发送欺骗信息的IP或MAC；“Repeat”：欺诈信息发送的次数；“ARPinfo”：是指发送欺骗信息的具体内容.如下面例子：timesenderRepeatARPinfo22:22:2221433isat00:0e:03:22:02:e8这条信息的意思是：在22:22:22的时间,检测到由2发出的欺骗信