最近我的網站突然出現(xiàn)訪問的遲鈍，并且打開之后殺毒軟件立即提示含有木馬病毒。

我就很納悶，運行了4年的網站一直都好好的最近怎么出現(xiàn)病毒提示呢。職業(yè)習慣原因打開了網站的源代碼查看，原來在網頁源代碼的頭部被加入了<iframe>嵌套框架網頁，該網頁執(zhí)行木馬程序……

按照常理我心中一寒：估計是服務器被人攻陷了，所有文件代碼被加了此行代碼，于是FTP上去，下載文件下來查看卻沒有該代碼。

于是詢問服務器管理員含笑，他一聽就說：“是中ARP欺騙的病毒攻擊了”。

那么什么是“ARP欺騙”呢？

首先，ARP的意思是Address Resolution Protocol（地址解析協(xié)議），它是一個位于TCP/IP協(xié)議棧中的低層協(xié)議，負責將某個IP地址解析成對應的MAC地址。

從影響網絡連接通暢的方式來看，ARP欺騙分為二種，一種是對路由器ARP表的欺騙；另一種是對內網PC的網關欺騙。

第一種ARP欺騙的原理是——截獲網關數據。它通知路由器一系列錯誤的內網MAC地址，并按照一定的頻率不斷進行，使真實的地址信息無法通過更新保存在路由器中，結果路由器的所有數據只能發(fā)送給錯誤的MAC地址，造成正常PC無法收到信息。

第二種ARP欺騙的原理是——偽造網關。它的原理是建立假網關，讓被它欺騙的PC向假網關發(fā)數據，而不是通過正常的路由器途徑上網。在PC看來，就是上不了網了，“網絡掉線了”。

ARP欺騙木馬只需成功感染一臺電腦，就可能導致整個局域網都無法上網，嚴重的甚至可能帶來整個網絡的癱瘓。

而本次我的網站服務器所在的托管機房同一局域網中的某臺服務器即被感染了ARP欺騙木馬，所以就影響了整個機房的其他服務器，于是服務器中成千上萬的虛擬主機網站就全部遭殃了，木馬種植者站點訪問量也是猛增，這還是小事，該木馬發(fā)作時除了會導致同一局域網內的其他用戶上網出現(xiàn)時斷時續(xù)的現(xiàn)象外，還會竊取用戶密碼。如盜取QQ密碼、盜取各種網絡游戲密碼和賬號去做金錢交易，盜竊網上銀行賬號來做非法交易活動等，這是木馬的慣用伎倆，給用戶造成了很大的不便和巨大的經濟損失。

如何檢查本機是否中了ARP欺騙木馬病毒

“CTRL”+“ALT”+“DELETE”鍵打開“Windows任務管理器”窗口，查看有沒有“MIR0.dat”的進程，如果有，表示中毒了，需要立即“結束該進程”。

如何檢查局域網內感染ARP欺騙木馬病毒的計算機

“開始”菜單“運行”“cmd”打開MSDOS窗口，輸入“ipconfig”獲得“Default Gateway”默認網關。

繼續(xù)執(zhí)行命令“arp -a”，查看默認網關IP對應的“Physical Address”值，在網絡正常時這就是網關的正確物理地址，在網絡受“ ARP 欺騙”木馬影響而不正常時，它就是木馬所在計算機的網卡物理地址。也可以掃描本子網內的全部IP地址，然后再查ARP表。如果有一個 IP 對應的物理地址與網關的相同，那么這個IP地址和物理地址就是中毒計算機的IP地址和網卡物理地址。

如何防范計算機遭受ARP欺騙

1、不要把你的網絡安全信任關系建立在ip基礎上或mac基礎上，（rarp同樣存在欺騙的問題），理想的關系應該建立在ip+mac基礎上。
2、設置靜態(tài)的mac-->ip對應表，不要讓主機刷新你設定好的轉換表。
3、除非很有必要，否則停止使用ARP，將ARP做為永久條目保存在對應表中。
4、使用ARP服務器。通過該服務器查找自己的ARP轉換表來響應其他機器的ARP廣播。確保這臺ARP服務器不被黑。
5、使用"proxy"代理ip的傳輸。
6、使用硬件屏蔽主機。設置好你的路由，確保ip地址能到達合法的路徑。（靜態(tài)配置路由ARP條目），注意，使用交換集線器和網橋無法阻止ARP欺騙。
7、管理員定期用響應的ip包中獲得一個rarp請求，然后檢查ARP響應的真實性。
8、管理員定期輪詢，檢查主機上的ARP緩存。
9、使用防火墻連續(xù)監(jiān)控網絡。注意有使用SNMP的情況下，ARP的欺騙有可能導致陷阱包丟失。

推薦工具：欣向ARP工具，包括很全面的ARP防范的功能。（其中包括WinPcap_3_0.,請務必先安裝此軟件）下載地址： http://www.nuqx.com/downcenter.asp

ARP解決方法/工具+真假ARP防范區(qū)別方法+ARP終極解決方案
http://www.txwm.com/BBS384837.vhtml

ARP攻擊防范與解決方案專題
http://www.luxinjie.com/s/arp/

最新評論