2024年5月8日发(作者：)

维普资讯

《宁夏电力》２０ｏ７年第４期　

浅谈ＡＲＰ病毒攻击的防御技术　

殷学农　

（宁夏中卫供电局，　中卫市７５５０００）　

摘要：针对企业局域网中经常爆发的“ＡＲＰ欺骗”类病毒，分析了其病毒原理和攻击方式，提出了解决此　

类病毒的防护措施和应对策略。　

关键词：ＡＲＰ病毒；攻击；防御　

中图分类号：ＴＰ３０９．５　文献标识码：　Ｂ　文章编号：１６７２—３６４３（２００７）０４－００６０—０３　

Ｔｈｅ　ｐｒｅｖｅｎｔｉｏｎ　ｔｅｃｈｎｏｌｏｇｙ　ｆｏｒ　ＡＲＰ　ｖｉｒｕｓ　ａｔｔａｃｋ　

ＹＩＮ　Ｘｕｅ－ｎｏｎｇ　

（Ｎｉｎｇｘｉａ　Ｚｈｏｎｇｗｅｉ　Ｅｌｅｃｔｒｉｃ　Ｐｏｗｅｒ　Ｓｕｐｐｌｙ　Ｂｕｒｅａｕ，Ｚｈｏｎｇｗｅｉ　７５５０００，Ｃｈｉｎａ）　

Ａｂｓｔｒａｃｔ：Ａｉｍｉｎｇ　ａｔ　ｔｈｅ”ＡＲＰ　ｓｐｏｏｆｉｎｇ”ｖｉｒｕｓ　ｏｕｔｂｒｅａｋ　ｆｒｅｑｕｅｎｔｌｙ　ｉｎ　ｅｎｔｅｒｐｒｉｓｅ　ＬＡＮ．ａｎａｌｙｚｅｓ　ｔｈｅ　ｖｉｒｕｓ　ｐｒｉｎｃｉｐｌｅ　

ｎａｄ　ａｔｔａｃｋ　ｍｅｔｈｏｄｓ，ｐｕｔｓ　ｆｏｒｗａｒｄ　ｈｔｅ　ｄｅｆｅｎｓｅ　ｍｅａｓｕｒｅｓ　ａｎｄ　ｓｔｒａｔｅｇｙ　ｆｏｒ　ｈｔｅ　ｖｉｒｕｓ．　

Ｋｅｙ　ｗｏｒｄｓ：ＡＲＰ　ｖｉｒｕｓ；ａｔｔａｃｋ；ｄｅｆｅｎｓｅ　

１引言　

就是通过目标设备的ＩＰ地址，查询目标设备的ＭＡＣ地址，　

以保证通信的顺利进行。　

“ＡＲＰ欺骗”类病毒在企业内部网络内屡有发现，在最　

２．１对内网的欺骗　

近一段时间尤其严重，当某台电脑感染了这类ＡＲＰ欺骗病　

ＡＲＰ协议的工作原理：在每台安装有ＴＣＰ／ＩＰ协议的电　

毒程序后，会不定期发送伪造的ＡＲＰ响应数据报文和广播　脑里都有一个ＡＲＰ缓存表，表里的ＩＰ地址与ＭＡＣ地址是　

报文。受感染电脑发出的这种报文会欺骗所在网段的其他　

一一

对应的：　

电脑，对其他电脑宣称自己的ＭＡＣ就是网关的ＭＡＣ，对　

ＩＰ址　ＭＡＣ地址　

实际的网关说其他电脑ＩＰ的ＭＡＣ都是自己的ＭＡＣ，这样　

１９２．１６８．１．１　００－０ｆ－３ｄ－８３－７４－２８　

网关（交换机或路由器）无法学习到上网主机的ＭＡＣ。更新　

１９２．１６８．１．２　Ｏ０一ａａ—）ｏ一６２一ｃ５—Ｏ３　

不了网关ＡＲＰ表，就无法转发数据帧。造成所在网段的计　

１９２．１６８．１．３　Ｏ３一ａａ—Ｏ１—７５一ｃ３—Ｏ６　

算机无法上网或上网不稳定。　

以主机Ａ（１９２．１６８．１．５）向主机Ｂ（１９２．１６８．１．１）发送数　

２　ＡＲＰ攻击原理分析　

据为例。当发送数据时。主机Ａ会在自己的ＡＲＰ缓存表中　

寻找是否有目标ＩＰ地址。如果找到了，也就知道了目标　

ＡＲＰ“Ａｄｄｒｅｓｓ　Ｒｅｓｏｌｕｔｉｏｎ　Ｐｒｏｔｏｃｏｌ”（地址解析协议），局　

ＭＡＣ地址，直接把目标ＭＡＣ地址写人帧里面发送就可以　

域网中，网络中实际传输的是“帧”，帧里面含有目标主机的　了；如果在ＡＲＰ缓存表中没有找到相对应的ＩＰ地址，主机　

ＭＡＣ地址。所谓“地址解析”就是主机在发送帧前将目标ＩＰ　Ａ就会在网络上发送一个广播，目标ＭＡＣ地址是“Ｆ．Ｆ＇．Ｆ．Ｆ＇．　

地址转换成目标ＭＡＣ地址的过程。ＡＲＰ协议的基本功能　

ＦＦ．ＦＦ．ＦＦ．ＦＦ”，这表示向同一网段内的所有主机发出这样的　

收稿日期：２００７－－－０３—０５　

作者简介：殷学农（１９７７一），男，助理工程师，从事网络与信息系统管理工作。　

・

６ｏ・　

维普资讯

《宁夏电力｝２００７年第４期　

询问：“１９２．１６８．１．１的ＭＡＣ地址是什么？”网络上其它主机　

并不响应ＡＲＰ询问，只有主机Ｂ接收到这个帧时，才向主　

机Ａ做出这样的回应：“１９２．１６８．１．１的ＭＡＣ地址是００一ａａ—　

ｏｏ－６２．－ｃ６—０９。”这样，主机Ａ就知道了主机Ｂ的ＭＡＣ地　

址，它就可以向主机Ｂ发送信息了。同时它还更新了自己　

的ＡＲＰ缓存表。ＡＲＰ有如下两种攻击方式。　

攻击方式一：用伪造源ＭＡＣ地址发送ＡＲＰ响应包，对　

ＡＲＰ高速缓存机制的攻击。默认情况下，ＡＲＰ从缓存中读　

取ＩＰ－ＭＡＣ条目，缓存中的ＩＰ－ＭＡＣ条目是根据ＡＲＰ响应　

包动态变化的。因此，只要网络上有ＡＲＰ响应包发送到本　

机，即会更新ＡＲＰ高速缓存中的ＩＰ－ＭＡＣ条目。攻击者只　

要持续不断的发出伪造的ＡＲＰ响应包就能更改目标主机　

ＡＲＰ缓存中的ＩＰ～ＭＡＣ条目，造成网络中断或中间人攻击。　

攻击方式二：ＡＲＰ协议并不只在发送了ＡＲＰ请求才接收　

ＡＲＰ应答。当计算机接收到ＡＲＰ应答数据包的时候，就会对　

本地的ＡＲＰ缓存进行更新，将应答中的ＩＰ和ＭＡＣ地址存储　

在ＡＲＰ缓存中。因此，Ｂ向Ａ发送—个自己伪造的ＡＲＰ应答，　

而这个应答中的数据为发送方ＩＰ地址是１９２．１６８．１￣３（Ｃ的ＩＰ　

地址），ＭＡＣ地　Ｅ是ＤＤ－ＤＤ－ＤＤ－ＤＤ－ＤＤ－ＤＤ（Ｃ的ＭＡＣ地址　

本来应该是ＣＣ－－ＣＣ－－ＣＣ－－ＣＣ－ＣＣ－－ＣＣ，这里被伪造了）。当Ａ接　

收到Ｂ伪造的ＡＲＰ应答，就会更新本地的ＡＲＰ缓存（Ａ可不　

知道被伪造了）。通过伪造ＩＰ地址和ＭＡＣ地址实现ＡＲＰ欺　

骗，能够在网络中产生大量的ＡＲＰ通信量使网络阻塞或者实　

现“ｍａｌｌ　ｉｎ　ｔｈｅ　ｍｉｄｄｌｅ”进行ＡＲＰ重定向和嗅探攻击。当攻击源　

大量向局域网中发送虚假的ＡＲＰ信息后，就会造成局域网中　

的机器ＡＲＰ缓存的崩溃。　

２．２对Ｓ　盯ｒＣＨ的欺骗　

Ｓｗｉｔｃｈ上同样维护着一个动态的ＭＡＣ缓存，首先，交　

换机内部有一个对应的列表，交换机的端口对应ＭＡＣ地址　

表Ｐｏｒｔ　ｎ＜一＞ＭＡＣ记录着每一个端口下面存在那些ＭＡＣ　

地址，这个表开始是空的，交换机从来往数据帧中学习，这　

个表就不断得到填充和更新。因为ＭＡＣ—ＰＯＲＴ缓存表是动　

态更新的，那么让整个Ｓｗｉｔｃｈ的端口表都改变，对Ｓｗｉｔｃｈ　

进行ＭＡＣ地址欺骗的Ｆｌｏｏｄ，不断发送大量假ＭＡＣ地址的　

数据包，Ｓｗｉｔｃｈ就更新ＭＡＣ—ＰＯＲＴ缓存，如果能通过这样　

的办法把以前正常的ＭＡＣ和Ｐｏｒｔ对应的关系破坏了，那　

么Ｓｗｉｔｃｈ就会以广播方式处理报文，让Ｓｗｉｔｃｈ基本变成一　

个ＨＵＢ，向所有的端口发送数据包，这样攻击者要进行嗅　

探攻击的目的一样能够达到。同时造成Ｓｗｉｔｃｈ　ＭＡＣ—ＰＯＲＴ　

缓存的崩溃，交换机负载过大，网络缓慢，重者造成网络瘫　

痪。如交换机中日志所示：　

Ｉｍｅｍｅｔ　

ｌ９２．１６８．２．１　

ｏｏ００ｂ．ｅｄ８５．ａｌ９３　

ＡＲＰＡＶＩａｎ２５６　

Ｉｎｔｅｍｅｔ　

ｌ９２．１６８．２．５　

ｏｏ００ｂ．ｅｄ８５．ａｌ９３　

ＡＲＰＡＶｌａｎ２５６　

Ｉｎｔｅｍｅｔ　

ｌ９２．１６８．２．２５４　

ｏ０００ｂ．ｅｄ８５．ａ１９３　ＡＲＰＡＶ１ａｎ２５６　

Ｉｎｔｅｍｅｔ　

ｌ９２．１６８．２．５３　

ｏ０００ｂ．ｅｄ８５．ａｌ９３　

ＡＲＰＡＶＩａｎ２５６　

Ｉｎｔｅｍｅｔ　

ｌ９２．１６８．２－３３　

ｏｏ００ｂ．ｅｄ８５．ａ１９３　

ＡＲＰＡＶＩａｒｌ２５６　

Ｉｎｔｅｍｅｔ　

１９２．１６８．２．１３　

０（）０ｏｂ．ｃＡ８５．ａ１　９３　

Ａｆ　ＩＡＶＩａｎ２５６　

浅谈ＡＲＰ病毒攻击的防御技术　

Ｉｎｔｅｍｅｔ　ｌ９２．１６８．２．１５　Ｏ０００ｂ．ｅｄ８５．ａｌ９３　ＡＲＰＡＶｌａＩｌ２５６　

Ｉｎｔｅｍｅｔ　１９２．１６８．２．１４　Ｏ０００ｂ．ｅｄ８５．ａ１９３　ＡＲＰＡＶ１ａｎ２５６　

ＡＲＰ病毒发作后，同一个ＶＬＡＮ中的相当数量的主机　

ＭＡＣ地址会更新为病毒主机的ＭＡＣ地址。　

３　ＡＲＰ病毒分析　

当ＶＬＡＮ内某台主机运行ＡＲＰ欺骗的木马程序时，会　

欺骗ＶＬＡＮ内所有主机和路由器或交换机，让本ＶＬＡＮ所　

有上网的流量必须经过病毒主机。其他用户原来直接通过　

路由器上网现在转由通过病毒主机上网，切换的时候用户　

会断一次线。切换到病毒主机上网后，如果用户已经登录了　

某应用服务器，那么病毒主机就会经常伪造断线的假像，那　

么用户就得重新登录应用服务器，这样病毒主机就可以盗　

取帐号和密码了。　

由于ＡＲＰ欺骗的木马程序发作的时候会发出大量的　

数据包导致局域网通讯拥塞以及其自身处理能力的限制，　

用户会感觉上网速度越来越慢。当ＡＲＰ欺骗的木马程序停　

止运行时，用户会恢复从路由器上网，切换过程中用户会再　

断一次线。　

在路由器的“系统历史记录”中可看到大量ＭＡＣ地址变　

化信息：　

ＭＡＣ　Ｃｈｇｅｄ　１０．１２８．１０３．１２４　

ＭＡＣ　Ｏｌｄ　００：０１：６ｃ：３６：ｄｌ：７ｆ　

ＭＡＣ　Ｎｅｗ　００：０５：５ｄ：６０：ｅ７：１８　

在ＰＣ上查看ＡＲＰ缓存表：　

Ｉｎｔｅｒｆａｃｅ：１９２．１６８．１．７２——＿ｏＸ２　

Ｉｎｔｅｍｅｔ　Ａｄｄｒｅｓｓ　Ｐｈｙ￣ｅＭ　Ａｄｄｒｅｓｓ　Ｔｙｐｅ　

１９２．１６８．１．１　０Ｏ—Ｏｆ＿３ｄ一８３—７４—２８　ｄｙｎａｍｉｏ　

１９２．１６８．Ｉ．４３　０ｏ一１３一ｄ３一ｅｆ－ｂ２—Ｏｃ　ｄｙｎａｍｉｏ　

１９２．１６８．１．２５２　０Ｏ—．ｏｆ－３ｄ一８３—７４—２８　ｄｙｎａｍｉｏ　

Ｃ：＼ＷＩＮＤＯＷＳｋＳｙｓｔｅｍ３２＞ａｒｐ—ａ　

这个消息代表了用户的ＭＡＣ地址发生了变化，在ＡＲＰ　

欺骗木马开始运行的时候，局域网所有主机的ＭＡＣ地址更　

新为病毒主机的ＭＡＣ地址（即所有信息的ＭＡＣ　Ｎｅｗ地址　

都一致为病毒主机的ＭＡＣ地址），同时在路由器的“用户统　

计”中看到所有用户的ＭＡＣ地址信息都一样。如果是在路　

由器的“系统历史记录”中看到大量ＭＡＣ　Ｏｌｄ地址都一致，　

则说明局域网内曾经出现过ＡＲＰ欺骗（ＡＲＰ欺骗的木马程　

序停止运行时，主机在路由器上恢复其真实的ＭＡＣ地址）。　

４　ＡＲＰ源头定位　

当发生ＡＲＰ病毒后，首先查找病毒源头。　

４．１主动定位方式　

因为所有的ＡＲＰ攻击源都会有其特征——网卡会处　

・

６１・　

维普资讯

《宁夏电力））２００７年第４期　浅谈ＡＲＰ病毒攻击的防御技术　

于混杂模式，可以通过ＡＲＰＫｉｌｌｅｒ这样的工具扫描网内有　

控制，就能极大地减少该问题的发生。　

哪台机器的网卡是处于混杂模式的，从而判断这台机器有　

（３）在每台ｐｃ上绑定网关的ＩＰ和ＭＡＣ地址　

可能就是“元凶”。（标注：网卡可以置于一种模式叫混杂模　在每台ＰＣ机上进入ｄｏｓ操作，输入“ａｒｐ—Ｓ　１９２．１６８．１．１　

式（ｐｒｏｍｉｓｃｕｏｕｓ），在这种模式下工作的网卡能够收到一切　

（网关ＩＰ）Ｏ０一Ｏｆ－３ｄ一８３—７４—２８（网关ＭＡＣ）”，Ｅｎｔｅｒ后完成　

通过它的数据，而不管实际上数据的目的地址是不是它。这　

每台ＰＣ机的绑定。但是此动作，如果重起了电脑，作用就　

实际就是Ｓｎｉｆｆｅｒ工作的基本原理：让网卡接收一切它所能　

会消失，所以可以把此命令做成一个批处理文件，放在操作　

接收的数据。）　

系统的启动里面，每次开机自动执行批处理命令。批处理文　

４．２被动定位方式　

件可以这样写：　

（１）获取攻击源的ＭＡＣ地址：在局域网发生ＡＲＰ攻　

＠ｅｃｈｏ　ｏｆｆ　

击时，查看交换机的动态ＡＲＰ表中的内容，确定攻击源的　

ａｒｐ－－ｄ　

ＭＡＣ地址：也可以在局域网中部署Ｓｎｉｆｆｅｒ工具，定位ＡＲＰ　

ａｒｐ—Ｓ网关ＩＰ网关ＭＡＣ　

攻击源的ＭＡＣ；也可以直接Ｐｉｎｇ网关ＩＰ，完成Ｐｉｎｇ后，用　

（４）预防性工作：用户安装杀毒软件，及时更新病毒代　

ＡＲＰ—ａ查看网关ＩＰ对应的ＭＡＣ地址，此ＭＡＣ地址应该　

码。定期对机器进行病毒扫描；给系统安装补丁程序，通过　

为欺骗的ＭＡＣ。　

ＷｉｎｄｏｗＳ　Ｕｏｄａｔｅ安装好系统补丁程序（关键更新、安全更新　

（２）查找ＭＡＣ对应的ＩＰ：使用ＮＢＴＳＣＡＮ可以取到ＰＣ　和Ｓｅｒｖｉｃｅ　Ｐａｃｋ）；给系统管理员帐户设置足够复杂的强密　

的真实ＩＰ地址、机器名和ＭＡＣ地址，如果有“ＡＲＰ攻击”在　

码，最好能是１２位以上，字母＋数字＋符号的组合，也可以禁　

做怪，可以找到装有ＡＲＰ攻击的ＰＣ的ＩＰ、机器名和ＭＡＣ　用删除一些不使用的帐户；安装并使用网络防火墙软件，　

地址。　

网络防火墙在防病毒过程中也可以起到至关重要的作用，　

假设查找一台ＭＡＣ地址为‘＇Ｏ００ｄ８７０ｄ５８５ｆ’的病毒主机。　

能有效地阻挡来自网络的攻击和病毒的入侵。关闭一些不　

①在出现的ＤＯＳ窗口中输入：ｃ：ｂｔｓｅａｎ—ｒ　１９２，１６８．１６，１／　

需要的服务，条件允许的可关闭一些没有必要的共享，也包　

２４（这里需要根据用户实际网段输入），回车。　

括Ｃ￥、Ｄ￥等管理共享。不要随便点击打开ＱＱ、ＭＳＮ等聊天　

②通过查询ＩＰ—ＭＡｃ对应表，查出“０００ｄ８７０ｄ５８５ｆ”　

工具上发来的链接信息，不要随便打开或运行陌生、可疑文　

的病毒主机的ＩＰ地址为“１９２．１６８．１６．２２３”。　

件和程序，如邮件中的陌生附件，外挂程序等。　

通过上述方法，就能够快速的找到病毒源，确认其　

ＭＡＣ——）机器名和ＩＰ地址。　

６结束语　

５　防御方法　

ＡＲＰ攻击的防御是一个任重而道远的过程，必须高度　

重视这个问题，不能大意马虎，采取以上技术可以帮助我们　

（１）在三层交换机（或路由器）端口上绑定客户端ＭＡＣ　

随时警惕ＡＲＰ攻击，减少受到的危害，提高工作效率，降低　

和ＩＰ，限制ＡＲＰ流量，及时发现并自动阻断ＡＲＰ攻击端　经济损失。　

口，合理划分ＶＬＡＮ，彻底阻止盗用ＩＰ、ＭＡＣ地址，杜绝　

ＡＲＰ的攻击。　

参考文＿献：　

（２）对于经常爆发病毒的网络，进行Ｉｎｔｅｍｅｔ访问控　

［１］宋晓辉．ＡＲＰ病毒攻击机理与防御．网络安全技术与应用　

制，限制用户对网络的访问。此类ＡＲＰ攻击程序一般都是　

２００６．　

从Ｉｎｔｅｒｎｅｔ下载到用户终端，如果能够加强用户上网的访问　

［２］雷震甲．网络工程师教程．北京：清华大学出版社，２００４．　

・

６２・