2024年5月8日发(作者：)

维普资讯

２００７年２月　

绵阳师范学院学报　

Ｊｏｕｒｎａｌ　ｏｆＭｉａｎｙａｎｇ　Ｎｏｒｍａｌ　Ｕｎｉｖｅｒｓｉｔｙ　

Ｆｅｂ．，２００７　

Ｖ０１．２６　Ｎｏ．２　

第２６卷第２期　

ＡＲＰ欺骗木马病毒分析与防御研究　

孥　勇　

（绵阳师范学院经济与管理科学系，四川绵阳６２１０００）　

摘要：介绍了ＡＲＰ协议及其工作原理，并由此指出ＡＲＰ欺骗木马病毒是通过虚拟网关对局域网中的主机　

进行欺骗，从而捕获所有上网数据并窃取重要信息的一种病毒。文章在分析了该类病毒发作症状的基础上，给出　

了在局域网内定位染毒主机、预防和清除该类病毒的简单有效的解决方案。　

关键词：ＡＲＰ；病毒；ＭＡＣ地址　

中图分类号：ＴＰ３９３．０８　文献标识码：Ａ　

ｔ　

文章编号：１６７２－６１２ｘ（２００７）０２－０１１６－．０４　

０　引言　

ＡＲＰ，全称Ａｄｄｒｅｓｓ　Ｒｅｓｏｌｕｔｉｏｎ　Ｐｒｏｔｏｃｏｌ，中文名为地址解析协议，它工作在数据链路层，在本层和硬件接　

口联系，同时对上层提供服务。在局域网中，通过ＡＲＰ协议来完成ＩＰ地址转换为第二层物理地址（即ＭＡＣ　

地址）…。ＡＲＰ协议对网络安全具有重要的意义。通过伪造ＩＰ地址和ＭＡＣ地址实现ＡＲＰ欺骗，能够在网　

络中产生大量的ＡＲＰ通信量使网络阻塞。　

ＩＰ数据包通过以太网发送，以太网设备并不识别３２位ＩＰ地址，它们是以４８位以太网地址传输以太网　

数据包。因此，必须把ＩＰ目的地址转换成以太网目的地址。在以太网中，一个主机要和另一个主机进行直　

接通信，必须要知道目标主机的ＭＡＣ地址。但这个目标ＭＡＣ地址是如何获得的呢？它就是通过地址解析　

协议（即ＡＲＰ）获得的。所谓“地址解析”就是主机在发送帧前将目标ＩＰ地址转换成目标ＭＡＣ地址的过程。　

ＡＲＰ协议的基本功能就是通过目标设备的ＩＰ地址，查询目标设备的ＭＡＣ地址，以保证通信的顺利进行。　

１　ＡＲＰ的工作原理【２　Ｊ　

首先，每台主机都会在自己的ＡＲＰ缓冲区（ＡＲＰ　Ｃａｃｈｅ）中建立一个ＡＲＰ列表，以表示ＩＰ地址和ＭＡＣ　

地址的对应关系。　

其次，当源主机需要将一个数据包发送到目的主机时，会首先检查自己ＡＲＰ列表中是否存在该ＩＰ地址　

对应的ＭＡＣ地址，如果有，就直接将数据包发送到这个ＭＡＣ地址；如果没有，就向本地网段发起一个ＡＲＰ　

请求的广播包，查询此目的主机对应的ＭＡＣ地址。此ＡＲＰ请求数据包里包括源主机的ＩＰ地址、硬件地址、　

以及目的主机的ＩＰ地址。　

第三，网络中所有的主机收到这个ＡＲＰ请求后，会检查数据包中的目的ＩＰ是否和自己的ＩＰ地址一致。　

如果不相同就忽略此数据包；如果相同，该主机首先将发送端的ＭＡＣ地址和ＩＰ地址添加到自己的ＡＲＰ列　

表中，如果ＡＲＰ表中已经存在该ＩＰ的信息，则将其覆盖，然后给源主机发送一个ＡＲＰ响应数据包，告诉对　

方自己是它需要查找的ＭＡＣ地址。　

第四，源主机收到这个ＡＲＰ响应数据包后，将得到的目的主机的ＩＰ地址和ＭＡＣ地址添加到自己的　

ＡＲＰ列表中，并利用此信息开始数据的传输。　

收稿日期：２００６・１２－０２　

作者简介：李勇（１９７５一　），男，讲师，硕士。研究方向：信息系统与信息管理。　

维普资讯

第２期　李勇：ＡＲＰ欺骗木马病毒分析与防御研究　・１１７・　

ＡＲＰ协议的工作过程如下图所示：　

①发送广播报义，询问主ｑＬＢ　

的ｌＰ地址与物理地址映射关系　

主机Ａ　主机×　主机Ｂ　主机Ｙ　

②发送响应报文，回答主机Ｂ　

的ｌＰ地址与物理地址映射关系　

图１　ＡＲＰ工作过程　

２　ＡＲＰ欺骗木马病毒攻击原理　

ＡＲＰ木马病毒欺骗攻击的实质是：伪造源ＭＡＣ地址发送ＡＲＰ响应包，对ＡＲＰ高速缓存机制进行攻　

击　Ｊ。详解如下：　

每个主机都用一个ＡＲＰ高速缓存存放最近ＩＰ地址到ＭＡＣ硬件地址之间的映射记录。ＭＳ　Ｗｉｎｄｏｗｓ高　

速缓存中的每一条记录（条目）的生存时间一般为６Ｏ秒，起始时间从被创建时开始算起。　

默认情况下，ＡＲＰ从缓存中读取ＩＰ—ＭＡＣ条目，缓存中的ＩＰ—ＭＡＣ条目是根据ＡＲＰ响应包动态变化　

的。因此，只要网络上有ＡＲＰ响应包发送到本机，即会更新ＡＲＰ高速缓存中的ＩＰ—ＭＡＣ条目。　

ＡＲＰ协议并不只在发送了ＡＲＰ请求才接收ＡＲＰ应答。因此当计算机接收到ＡＲＰ应答数据包的时候，　

不管这个ＡＲＰ应答数据包是否自己请求的，它都会对本地的ＡＲＰ缓存进行更新，将应答中的ＩＰ和ＭＡＣ地　

址存储在ＡＲＰ缓存中。　

假设局域网网关是Ｃ，其ＩＰ地址是１９２．１６８．１０．３，ＭＡＣ地址是：００一Ａ０一Ｅ３一Ｂ４～１８—２Ｃ，局域网内　

所有主机的ＡＲＰ缓存都存有网关ｃ的ＩＰ—ＭＡＣ映射记录，局域网内所有信息都经由网关ｃ发送到外网，这　

是没有染毒时的情况。如果局域网内的Ｂ主机感染了ＡＲＰ欺骗木马病毒，染毒主机Ｂ就会向主机Ａ发送　

一

个自己伪造的ＡＲＰ应答，而这个应答中的数据中发送方ＩＰ地址是１９２．１６８．１０．３（这是网关Ｃ的真实ＩＰ　

地址，但现在是由染毒主机Ｂ伪造到数据包里面的），ＭＡＣ地址是１８—２３—５８一Ｃ４—２６—３７（网关Ｃ的　

ＭＡＣ地址本来应该是ＯＯ～Ａ０一Ｅ３一Ｂ４—１８—２Ｃ，这里染毒主机Ｂ将自己的ＭＡＣ地址伪造进数据包里）。　

当主机Ａ接收到主机Ｂ伪造的ＡＲＰ应答，就会更新本地的ＡＲＰ缓存，从此主机Ａ上发出的所有信息就被伪　

造的网关主机Ｂ所截获，主机Ｂ上的木马病毒就可以捕获主机Ａ所有的上网数据信息。使用上述方法，染　

毒主机Ｂ可以欺骗局域网内所有主机，让所有上网的流量必须经过病毒主机，从而达到窃取重要信息的目　

的　。　

３　ＡＲＰ欺骗木马病毒的发作症状　

局域网内被ＡＲＰ木马病毒欺骗成功的主机在将真正的网关ＩＰ切换为病毒主机的ＩＰ时，该机器会瞬间　

断网一次。如果某ＡＲＰ木马病毒以盗取银行帐号、ＱＱ帐号、游戏服务器帐号等为目的，它就会频繁制造瞬　

间断网现象，以诱使用户多次输入帐号信息，由于所有信息都将被病毒主机捕获，病毒就有可能窃取出帐号　

维普资讯

・

ｌｌ８・　绵阳师范学院学报（自然科学版）　第２６卷　

等重要信息。　

由于ＡＲＰ欺骗的木马程序发作的时候会发出大量的数据包导致局域网通讯拥塞以及其自身处理能力　

的限制，用户会感觉上网速度越来越慢。当ＡＲＰ欺骗的木马程序停止运行时，用户会恢复从路由器上网，切　

换过程中用户会再断一次线。　

近来绵阳师范学院各计算机实验室以及绵阳市内多家单位都反映上网频繁掉线，在排除硬件故障的情　

况下，基本上均是ＡＲＰ木马病毒造成的。　

４　ＡＩ　欺骗木马病毒的定位与清除　

在局域网中受影响的客户机上，于“开始”一“程序”一“附件”菜单下调出“命令提示符”。输入并执行　

以下命令：ＡＲＰ—Ａ，在回馈信息中会发现重复ＭＡＣ地址。该ＭＡＣ地址对应的即为使用染毒的计算机。而　

重复的地址就是被ａｒｐ欺骗后的网关地址。此时可根据ＭＡＣ地址前的ＩＰ地址查找该计算机并采取有效手　

段关闭程序。如果在运行该程序前，该机ＩＰ地址已经被更改，则需通过对应的ＭＡＣ列表查找该物理网卡所　

存在的计算机。　

知道了使用ＡＲＰ欺骗木马的主机的ＭＡＣ地址后，可以使用ＮＢＴＳＣＡＮ工具来快速查找它。ＮＢＴＳＣＡＮ　

可以取到ＰＣ的真实ＩＰ地址和ＭＡＣ地址，如果有ＡＲＰ欺骗木马病毒在做怪，可以找到装有木马的ＰＣ的ＩＰ　

和ＭＡＣ地址。ＮＢＴＳＣＡＮ可到ｈｔｔｐ：／／ｗｗｗ．ｕｔｔ．ｃｏｍ．ｃｎ／ｕｐｌｏａｄ／ｎｂｔｓｃａｎ．ｒａｒ下载　Ｊ。　

假设查找一台ＭＡＣ地址为“００Ａ０１２３４５６７９”的病毒主机。　

１）将压缩包中的ｎｂｔｓｃａｎ．ｅｘｅ和ｃｙｇｗｉｎ１．ｄＵ解压缩放到Ｃ：＼ｎｂｔｓｃａｎ下。　

２）在Ｗｉｎｄｏｗｓ开始一运行一打开，输入ｃｍｄ，在出现的ＤＯＳ窗口中输入：ｎｂｔｓｃａｎ—ｒ　１９２．１６８．１．０／２４　

（搜索整个１９２．１６８．１．０—１９２．１６８．１．２５４网段，可根据实际要搜索的网段输入），回车。屏幕显示如下：　

Ｃ：＼ｎｂｔｓｃａｎ＞ｎｂｔｓｃａｎ—ｒ　１９２．１６８．１．０／２４　

Ｗａｒｎｉｎｇ：一ｒ　ｏｐｔｉｏｎ　ｎｏｔ　ｓｕｐｐｏｒｔｅｄ　ｕｎｄｅｒ　Ｗｉｎｄｏｗｓ．Ｒｕｎｎｉｎｇ　ｗｉｔｈｏｕｔ　ｉｔ．　

Ｄｏｉｎｇ　ＮＢＴ　ｎａｌｎｅ　ｓｃａｎ　ｆｏｒ　ａＹＹｒｅｓｓｅｓ　ｆｒｏｍ　１９２．１６８．１．０／２４　

ＩＰ　ａｄｄｒｅｓｓ　ＮｅｔＢＩＯＳ　Ｎａｍｅ　Ｓｅｒｖｅｒ　Ｕｓｅｒ　ＭＡＣ　ａｄｄｒｅｓｓ　

１９２．１６８．１．０　Ｓｅｎｄｔｏ　ｆａｉｌｅｄ：Ｃａｎｎｏｔ　ａｓｓｉｇｎ　ｒｅｑｕｅｓｔｅｄ　ａＹ－Ｙｒｅｓｓ　

１９２．１６８．１．１０１　Ｆ３ＢＯＢＤ９１０１Ｂ６４１９　＜ｓｅｒｖｅｒ＞　ｕｎｋｎｏｗｎ　００一ｌｌ一４３—３９—０ｌ一６０　

１９２．１６８．１．１０２　Ｃ４Ｂ９２６ＣＥ７７Ｃ２４４ｌ　

１９２．１６８．１．１２６　ｔｅｓｔ　

＜ｓｅｒｖｅｒ＞　ｕｎｋｎｏｗｎ　５２—５４一ＡＢ—ＡＯ—Ｄ７一Ｅ３　

＜ｓｅｒｖｅｒ＞　ｕｎｋｎｏｗｎ　００一ＡＯ一１２—３４—５６—７９　

３）从上面的ＩＰ一一ＭＡＣ对应表，可以查出“００Ａ０１２３４５６７９”的病毒主机的ＩＰ地址为“１９２．１６８．１．１２６”。　

接下来我们就可以通过ＩＰ地址找到对应的病毒主机，然后利用反病毒软件杀除病毒。网管员应保留一　

份网内机器名、ＩＰ地址、ＭＡＣ地址的对应表，以方便未来的工作。　

５　ＡＩ　欺骗木马病毒的预防　

１）绑定网关，避免被病毒欺骗。如工作站采用ｘｐ／２ｋ３操作系统，可逐台执行”ＡＲＰ—Ｓ网关ＩＰ网关　

ＭＡＣ”来绑定网关的ＩＰ地址。可以把局域网内所有网关的绑定命令生成ａｒｐ命令批处理文件，有条件的把　

文件放置于公共服务器，每个终端在启动中调用此文件，达到网关ＭＡＣ绑定作用　。　

２）绑定工作站。使用可防御ＡＲＰ攻击的三层交换机，绑定端Ｅｌ—ＭＡＣ—ＩＰ，限制ＡＲＰ流量，及时发现　

并自动阻断ＡＲＰ攻击端口，合理划分ＶＬＡＮ，彻底阻止盗用ＩＰ、ＭＡＣ地址，杜绝ＡＲＰ的攻击。　

维普资讯

第２期　李勇：ＡＲＰ欺骗木马病毒分析与防御研究　・ｌｌ９・　

３）对于经常爆发病毒的网络，进行Ｉｎｔｅｍｅｔ访问控制，限制用户对网络的访问。此类ＡＲＰ攻击程序一般　

都是从Ｉｎｔｅｒｎｅｔ下载到用户终端，如果能够加强用户上网的访问控制，就能极大的减少该问题的发生。　

４）利用工具软件监测网络，发现异常，立即处理。Ａｎｔｉ　ＡＲＰ　Ｓｎｉｆｅｒ软件可以监测局域网中每台计算机　

发出的ＡＲＰ协议包，一旦发现有机器发送过量的ＡＲＰ协议包，就可以初步断定该机器染有ＡＲＰ欺骗木马病　

毒，从而可以有的放矢地检测和清除病毒。　

参考文献：　

［１］　王达．网管员必读一网络安全［Ｍ］．北京：电子工业出版社，２００５：ｌ１．　

［２］任泰明．ＴＣＰ／ＩＰ协议与网络编程［Ｍ］．武汉：武汉大学出版社，２００５：５．　

［３］　范敏．电子政务的信息安全与对策［Ｊ］．绵阳师范学院学报，２００６，２５（２）：９１—９４．　

［４］仇宇．Ｉｎｔｅｒｎｅｔ网络安全与防火墙技术的探讨［Ｊ］．绵阳师范学院学报，２００４，２３（５）：３１—３５，４２　

［５］　吴文铁．校园网Ｗｅｂ资源建设与安全的研究［Ｊ］．绵阳师范学院学报，２００３，２２（０２）：３６—４Ｏ．　

［６］　（美）布拉格著．网络安全完全手册［Ｍ］．程代伟译．北京：电子工业出版社，２００５：１０．　

Ａ　Ｄｅｆｅｎｓｅ　Ｒｅｓｅａｒｃｈ　ｏｎ　ｔｈｅ　ＡＲＰ　Ｄｅｃｅｉｔ　ｏｆ　Ｔｒｏｊａｎ　Ｈｏｒｓｅ　Ｖｉｒｕｓ　

ＬＩ　Ｙｏｎｇ　

（Ｄｅｐａｒｔｍｅｎｔ　ｏｆ　Ｅｃｏｎｏｍｙｌ　ａｎｄ　Ｍａｎａｇｅｍｅｎｔ　Ｓｃｉｅｎｃｅ，Ｍｉａｎｙａｎｇ　Ｎｏｒｍａｌ　Ｕｎｉｖｅｒｓｉｔｙ，Ｍｉａｎｙａｎｇ，Ｓｉｃｈｕａｎ　６２　１０００）　

Ａｂｓｔｒａｃｔ：Ｂｙ　ｉｎｔｒｏｄｕｃｉｎｇ　ＡＲＰ　ａｇｒｅｅｍｅｎｔ　ａｎｄ　ｉｔｓ　ｐｒｉｎｃｉｐｌｅ　ｏｆ　ｗｏｒｋ，ｔｈｅ　ｐａｐｅｒ　ｐｏｉｎｔｓ　ｏｕｔ　ｔｈａｔ　ｔｈｅ　ＡＲＰ　ｄｅｃｅｉｔ　

ｏｆ　Ｔｒｏｊａｎ　Ｈｏｒｓｅ　ｖｉｒｕｓ　ｐｒａｃｔｉｃｅｓ　ｉｔｓ　ｄｅｃｅｉｔ　ｂｙ　ｗａｙ　ｏｆ　ｄｕｍｍｙ　ｇａｔｅｗａｙ　ｔｏ　ｇｅｔ　ａｌｌ　ｔｈｅ　ｓｕｒｆｉｎｇ　ｄａｔａ　ａｎｄ　ｔｏ　ｓｔｅｍ　ｉｍｐｏｒｔａｎｔ　

ｉｎｆｏｒｍａｔｉｏｎ　ｆｒｏｍ　ｔｈｅ　ｈｏｓｔ　ｃｏｍｐｕｔｅｒ　ｉｎ　ｔｈｅ　Ｌ　Ｎ．Ａｆｔｅｒ　ａｎａｌｙｚｉｎｇ　ｔｈｅ　ｐａｒｏｘｙｓｍ　ｓｙｍｐｔｏｍ　ｏｆ　ｔｈｉｓ　ｋｉｎｄ　ｏｆ　ｖｉｒｕｓ．ｔｈｉｓ　

ｐａｐｅｒ　ｇｉｖｅｓ　ｏｕｔ　ａ　ｓｉｍｐｌｅ　ｂｕｔ　ｅｆｆｉｃｉｅｎｔ　ｓａｌｖａｔｉｏｎ　ｆｏｒ　ｔｈｅ　ｌｏｃａｔｉｏｎ　ｏｆ　ｔｈｅ　ｐｏｌｌｕｔｅｄ　ｈｏｓｔ　ｃｏｍｐｕｔｅｒ　ｉｎ　ｔｈｅ　ＬＡＮ，ＳＯ　ａｓ　ｔｏ　ｅｆ－　

ｆｅｃｔｉｖｅｌｙ　ｐｒｅｖｅｎｔ　ａｎｄ　ｅｌｉｍｉｎａｔｅ　ｔｈｉｓ　ｋｉｎｄ　ｏｆ　ｖｉｒｕｓ．　

Ｋｅｙ　ｗｏｒｄｓ：ＡＲＰ；ｖｉｒｕｓ；ＭＡＣ　ａｄｄｒｅｓｓ