2024年3月9日发(作者：)
面对APP攻击多采取的措施
ARP 攻击的原理与解决方法(第三版）2006 年11 月27 日 星期一 22:41ARP 攻击的原理与
解决方法(第三版）2006-11-20 10:53 含如何在局域网内查找病毒主机 鄙视那些发arp，p2p
管制类软件的朋友！！！！！！ 一个净化的网络空间不光给别人带来便利，也会方便到自己！！！
试想以下当你发布了这些arp，p2p 管制软件以后，这些软件的使用者反而影响到你自己的
时候，你会有什么感觉！！！！！ 说句实话，如果你只会使用攻击软件却不知道攻击软件原理
和防范措施，那么我建议还是尽量少用，因为在众多的普通上网用户身上寻找黑客快感这种
行为，是可怜又可鄙的！！！！！ 希望大家自觉抵制非网络管理员滥用此类软件，在龙族论坛上
我也经常看见有人发网路执法官等arp，p2p 管制软件，希望版主针对此事能有所考虑。
我之一直不想放出查找方法也是希望那些使用用户能有所收敛，可是很多朋友反映的情况让
我觉得我这个决定是错误的！ 再一次劝说，另告知大家一个消息，我的反攻击软件已经在测
试中，专门针对局域网内使用arp 攻击者进行反击，针对攻击ip 进行反攻击。 最终还是希
望有个相对纯净的网络世界，也希望自己的努力没有白费，更希望龙族的朋友能相互转达，
在这里感谢大家了！！！！！！！！ ARP 攻击的原理与解决方法(第三版）含如何在局域网内查找
病毒主机 【故障原因】 局域网内有人使用ARP 欺骗的木马程序（比如：魔兽世界，天堂，
劲舞团等盗号的软件，某些外挂中也被恶意加载了此程序）。 【故障原理】 要了解故障原
理，我们先来了解一下ARP 协议。 在局域网中，通过ARP 协议来完成IP 地址转换为第
二层物理地址（即MAC 地址）的。ARP 协议对网络安全具有重要的意义。通过伪造IP
地址和MAC 地址实现ARP 欺骗，能够在网络中产生大量的ARP 通信量使网络阻塞。 ARP
协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传
输的是“帧”，帧里面是有目标主机的MAC 地址的。在以太网中，一个主机要和另一个 主
机进行直接通信，必须要知道目标主机的MAC 地址。但这个目标MAC 地址是如何获得的
呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发 送帧前将目标IP 地址
转换成目标MAC 地址的过程。ARP 协议的基本功能就是通过目标设备的IP 地址，查询目
标设备的MAC 地址，以保证通信的顺利进行。 每台安装有TCP/IP 协议的电脑里都有一
个ARP 缓存表，表里的IP 地址与MAC 地址是一一对应的，如下所示。 主机 IP 地址
MAC 地址 A 192.168.16.1 aa-aa-aa-aa-aa-aa B 192.168.16.2 bb-bb-bb-bb-bb-bb C 192.168.16.3
cc-cc-cc-cc-cc-cc D 192.168.16.4 dd-dd-dd-dd-dd-dd 我们以主机A（192.168.16.1）向主机B
（192.168.16.2）发送数据为例。当发送数据时，主机A 会在自己的ARP 缓存表 中寻找是
否有目标IP 地址。如果找到了，也就知道了目标MAC 地址，直接把目标MAC 地址写入
帧里面发送就可以了；如果在ARP 缓存表中没有找到相对应的 IP 地址，主机A 就会在网
络上发送一个广播，目标 MAC 地址是“”，这表示向同一网段内的所有主
机发出这样的询问： “192.168.16.2的 MAC 地址是什么？”网络上其他主机并不响应ARP
询问，只有主机B 接收到这个帧时，才向主机A 做出这样的回应： “192.168.16.2的MAC
地址是bb-bb-bb-bb-bb-bb”。这样，主机A 就知道了主机B 的 MAC 地址，它就可以向主
机B 发送信息 了。同时它还更新了自己的ARP 缓存表，下次再向主机B 发送信息时，直
接从ARP 缓存表里查找就可以了。ARP 缓存表采用了老化机制，在一段时间内如果表 中
的某一行没有使用，就会被删除，这样可以大大减少ARP 缓存表的长度，加快查询速度。
从上面可以看出，ARP 协议的基础就是信任局域网内所有的人，那么就很容易实现在以太
网上的ARP 欺骗。对目标A 进行欺骗，A 去Ping 主机C 却发送 到了
DD-DD-DD-DD-DD-DD 这个地址上。如果进行欺骗的时候，把 C 的 MAC 地址骗为
DD-DD-DD-DD-DD-DD，于是 A 发送到C 上的 数据包都变成发送给D 的了。这不正好
是D 能够接收到A 发送的数据包了么，嗅探成功。 2006-12-13 12:21 回复 221.195.201.* 2
楼 A 对这个变化一点都没有意识到，但是接下来的事情就让A 产生了怀疑。因为A 和C
连接不上了。D 对接收到A 发送给C 的数据包可没有转交给C。 做“maninthemiddle”，
进行ARP 重定向。打开D 的IP 转发功能，A 发送过来的数据包，转发给C，好比一个路
由器一样。不过，假如D 发送ICMP 重定向的话就中断了整个计划。 D 直接进行整个包
的修改转发，捕获到A 发送给C 的数据包，全部进行修改后再转发给C，而 C 接收到的
数据包完全认为是从 A 发送来的。不过，C 发送的数据 包又直接传递给A，倘若再次进行
对C 的ARP 欺骗。现在D 就完全成为A 与C 的中间桥梁了，对于A 和C 之间的通讯
就可以了如指掌了。 【故障现象】 当局域网内某台主机运行ARP 欺骗的木马程序时，会
欺骗局域网内所有主机和路由器，让所有上网的流量必须经过病毒主机。其他用户原来直接
通过路由器上网现在转由通过病毒主机上网，切换的时候用户会断一次线。 切换到病毒主
机上网后，如果用户已经登陆了服务器，那么病毒主机就会经常伪造断线的假像，那么用户
就得重新登录服务器，这样病毒主机就可以盗号了。 由于ARP 欺骗的木马程序发作的时
候会发出大量的数据包导致局域网通讯拥塞以及其自身处理能力的限制，用户会感觉上网速
度越来越慢。当ARP 欺骗的木马程序停止运行时，用户会恢复从路由器上网，切换过程中
用户会再断一次线。 【HiPER 用户快速发现ARP 欺骗木马】 在路由器的“系统历史记录”
中看到大量如下的信息（440 以后的路由器软件版本中才有此提示）： MAC Chged
10.128.103.124 MAC Old 00:01:6c:36:d1:7f MAC New 00:05:5d:60:c7:18 这个消息代表了用
户的MAC 地址发生了变化，在ARP 欺骗木马开始运行的时候，局域网所有主机的MAC
地址更新为病毒主机的MAC 地址（即所有信息的 MAC New 地址都一致为病毒主机的
MAC 地址），同时在路由器的“用户统计”中看到所有用户的MAC 地址信息都一样。 如果
是在路由器的“系统历史记录”中看到大量MAC Old 地址都一致，则说明局域网内曾经出现
过ARP 欺骗（ARP 欺骗的木马程序停止运行时，主机在路由器上恢复其真实的MAC 地
址）。 【在局域网内查找病毒主机】 在上面我们已经知道了使用 ARP 欺骗木马的主机的
MAC 地址，那么我们就可以使用 NBTSCAN 工具来快速查找它。 NBTSCAN 可以取到PC
的真实IP 地址和MAC 地址，如果有”ARP攻击”在做怪，可以找到装有 ARP 攻击的PC
的IP/和MAC 地址。 命 令 ：“nbtscan -r192.168.16.0/24”（ 搜索 整 个 192.168.16.0/24
网段 , 即 192.168.16.1-192.168.16.254）；或“nbtscan 192.168.16.25-137”搜索
192.168.16.25-137 网段，即192.168.16.25-192.168.16.137。输出结果第一列是IP 地址，最
后一列是 MAC 地址。 NBTSCAN 的使用范例： 假设查找一台MAC 地址为
“000d870d585f”的病毒主机。 1）将压缩包中的nbts 和cygw 解压缩放到c:下。
2）在 Windows 开始—运行—打开，输入 cmd（windows98 输入“command”），在出现的
DOS 窗口中输入：C: btscan -r 192.168.16.1/24（这里需要根据用户实际网段输入），回车。
3）通过查询IP--MAC对应表，查出“000d870d585f”的病毒主机的IP地址为“192.168.16.223”。
【解决思路】 1、不要把你的网络安全信任关系建立在IP 基础上或MAC 基础上，（rarp
同样存在欺骗的问题），理想的关系应该建立在IP+MAC 基础上。 2、设置静态的MAC-->IP
对应表，不要让主机刷新你设定好的转换表。 3、除非很有必要，否则停止使用ARP，将
ARP 做为永久条目保存在对应表中。 4、使用ARP 服务器。通过该服务器查找自己的ARP
转换表来响应其他机器的ARP 广播。确保这台ARP 服务器不被黑。 5、使用"proxy"代理
IP 的传输。 6、使用硬件屏蔽主机。设置好你的路由，确保 IP 地址能到达合法的路径。（静
态配置路由 ARP 条目），注意，使用交换集线器和网桥无法阻止ARP 欺骗。 2006-12-13
12:21 回复 221.195.201.* 3 楼 7、管理员定期用响应的IP 包中获得一个rarp 请求，然后
检查ARP 响应的真实性。 8、管理员定期轮询，检查主机上的ARP 缓存。 9、使用防火
墙连续监控网络。注意有使用 SNMP 的情况下，ARP 的欺骗有可能导致陷阱包丢失。
【HiPER 用户的解决方案】 建议用户采用双向绑定的方法解决并且防止ARP 欺骗。 1、
在PC 上绑定路由器的IP 和MAC 地址： 1）首先，获得路由器的内网的MAC 地址（例
如HiPER 网关地址192.168.16.254 的MAC 地址为0022aa0022aa）。 2）编写一个批处理文
件r 内容如下： @echo off arp -d arp -s 192.168.16.254 00-22-aa-00-22-aa 将文件中的
网关IP 地址和MAC 地址更改为您自己的网关IP 地址和MAC 地址即可。 将这个批处理
软件拖到“windows--开始--程序--启动”中。 3）如果是网吧，可以利用收费软件服务端程序
（pubwin 或者万象都可以）发送批处理文件 到所有客户机的启动目录。
Windows2000 的默认启动目录为“C:Documents and SettingsAll Users「开始」菜单程序启动”。
2、在路由器上绑定用户主机的IP 和MAC 地址（440 以后的路由器软件版本支持）： 在
HiPER 管理界面--高级配置--用户管理中将局域网每台主机均作绑定。 再一次鄙视那些发
arp，p2p 管制类软件的朋友！！！！！！ 一个净化的网络空间不光给别人带来便利，也会方便
到自己！！！ 试想以下当你发布了这些arp，p2p 管制软件以后，这些软件的使用者反而影响
到你自己的时候，你会有什么感觉！！！！！ 希望大家自觉抵制非网络管理员滥用此类软件，
在龙族论坛上我也经常看见，希望版主能有所考虑。 另：防护补丁可在我原来的帖子里下
载：dforc/viewt ... ight=%2Bwang1234567 有关我发的防ARP 攻击补
丁最新补完，另附送个人我防范arp 攻击心得可在我原来的帖子里下载：
dforc/viewt ... ight=%2Bwang1234567 有关我发的防ARP 攻击补丁最
新补完，另附送个人我防范arp 攻击心得 答有关我发的防ARP 攻击补丁的疑问 有朋友说
安装以后可以防止网络执法官的影响，但对网络剪刀手效果不大的疑问 在此先解释一下原
理 网络剪刀手是通过网关来控制内网的机器，若对方是合法的，你想绕开，恐怕思路上说
不过去！因为你毕竟要通过它才能往外连接啊！ 不过根据原理，这个软件好像是针对 IP
来控制的，有个办法就是在断了情况下重置自己的 IP 地址（可能还包括MAC 地址，有修
改自己 MAC 地址的软件），这样就可以暂时躲过网关的控制！但只能是暂时的！！ 该补丁
原理是实时绑定网关mac/ip，能彻底解决arp 欺骗的问题。 下载后请一定按照以下步骤操
作完成时时绑定(以下步骤只适合2K/XP 系统): 1：在命令行状态,ping 网关地址(内网)，例
如你的网关(内网)是192.168.0.1，那么在命令行状态下你输入ping 192.168.0.1,回车。 2:在命
令行状态下，输入arp -a, C:Documents and SettingsAdministrator>arp -a Interface:
192.168.0.119 --- 0x10003 Internet Address Physical Address Type 192.168.0.1
00-e0-2a-b0-75-0c dynamic 192.168.1.1 00-e0-2a-75-75-75 static 3。这时候记下你的网关地址
所对应的Physical Address ,也就是MAC 地址。 按照以下说明替换IP 和MAc 地址: FL
freeland=192.168.0.1 00-aa-bb-cc-dd-ee 1 freeland false ↓↓替换为网关IP 地址 替换为网
关MAC 值 例如你的网关是192.168.1.1 ,网关mac 地址为00-e0-2a-75-75-75,那么你的A.bat
内容应该是这样的 FL freeland=192.168.1.1 00-e0-2a-75-75-75 3 freeland false 只要动态刷新
ARP 缓存表，就可以解决 4:如果以后更换网关网卡或者路由器，这时候网关的MAC 地址
就会改变，所以请重新检查mac 地址并重新修改服务器共享盘内的 的mac 地址字符
段(否则客户机会上不了网). 2006-12-13 12:21 回复 221.195.201.* 4 楼 补丁下载 在我发的
http://dforc/viewt ... page%3D3&page=1 贴中 有2 个版本，for 2K 和for XP
的，大家可以有选择安装，for 2K 是2000 下用，for XP 是 xp 下使用，2003 版本的我现在
正在做，请xian1010 朋友等待一段时间。 另外：各种防火墙对对ARP 攻击是没有效果的，
也就是说你开着防火墙也没有用 （注：我仅仅测试了毒霸，江名，瑞星和诺顿，天网，其
他杀软防火墙没有试用，不知道效果如何） 听说zonealarm 有效，没有测试，希望有安装的
测试一下 答：xkdream 朋友的问题：你可以去下载一款辅助工具，比如一些局域网查看工具，
捕获发进来的数据包分析一下，就可以知道具体是哪个IP 在攻击你！！！！！！ 在此推荐我个
人使用的局域网查看工具，为绿色破解版，功能很不错，建议配合使用 主要功能：(1)搜索
所有工作组。(2)搜索指定网段内的计算机，并显示每台计算机的计算机名，IP 地址，工作
组，MAC 地址，用户。(3)搜索所有工作 内或是选定的一个或几个工作组内的计算机，并
显示每台计算机的计算机名，IP 地址，工作组，MAC 地址，用户。(4)将搜索出的计算机
信息保存到指定的文 本文件中。(5)搜索所有计算机的共享资源。(6)将指定共享资源映射成
本地驱动器。(7)搜索所有共享资源内的共享文件。(8)搜索选定的一个或几个共 享资源内的
共享文件。(9)在搜索共享文件时,你可选择搜索你所需要的一种或几种文件类型的共享文件。
(10)打开指定的计算机。(11)打开指定的共享 目录(12)打开指定的共享文件。 (13)发送消息，
给选定的一台或几台计算机发消息，给指定工作组内的所有计算机发消息，给所有计算机发
消息。(14) 端口扫描，你也可以扫描出局域网内或指定网段内所有开放指定 TCP 端口的计
算机,也可以扫描出指定计算机内活动的 TCP 端口。(15)ping 指定的计算 机, 查看指定计算
机的MAC 地址，所在的工作组以及当前用户等 如果动手能力再强的，可以通过设置防火
墙，使本机只响应网关来的 MAC，这才是解决的根本办法 国产的防火墙目前很少有这个功
能，我个人使用的是 Look'n'Stop，配合补丁使用，可安然无忧~“Look'n'Stop防火墙”功能
强大、设置复杂，如果对 Look'n'Stop 防火墙不熟悉的人安装完后产生了各种网络问题，最
好还是上网查查资料，自己解决一些问题，这样不仅解决了问题又学到了知识。实在没办法
就上论坛问问。 附送我个人使用Look'n'Stop 防范arp 心得： 阻止网络执法官等arp 控制
网络执法官是利用的ARp 欺骗的来达到控制目的的。 ARP 协议用来解析IP 与MAC 的
对应关系，所以用下列方法可以实现抗拒网络执法官的控制。 如果你的机器不准备与局域
网中的机器通讯，那么可以使用下述方法： A.在“互联网过滤”里面有一条“ARP: Authorize
all ARP packets”规则，在这个规则前面打上禁止标志； B.但这个规则默认会把网关的信息
也禁止了，处理的办法是把网关的MAC 地址（通常网关是固定的）放在这条规则的“目标”
区，在“以太网：地址”里选 择“不等于”，并把网关的 MAC 地址填写在那时；把自己的 MAC
地址放在“来源”区，在“以太网：地址”里选择“不等于”。 C.在最后一条“Allother packet”里，
修改这条规则的“目标”区，在“以太网：地址”里选择“不等于”，MAC 地址里填
FF:FF:FF:FF:FF:FF；把自己的MAC 地址放在“来源”区，在“以太网：地址”里选择“不等于”。
其它不改动。 这样网络执法官就无能为力了。此方法适用于不与局域网中其它机器通讯，
且网关地址是固定的情况下。 如果你的机器需要与局域网中的机器通讯，仅需要摆脱网络
执法官的控制，那么下述方法更简单实用（此方法与防火墙无关）： 进入命令行状态，运行
“ARP-s 网关IP 网关MAC”就可以了，想获得网关的MAC，只要Ping 一下网关，然后用
Arp -a 命令查看，就可以得到网关的IP 与MAC 的对应。此方法应该更具通用性，而且当
网关地址可变时也很好操作，重复一次“ARP-s 网关IP 网关MAC”就行了。此命令作用是
建立静态的ARP 解析表。
发布评论