2024年3月9日发(作者：)

维普资讯

研究与交流　

信息与检索　

ｌ学界　

校园网络　

病毒攻击和对策　

口黄少敏　

计算机网络具有联结形式多样性、终端分布不均匀性和网　

００—００－００—００－００－２２”。这样，主机Ａ就知道了主机Ｂ的　

络的开放性、互联性等特征，致使网络易受黑客、恶意软件和其　ＭＡＣ地址，它就可以向主机Ｂ发送信息了。同时它还更新了１９　

他不轨人员的攻击，无论一个单位属于何种类型，它们都面Ｉ临着　

己的ＡＲＰ缓存表，下次再向主机Ｂ发送信息时，直接从ＡＲＰ缓　

一

个同样的问题：如何面对来１９互联网上各种不安全因素的挑　

存表里查找就可以了。　

ＡＲＰ缓存表是动态更新的，通常采用老化机制，在一段时间　

战。黑客、病毒在网上的觊觎为企事业的发展带来巨大的压力。　

解决计算机病毒问题最有效的方法是加强防范工作。下面我们　

内如果表中的某一行没有使用，就会被删除，这样可以大大减少　

将结合近期我院局域网内计算机感染ＡＲＰ病毒的情况做一些讨　

ＡＲＰ缓存表的长度，加快查询速度。ＡＲＰ缓存表是可以查看的，　

论。　

也可以添加和修改。在命令提示符中输入”ａｒｐ－ａ”就可以查看　

ＡＲＰ缓存表中的内容了。　

用”ａｒｐ－ｄ”命令可以删除ＡＲＰ表中某一行的内容ｉ用　

１．ＡＲＰ的应用原理　

ｐ—Ｘ”可以手动在ＡＲＰ表中指定ｉＰ地址与ＭＡＣ地址的对　

在局域网中的网络中实际传输的是“帧”，帧里面是有目标　

“ａｒ

　

主机的ＭＡＣ地址的。但这个目标ＭＡＣ地址是通过ＡＲＰ《ａｄ－　

应。

ｄｒｅｓｓ　ｒｅｓｏｌｕｔｉｏｎ　ｐｒｏｔｏｃｏ１．地址解析协议）获得的。ＡＲＰ协议的基　

木功能就是通过目标设备的１Ｐ地址，查询目标设备的ＭＡＣ地　

址以保证通信的顺利进行。　

ＩＰ地址与ＭＡＣ地址是一一对应的。如表１所示。　

表１　ＩＰ地址与ＭＡＣ地址对应表　

２．ＡＲＰ病毒工作过程　

ＡＲＰ病毒的工作原理，其实是对局域网中的机器进行ＡＲＰ　

欺骗，虚拟局域网内部的网关地址，以此来收集局域网中登录信　

息。通过解析得到用户信息的破坏性软件。该软件　

只要在局域网的任何一台客户机上安装并且运行，　

就可以获取整个网吧内所有的登录信息。　

主机　

Ａ　

ｊＰ地址　

２０２．１９２．１４５．１　

ＭＡＣ地址　

００－００—００—００－００—１　１　

ＡＲＰ病毒工作时，首先在将安装有ＡＲＰ机器　

的网卡ＭＡＣ地址通过ＡＲＰ欺骗广播至整个局域　

网，使局域网中的工作站误认为安装ＡＲＰ的机器是　

该局域网的网关。由于局域网中的所有信息都必须　

通过网关来中转，当它伪装成网关时，由于物理地　

Ｂ　

Ｃ　

２０２．１９２．１４５．２　

２０２．１９２．１４５．３　

００—００—００—００—００—２２　

００－００．—００——００－００．—３３　

我们以主机Ａ向主机Ｂ发送数据为例。当发送数据时，主　

机Ａ会在自己的ＡＲＰ缓存表中寻找是否有目标ＩＰ地址。如果　

址错误，网络上的计算机发来的数据无法正常发送到网关，无法　

正常上网，造成这些计算机无法访问外网，而局域网中所有机器　

的数据却都可能流经它而被它窃取。　

从上面ＡＲＰ协议的工作流程我们可以看到，通过修改ＩＰ　

地址与ＭＡＣ地址的对应关系，通过物理地址的篡改，可以达到　

ＡＲＰ地址欺骗或攻击的目的。　

找到了，也就知道了目标ＭＡＣ地址，直接把目标ＭＡＣ地址写　

入帧里发送就可以了；如果在ＡＲＰ缓存表中没有找到相对应的　

ｉＰ地址，主机Ａ就会在网络上发送一个广播，目标ＭＡＣ地址是　

“ＦＦ．ＦＦ．ＦＦ．ＦＦ，ＦＦ．ＦＦ”，这表示向同一网段内的所有主机发　

出这样的询问：“２０２．１９２．１４５ｌ２的ＭＡＣ地址是什么？”，网络　

上其他主机并不响应ＡＲＰ询问，只有主机Ｂ接收到这个帧时，　

才向主机Ａ做出这样的回应：“２０２．１９２　１４５ｌ２的ＭＡＣ地址是　

基于ＡＲＰ协议的这一工作特性，借助于一些黑客工具例如　

网络剪刀手等，黑客向对方计算机不断发送有欺诈性质的ＡＲＰ　

广东科技２００７　０４总第１６６期　

维普资讯

学界Ｉ　信息与检索　研究与交流　

数据包和ＡＲＰ恢复数据包，数据包内包含有与当前设备重复的　有用户的ＭＡＣ地址信息都一样。　

ＭＡＣ地址，使对方在回应时，由于简单的地址重复错误而导致　如果是在交换设备的日志中看到大量ＭＡＣ　Ｏｌｄ地址都一　

不能进行正常的网络通信，这样就可以在一台普通计算机上通　

致，则说明局域网内曾经出现过ＡＲＰ欺骗（ＡＲＰ欺骗的木马程　

过发送ＡＲＰ数据包的方法来控制网络中任何一台计算机的上网　

序停止运行时，主机在路由器上恢复其真实的ＭＡＣ地址）。　

与否，甚至还可以直接对网关进行攻击，让所有连接网络的计算　

机都无法正常上网。　

除了在交换设备日志外，还可以通过一些扫描程序，探测网　

络中哪些主机的网卡处于混杂模式，这些主机也有可能是感染　

了ＡＲＰ木马。　

３．ＡＲＰ木马病毒发作特征　

ＡＲＰ攻击不仅会造成网络中断，而且会对网络数据安全造　

我们可以使用ＮＢＴＳＣＡＮ工具来快速查找：　

ＮＢＴＳＣＡＮ可以取到ＰＣ的真实１Ｐ地址和ＭＡＣ地址，如　

成巨大的隐患，一般情况下，受到ＡＲＰ攻击的计算机会出现两　

种现象：　

（１）不断弹出“本机的ＸＸ段硬件地址与网络中的ＸＸ段地　

址冲突”的对话框；　

（２）计算机不能上网，出现网络中断的症状。　

这种攻击是利用ＡＲＰ请求报文进行“欺骗”的，所以防火　

墙会误以为是正常的请求数据包而不予拦截，因此普通的防火　

墙很难抵挡这种攻击。　

从攻击的目标来看，ＡＲＰ欺骗分为３种：　

（１）路由器ＡＲＰ列表的欺骗，欺骗的原理是截获网关数据。　

它通知路由器一系列错误的内网ＭＡＣ地址，并按照一定的频　

率不断发送，使真实的地址信息无法通过更新保存在路由器中，　

结果路由器的所有数据只能发送给错误的ＭＡＣ地址，使ＰＣ无　

法收到信息，造成网络中断，不停变更的ＭＡＣ地址，就是路由　

器ＡＲＰ列表欺骗病毒的一种。　

②交换机ＡＲＰ列表的欺骗。交换机内部同样维护着一个动　

态可升级的ＭＡＣ缓存，有一个对应的端口ＭＡＣ地址列表，交　

换机的端口对应ＭＡＣ地址表，Ｐｏｒｔｎ＜－－＞ＭＡＣ记录着每一个　

端口下面存在的ＭＡＣ地址。ＭＡＣ／ＣＡＭ攻击是指利用工具产　

生欺骗ＭＡＣ，快速填满交换机的ＣＡＭ表，这时新的ＭＡＣ地址　

的数据包就会广播到交换机所有端口，交换机就像共享Ｈｕｂ一　

样工作，黑客可以用工具监听所有端口的流量，此类攻击不仅造　

成安全性的破坏，而且大量的广播包降低了交换机的性能，甚至　

造成网络堵塞或崩溃。　

⑧内网的网关欺编，欺骗的原理是伪造网关。通过建立虚假　

网关，让被它欺骗的ＰＣ向假网关发送数据，而不是通过正常的　

途径，这也就是上不了网、网络掉线，当攻击源向局域网大量发　

送虚假的ＡＲＰ信息后，就会造成局域网中ＡＲＰ缓存的崩溃。　

４．查找感染ＡＲＰ木马的主机　‘　

在交换设备的日志中可以看到大量如下所示的类似信息：　

ＭＡＣ　Ｃｈｇｅｄ　２０２．１９２．１４５．１　

ＭＡ　Ｃ　Ｏｌｄ　００：００：６ｅ：ｆ８：ｄ７：ｊｆ　

ＭＡ　Ｃ　Ｎｅｗ　００：０ｓ：３ｆ：３ａ：２４：ｃ２　

这个信息代表用户的ＭＡＣ地址发生了变化，在ＡＲＰ欺骗　

木马开始运行的时候，局域网所有主机的ＭＡＣ地址更新为病　

毒主机的ＭＡＣ地址（即所有信息的ＭＡＣ　Ｎｅｗ地址都一致为　

病毒主机的ＭＡＣ地址），同时在路由器的“用户统计”中看到所　

５０　

广东科技２００７　０４总第１６６期　

果有ＡＲＰ木马在作怪，可以找到装有木马的ＰＣ的ＩＰ和ＭＡＣ　

地址。　

在命令提示符下输入：“ｎｂｔｓｃａｎ一２０２．１９２．１４５．Ｏ／２４”　

（搜索整个２０２．１９２．１４５．０／２４网段，即２０２．１９２．１４５．１—　

２０２．１９２．１４５．２５４）ｉ输出结果第一列是ＩＰ地址，最后一列是　

ＭＡＣ地址。如果查到两个１Ｐ地址所对应的ＭＡＣ地址相同，则　

这两台电脑中必有一个中了ＡＲＰ木马。　

ＡＲＰ欺骗攻击的包一般有以下两个特点，满足其中之一就　

可以视为攻击包报警：第一是以太网数据包头的源地址、目标地　

址和ＡＲＰ数据包的协议地址不匹配；第二是ＡＲＰ数据包的发　

送和目标地址不在自己网络网卡ＭＡＣ数据库内，或者与自己　

网络的ＭＡＣ数据库ＭＡＣ／ＩＰ不匹配。　

根据检测到的数据包，再把网关的、本网段的所有ＭＡＣ地　

址与自己网络的Ｍａｃ数据库中的数据相对比，看看哪些不匹　

配，就可以找到假冒的ＡＲＰ数据包，然后逐步查找到攻击源。　

５．攻击的防范　

为了防范ＡＲＰ攻击，我们认为通过以下七种手段来进行控　

制：　

（１）病毒源。对病毒源头的机器进行处理，杀毒或重新装系　

统。此操作比较重要，解决了ＡＲＰ攻击的源头ＰＣ机的问题，可　

以保证内网免受攻击。　

（２）管理员检查局域网病毒，安装杀毒软件（江民／瑞星，，必　

须要更新病毒代码），对机器进行病毒扫描。　

Ｉ３）给系统安装补丁程序，通过Ｗｉｎｄｏｗｓ　Ｕｐｄａｔｅ安装好系　

统补丁程序。　

（４）给系统管理员账户设置足够复杂的密码，最好能是１２　

位以上，也可以禁用／删除一些不使用的账户。　

（５）经常更新杀毒软件（病毒库），设置允许的可设置为每天　

定时自动更新。安装并使用网络防火墙软件，网络防火墙在防病　

毒过程中也可以起到至关重要的作用，能有效地阻挡来自网络　

的攻击和病毒的入侵。　

（６）关闭一些不需要的服务，条件允许的可关闭一些没有必　

要的共享。完全单机的用户也可直接关闭Ｓｅｒｖｅｒ服务。　

（７）不要随便点击打开ＱＱ、ＭＳＮ等聊天工具上发来的链　

接信息，不要随便打开或运行陌生、可疑文件或程序，如邮件中　

的陌生附件，外挂程序等。一　

（作者单位：汕头大学医学院）