2024年3月9日发(作者：)

计算机光盘软件与应用　

工程技术　

Ｃｏｍｐｕｔｅｒ　ＣＤ　Ｓｏｆｔｗａｒｅ　ａｎｄ　Ａｐｐｌ　ｉｃａｔｉｏｎｓ　２０１０年第６期　

ＡＲＰ病毒的分析与防护　

朱文燕　

（武警江苏总队，南京２１００００）　

摘要：现代化的办公系统往往都离不开对电脑的使用，企业和部门电脑运行的稳定尤为重要，由于人们为对电脑的使　

用不当，或是信息管理部门的管理疏忽，使我们的网络经常受到电脑病毒的干扰，特别是常见的ＡＲＰ病毒，比如聚生网管、　

Ｐ２Ｐ终结者、网络执法官、网络剪刀手、局域网终结者等。ＡＲＰ病毒通常表现为网络传播快，感染终端定位困难等特点，　

一

旦感染就导致大面积的计算机终端无法进行网络访问　

关键词：ＡＲＰ攻击；ＡＲＰ协议；ＡＣＬ　

中图分类号：ＴＰ３９３．０８　文献标识码：Ａ　文章编号：１００７－９５９９（２０１０）０５—００６８—０２　

Ａｎａｌｙｓｉｓ　ａｎｄ　Ｐｒｏｔｅｃｔｉｏｎ　ＡＲＰ　Ｖｉｒｕｓ　

Ｚｈｕ　Ｗｅｎｙａｎ　

（Ｊｉａｎｇｓｕ　Ｐｅｏｐｌｅ‘Ｓ　Ａｒｍｅｄ　Ｐｏｌｉｃｅ　Ｃｏｒｐｓ，Ｎａｎｊｉｎｇ　２１　００００，Ｃｈｉｎａ）　

Ａｂｓｔｒａｃｔ：Ｍｏｄｅｍ　０衢ｃｅ　ｓｙｓｔｅｍｓ　ｏｆｔｅｎ　ｃａｎ　ｎｏｔ　ｂｅ　ｓｅｐａｒａｔｅｄ　ｏｎ　ｔｈｅ　ｕｓｅ　ｏｆ　ｃｏｍｐｕｔｅｒｓ．ｅｎｔｅｒｐｒｉｓｅ　ａｎｄ　ｄｅｐａｒｔｍｅｎｔａｌ　ｃｏｍｐｕｔｅｒ　

ｒｕｎｎｉｎｇ　ｓｔａｂｉｌｉｔｙ　ｉｓ　ｐａｒｔｉｃｕｌａｒｌｙ　ｉｍｐｏｒｔａｎｔ，ａｓ　ｐｅｏｐｌｅ　ｆｏｒ　ｔｈｅ　ｉｎａｐｐｒｏｐｒｉａｔｅ　ｕｓｅ　ｏｆ　ｃｏｍｐｕｔｅｒ　ｏｒ　ｉｎｆｏｒｍａｔｉｏｎ　ｍａｎａｇｅｍｅｎｔ　ｄｅｐａｒｔｍｅｎｔ　ｏｆ　

ｍａｎａｇｅｍｅｎｔ　ｏｖｅｒｓｉｇｈｔ．ＳＯ　ｔｈａｔ　ｏｕｒ　ｎｅｔｗｏｒｋ　ａｌｗａｙｓ　ｓｕｓｃｅｐｔｉｂｌｅ　ｔｏ　ｖｉｒｕｓ　ｉｎｔｅｒｆｅｒｅｎｃｅ，ｉｎ　ｐａｒｔｉｃｕｌａｒ，ｔｈｅ　ＡＲＰ　ｉＳ　ａ　ｃｏｍｍｏｎ　ｖｉｒｕｓ，ｓｕｃｈ　

ａｓｌＮｅｔｗｏｒｋ．Ｐ２Ｐ　Ｔｅｒｍｉｎａｔｏｒ，ｎｅｔｗｏｒｋ　ｍａｇｉｓｔｒａｔｅｓ，ｎｅｔｗｏｒｋ　ｓｃｉｓｓｏｒｓ　ｉｎ　ｈａｎｄ，ＬＡＮ　Ｔｅｒｍｉｎａｔｏｒ　ａｎｄ　ＳＯ　ｏｎ．ＡＲＰ　ｖｉｒｕｓ　ｍａｎｉｆｅｓｔｓ　ｉｔｓｅｌｆ　ｉｎ　

ｔｈｅ　ｎｅｔｗｏｒｋ　ｔｒａｎｓｍｉｓｓｉｏｎ　ｓｐｅｅｄ．ｄｉｆｉｃｕｌｆｔｉｅｓ　ｉｎ　ｐｏｓｉｔｉｏｎｉｎｇ　ｔｈｅ　ｔｅｒｍｉｎａｌ　ｃｈａｒａｃｔｅｒｉｓｔｉｃｓ　ｏｆ　ｉｎｆｅｃｔｉｏｎ．ｏｎｃｅ　ｔｈｅ　ｉｎｆｅｃｔｉｏｎ　ｈａｓ　ｌｅｄ　ｔｏ　ｌａｒｇｅ　

ａｒｅａｓ　ｏｆｔｈｅ　ｃｏｍｐｕｔｅｒ　ｔｅｒｍｉｎａｌ　ｃａｎ　ｎｏｔ　ｂｅ　ｎｅｔｗｏｒｋ　ａｃｃｅｓｓ　

Ｋｅｙｗｏｒｄｓ：ＡＲＰ　ａｔｔａｃｋｓ；ＡＲＰ　ｐｒｏｔｏｃｏｌ；ＡＣＬ　

一

、

ＡＲＰ协议分析　

ＩＳＯ国际标准组织把以“帧”的方式进行网络传播的网络　

划分为七层，分别是应用层、表示层、会话层、传输层、网络　

层、数据链路层、物理层。ＡＲＰ（地址解析协议）工作在第二层数　

据链路层中，是“ＡｄｄｒｅｓｓＲｅｓｏｌｕｔｉｏｎＰｒｏｔｏｃｏｌ”的英文缩写。在　

以太网中要使数据在不同的计算机之间进行通信，数据包必须包　

含目的ＭＡＣ地址和ＩＰ地址。一旦信源决定目的计算机的ＩＰ地址，　

将查看自己的ＡＲＰ表，定位目的ＭＡＣ地址，并将ＩＰ地址和ＭＡＣ　

地址绑定封装数据，数据包经过网络连接介质被发送。ＡＲＰ协议　

就是用来确定ＩＰ地址和ＭＡＣ地址之间这种对应关系的协议。　

二、ＡＲＰ病毒的工作原理　

ＡＲＰ协议存在的缺陷　

（一）ＡＲＰ的缓存区动态进行ＡＲＰ协议包的的存取和更新。　

（二）ＡＲＰ协议存在没有认证机制的问题，只要收到目标ｍａｃ　

是自己的ａｒｐ　ｒｅｐｌｙ包或ａｒｐ广播包（包括ａｒｐ　ｒｅｑｕｅｓｔ和ａｒｐ　

ｒｅｐｌｙ），都会接受并缓存。　

由于ＡＲＰ协议以上的缺陷给病毒的传播留下了隐患。局域网　

的计算机设备通过ＡＲＰ表中的ＩＰ和ＭＡＣ的对应关系进行数据的对　

应传输，在可信的局域网中ＡＲＰ协议可以高效、稳定的进行传输。　

而ＡＲＰ病毒在局域网内发送错误的ＡＲＰ病毒包，局域网内的机器　

在收到错误的ＡＲＰ包以后就会把原本正确的网管ＭＡＣ地址进行修　

改，使得数据包全部发送到错误的网关ＭＡＣ地址上。ＡＲＰ病毒就　

是利用这个原理对局域网进行破环，截取其他主机的数据包。ＡＲＰ　

病毒欺骗分为二种。　

种是对路由器ＡＲＰ表的欺骗，另一种是对内网ＰＣ的网关欺　

一

些现有的手段进行快速的定位ＡＲＰ攻击主机。　

（一）通过交换机和路由的ＡＲＰ列表进行排查，如果发现一　

台主机的ＭＡＣ地址对应了大黾的ＩＰ地址，那么我们就可以顺利的　

查找到ＡＲＰ攻击终端，并禁用相应的端口。　

（二）我们可以通过网络抓包分析工具进行ＡＲＰ攻击的定位，　

在交换机设备上设置镜像端口，通过ＷｉｎＰｃａｐ获得整个局域网中　

的ＡＲＰ协议包，并进行分析。如果在分析的过程中发现应答包和　

请求包不能一一对应，那么这个ＡＲＰ包就是一个伪造包，从而确　

定攻击终端。具体分析流程如下图。　

一

（三）通过现有的一些软件如ＡＲＰ防火墙、３６０安全卫士等　

也能快速的定位攻击终端。　

四、ＡＲＰ攻击的防御　

（一）通过手工绑定计算机网关的方式可以对ＡＲＰ攻击进行　

定的防御，并把下面的两行命令形成批处理文件后放入启动项　

中，这样计算机每次启动后都会对应静态的网关地址。对于网络　

一

骗。　

第一种ＡＲＰ欺骗的原理是截获网关数据。它通知路由器一系　

列错误的内网ＭＡＣ地址，并按照一定的频率不断进行，使真实的　

环境经常变化、计算机终端数量比较大的单位不建议使用。　

＠ｅｃｈｏ　ｏｆｆ　

ａｒｐ—ｄ　

ａｒｐ—Ｓ　１９２．１６８．０．２５４　Ｏｌ一２０—０４一ＸＸ—ＸＸ—ＸＸ　

地址信息无法通过更新保存在路由器中，结果路由器的所有数据　

只能发送给错误的ＭＡＣ地址，造成正常Ｐｃ无法收到信息；第二种　

ＡＲＰ欺骗的原理是伪造网关。它的原理是建立假网关，让被它欺　

骗的Ｐｃ向假网关发数据，而不是通过正常的路由器途径上网。　

三、ＡＲＰ攻击检测的定位　

由于在ＡＲＰ攻击的过程中，数据流量都是通过ＡＲＰ攻击者控　

制的主机就行转发，所以会出现大面积的计算机网卡被变为混杂　

模式，或者局域网接入的机器上网速度很慢。这时我们可以通过　

（二）建议使用带有ＡＲＰ防御功能的交换机，在交换机中配　

置静态ＡＲＰ，还可以配置ＩＰ＋ＭＡＣ＋ｐｏｒｔ绑定。　

比如在交换机端口Ｅ０／１上做以下配置：ａｍ　ｕｓｅｒ—ｂｉｎｄ　

ｉｐ—ａｄｄｒ　１９２．１６８．１．１　ｍａｃ－ａｄｄｒ　００１ｆ一８３ｆ８—０９ｅａ　ｉｎｔ　ｅＯ／１在这　

样的情况下只有ＩＰ地址为１９２．１６８．１．１，ＭＡＣ地址为　

（下转第５９页）　

计算机光盘软件与应用　

２０１０年第６期　

Ｃｏｍｐｕｔｅｒ　ＣＤ　Ｓｏｆｔｗａｒｅ　ａｎｄ　Ａｐｐｌ　ｉｃａｔ　ｉｏｎｓ　工程技术　

也较小。既然多跳网络通常使用较低功率将数据传输到邻近的节　

点，节点之间的无线信号干扰也较小，网络的信道质量和信道利　

５．Ｍｅｓｈ网络使用目前最先进的无线网络安全标准８０２．１ｌｉ　

（ＡＥＳ加密硬件支持），在现有的安全基础上支持第三方军用加密　

机，通过使用加密机，可以使整个网络达到更高级别的安全性能。　

（二）系统方案的高可靠性及安全性　

本系统应用解决方案采用革命性的Ｍｅｓｈ（网状网格）技术，　

节点之间采用无线级联方式通信。同时每个节点都可与其他节点　

以点对多点（ｐｏｉｎｔ—ｔｏ—ｍｕｌｔｉｐｏｉｎｔ）的方式连接。且无线级联没　

有跳数的限制。这样，本系统应用解决方案可构建一个蜂窝网状　

结构的网络。网内每个节点都有一条或多条的无线上联链路，提　

供了高冗余性，保证了无线传输服务的高可用性。　

从拓扑角度来说，Ｍｅｓｈ结构超越了有线光纤传输网络的环状　

用效率大大提高，因而能够实现更高的网络容量。比如在高密度　

的城市网络环境中，Ｍｅｓｈ网络能够减少使用无线网络的相邻用户　

的相互干扰，大大提高信道的利用效率。　

三、利用Ｍｅｓｈ网络解决通信需求的方案描述　

（一）利用Ｍｅｓｈ灵活的组网方式，可以在军队有如下应用　

１．军车全移动组网（野外）——在军车上安装无线Ｍｅｓｈ节点，　

组成一张可移动的网状自组网。军车上的Ｍｅｓｈ节点可自我配置，　

自动建立连接，组成蜂窝状的无线网络，提供无线通讯支持。在　

车辆移动、队形不断变化，网络拓扑随之不断变动的情况下，Ｍｅｓｈ　

结构可以自动组网，使网络不会中断连接。节点可自动跳接，保　

结构。在固定节点之间组网中，Ｍｅｓｈ拓扑可组成稳定可靠的无线　

特整网的稳定运行。监控摄像机通常被安装在军车上，被压缩成　

网，即便任何一点或几点设备出现问题，不会影响整网的正常工　

流媒体格式的图像信号通过网线从摄像机传送到车上的无线路由　

作；对于固定骨干节点和移动或固定的接入节点混合组网，或者　

器，再由无线路由器跳接，传送到指挥中心。这种方式主要用于　全移动组网，利用Ｍｅｓｈ系统特有的快速感知拓扑结构变化的能　

集团行军、演习、突发事件或战事需要等。　力，车辆可以在高达１５０公里／ｄ，时的车速条件下保持无线网络连　

２．混合组网（常驻营地）——采用固定骨干节点和移动接入　

接，为军队在行军、演练和作战指挥环境里提供高质量的军事无　

节点混合的方式组成Ｍｅｓｈ网络。固定骨干节点的部署：预先架设　线通信系统。　

在建筑物山顶等高处的固定节点，或由停靠在某处的移动通讯车　

Ｍｅｓｈ网络在军事环境中可以快速部署。新加入的节点也可以　

充当固定骨干节点两种方式。由固定骨干节点在预先需要经过的　

被自动发现，并可进而自主配置。降低了野外军事环境下组网的　

路线或是营地周边进行快速建网。作为无线Ｍｅｓｈ网络的骨干链　难度，争取了宝贵的战时时间。　

路，为其他移动节点和终端提供稳定可靠的高带宽无线连接。Ｍｅｓｈ　Ｍｅｓｈ系统支持业界先进的ＷＰＡ２标准安全协议。同时也支持　

的移动接入节点放置在车辆上，使用全向天线，在车辆高速行驶　

８０２．１ｘ认证和ＡＥＳ加密。８０２．ｉｘ动态密钥和ＡＥＳ加密需要天文数　

时，在固定节点组成的无线网络里，进行无缝不问断的数据传输。　字的处理时间才有可能破解。并且动态更新的密钥使１２８位的密　

监控摄像机通常被安装军车上或一些重要固定地点，被压缩成流　钥每分钟进行变化，绝对可以保证军用无线系统的安全。（注：　

媒体格式的图像信号通过网线从摄像机传送到车上或固定点上的　ｗｉ—Ｆｉ　Ｐｒｏｔｅｃｔｅｄ　Ａｃｃｅｓｓ（１】ＩｒＰＡ）是用来保护无线Ｗｉ－Ｆｉ网络安全　

无线路由器，再由无线路由器跳接，传送到上级机关。　的一个系统。ＷＰＡ２是由ｗｉ—Ｈ联盟最新认证的标准安全协议，主　

（二）骨干网络与移动接入节点相配合，即可快速建立一个　要采用业界先进的ＩＥＥＥ　８０２．１１ｉ无线网络安全协议。）　

覆盖整个区域的无线Ｍｅｓｈ网络，基本组成如下图所示　

五、结束语　

四、整体系统方案特点　综上所述，Ｍｅｓｈ网络具有自动配置、性能自动调节、链路自　

（一）Ｍｅｓｈ网络的五大优势特点　

主修复愈合等特性，支持负载均衡和冗余备份功能，为军用无线　

１．Ｍｅｓｈ网络不存在“单点故障”，即便任何节点出现问题，　

网络提供了稳定可靠和安全的承载平台。从一个多业务平台　

均不影响整个Ｍｅｓｈ网络的稳定运行。　

（Ｍｕｌｔｉ—Ｓｅｒｖｉｃｅ　Ｐｌａｔｆｏｒｍ）角度讲，Ｍｅｓｈ网络可以为军队的作　

２．Ｍｅｓｈ网络节点具有自动发现自主配置特性。在军车队形任　

战指挥、演习和后勤等各个系统提供无线视频、语音和数据综合　

意变化的情况下，Ｍｅｓｈ网络仍可自动组网，在快速移动条件下依　

通信支持。　

然保持无线链路的畅通。　

参考文献：　

３．Ｍｅｓｈ网络部署简单快速。节点可自动配置。在战时或演练　

［１】强磊．基于软交换的下一代网络组网技术．人民邮电出版社，２００５　

的极短时间里，即可组建一个支撑多业务、高带宽、广泛覆盖的　

［２】梁笃国＿网络视频监控技术及应用人民邮电出版社，２００９　

军用Ｍｅｓｈ网络。　

【３】方旭明．下一代无线因特网技术：无线Ｍｅｓｈ网络．人民邮电出版　

４．Ｍｅｓｈ网络运行稳定、可靠和安全。具有自动调节、链路自　

社．２００６　

主修复愈合的功能。　

（上接第６８页）　

所以我们还要在加强网络管理的同时，还要加强移动存储介质的　

Ｏｃｌｆ一８３ｆ８—０９ｅａ　ＡＲＰ报文可以通过Ｅ０／１端口，仿冒其它设备的　

管理。而对于我们网管人员来说要不断的钻研新技术、新方法，　

ＡＲＰ报文则无法通过，同时还可以在交换机上下发ＡＣＬ规则，这　

只有这样才能保障总队内部网络的安全有效的运行。　

样就可以做到过滤掉仿冒网关ＩＰ的ＡＲＰ报文，同时缩小ＡＲＰ攻击　

参考文献：　

影响的范围。　

［Ｉ】张舜，林红．ＡＲＰ协议的缺馅及ＡＲＰ欺骗的防范Ｕ】．科协论坛（下　

（三）网管人员定期对网络状况进行安全检查，通过相应的　

半月），２００８，６：５　

网络嗅探工具，捕获分析伪造的ＡＲＰ数据包，一旦发现问题及时　

【２】杨晓春，李黎明．ＡＲＰ欺骗实现交换式网络数据包嗅探原理及防　

处理。　

范　．株州工学院学报，２００３，３：２２—２４　

（四）提高使用人的安全使用计算机的习惯，经常进行系统　

【３】秦丰林，段海新，郭汝廷，ＡＲ．Ｐ欺骗的监测与防范技术综述【ｌｌ＿计　

补丁、杀毒软件的更新。安装ＡＲＰ网络防火墙如３６０安全卫士等。　

算机应用研无２００９，１：３０—３３　

不随意访问网页，运行不被信任的程序。　

五、结束语　

作者简介　

ＡＲＰ病毒虽然是利用了ＡＲＰ协议先天性的安全隐患，但是只　朱文燕（１９８２一）女，助理工程师，本科，研究方向网络安全。　

要我们利用我们现在所能掌握的一些手段，还是能有效的对ＡＲＰ　

攻击进行有效的防御。由于总队网络采用了内外网隔离的方式，