受到虚拟IP攻击怎么办

以前在学校机房上网的时候，也遇到过类似的问题。

看看下面说明，应该可以解决问题的。

一般攻击者会使用如同“网络执法官”这类的软件，发送数据包改变ARP缓存中的网关ip对应的MAC地址，导致找不到真正的网关而不能连如internet。原来解决这种攻击的办法是修改自己的MAC地址，使得攻击者暂时失去真正的目标，然后重新连入网络，获取网关的正确MAC地址，以便在以后被攻击后好恢复网络。

方法如下：进入到虚拟的DOS模式下ping自己的网关，然后用arp -a 命令可以看到缓存中网关对应的MAC地址,然后记录下来。当再次受到攻击导致无法上网时候可以在DOS下用arp -s 网关ip 网关MAC地址 的方式手动建立映射关系重新恢复和网关的通信。

但是这种方法在碰到恶意的连续攻击的情况下是很麻烦的，严整影响了正常使用，因为你不得不常常去修改你的缓存。还好找到了ColorSoft出的Anti Arp sniffer小东西，使用起来很简单，直接把你记录到的网关正确MAC填进去，在把自己的网卡MAC填进去，然后打开自动防护和防护地址冲突就可以了,他会自动过滤掉攻击的欺骗数据包，从而使你网络更稳定。呵呵，再也不怕因为攻击而游戏掉线了。现在Anti Arp sniffer出到了2.0版，但是感觉还是不够方便，不能自动获得当前本机的网卡MAC,在受到连续攻击的时候不停弹出受攻击的提示，十分碍眼。不过总体说来还是不错的好东东了

arp -a 查出网关MAC地址

arp -s 192.168.x.x 00-00-00-00-00-00-00

其中：192.168.x.x（网关IP）

00-00-00-00-00-00（网关MAC）

不会多查查帮助吧，系统自带的

二、

ARP攻击补丁防范网络剪刀

分类:PC病毒

因为网络剪刀手等工具的原理就是利用了ARP欺骗，所以，只要防止了ARP欺骗也等于防止了网络剪刀手。

解决办法：应该把你的网络安全信任关系建立在IP+MAC地址基础上，设置静态的MAC-地址->IP对应表，不要让主机刷新你设定好的转换表。

先在网上找一些MAC地址查找器，然后用编辑软件编辑一下编写成下面的批处理文件，

@echo off

arp -d

arp -s 192.168.5.10 00:0A:EB:C1:9B:89

arp -s 192.168.5.11 00:05:5D:09:41:09

arp -s 192.168.5.12 52:54:AB:4F:24:9D

arp -s 192.168.5.34 00:E0:4C:82:06:60

arp -s 192.168.5.35 00:E0:4C:62:F4:7C

arp -s 192.168.5.36 02:E0:4C:A0:F6:A2

。。

。。

。。

arp -s 192.168.5.201 00:10:5C:B9:AD:99

arp -s 192.168.5.215 00:0A:EB:10:DE:74

arp -s 192.168.5.220 00:E0:4C:5B:CF:49

arp -s 192.168.5.221 00:11:D8:AE:8F:C5

arp -s 192.168.5.223 00:11:2F:E4:32:EB

（将文件中的IP地址和MAC地址更改为您自己的网络IP地址和MAC地址即可），保存下来，如果有人更新了你的arp，你就运行一下你的批处理文件就行了。

参考资料： http://www.hiyi.com.cn:81/bbs/index.php?mods=topicdisplay&forumid=22&postid=220&p=1

因为网络剪刀手等工具的原理就是利用了ARP欺骗，所以，只要防止了ARP欺骗也等于防止了网络剪刀手。

解决办法(一)：应该把你的网络安全信任关系建立在IP+MAC地址基础上，设置静态的MAC-地址->IP对应表，不要让主机刷新你设定好的转换表。

具体步骤：编写一个批处理文件arp.bat内容如下(假设192.168.1.2的mac地址是00-22-aa-00-22-aa)：

@echo off

arp -d

arp -s 192.168.1.2 00-22-aa-00-22-aa

.

.

.

arp -s 192.168.1.254 00-99-cc-00-99-cc

(所有的IP与相应MAC地址都按上面的格式写好) ，将文件中的IP地址和MAC地址更改为您自己的网络IP地址和MAC地址即可。

将这个批处理软件拖到每一台主机的“windows--开始--程序--启动”中。这样每次开机时，都会刷新ARP表。

解决办法(二)：

下载防ARP攻击补丁安装!

解决办法(三)

局域网ARP攻击免疫器

这个在2000，xp 1,xp 2,2003下面都正常使用，不会对系统或游戏有任何影响。98的确没有测试过。

98下面，这个“局域网ARP攻击免疫器”packet.dll pthreadVC.dll wpcap.dll要解压缩到c:\windows\system里面才有效,另外一个npf.sys还是解压到system32\drivers里面就可以了。

我可以很负责的告诉你们!

用了以后网络执法官是不可以用了!

可是用了带arp病毒的外挂还是会掉的!!

本人再次详细申明一下：这个东东可以在2000，XP，2003下面正常使用，不会对系统.游戏有任何影响。对与98，需要使用DOS命令来实现这几个文件的免修改属性。可以屏蔽网络执法官.网络终结者之类的软件对网吧进行毁灭性打击。至于由于病毒造成的危害，就无能为力了。没有一个东西是万能滴。。。

他的原理就是不让WinPcap安装成功，以上的程序只是随便找个sys 和dll文件代替WinPcap的安装文件,并把这几个文件只读,至于win98下如何用,原理也一样,自己先安装WinPcap然后再其卸载程序当中看到WinPcap在system里面写了什么文件,再便找个sys 和dll文件代替其中关键的三个wpcap.dll、packet.dll、npf.sys，在win98当中可能是两个。至于这种方法安全吗？我认为一般，首先arp病毒不能防止，并且能容易把它破掉

1、ARP攻击

针对ARP的攻击主要有两种，一种是DOS,一种是Spoof。

ARP欺骗往往应用于一个内部网络，我们可以用它来扩大一个已经存在的网络安全漏洞。

如果你可以入侵一个子网内的机器，其它的机器安全也将受到ARP欺骗的威胁。同样，利用APR的DOS甚至能使整个子网瘫痪。

2、对ARP攻击的防护

防止ARP攻击是比较困难的,修改协议也是不大可能。但是有一些工作是可以提高本地网络的安全性。

首先，你要知道，如果一个错误的记录被插入ARP或者IP route表，可以用两种方式来删除。

a. 使用arp –d host_entry

b. 自动过期，由系统删除

局域终结者,网络执法官,网络剪刀手

1。将这里面3个dll文件复制到windows\system32 里面，将npf.sys 这个文件复制到 windows\system32\drivers 里面。

2。将这4个文件在安全属性里改成只读。也就是不允许任何人修改

三、

1.建立DHCP服务器(建议建在网关上，因为DHCP不占用多少CPU，而且ARP欺骗攻击一般总是先攻击网关，我们就是要让他先攻击网关，因为网关这里有监控程序的，网关地址建议选择192.168.10.2 ，把192.168.10.1留空，如果犯罪程序愚蠢的话让他去攻击空地址吧)，另外所有客户机的IP地址及其相关主机信息，只能由网关这里取得，网关这里开通DHCP服务，但是要给每个网卡，绑定固定唯一IP地址。一定要保持网内的机器IP/MAC一一对应的关系。这样客户机虽然是DHCP取地址，但每次开机的IP地址都是一样的。

2.建立MAC数据库，把网吧内所有网卡的MAC地址记录下来，每个MAC和IP、地理位置统统装入数据库，以便及时查询备案。

3.网关机器关闭ARP动态刷新的过程，使用静态路邮，这样的话，即使犯罪嫌疑人使用ARP欺骗攻击网关的话，这样对网关也是没有用的，确保主机安全。

网关建立静态IP/MAC捆绑的方法是：建立/etc/ethers文件，其中包含正确的IP/MAC对应关系，格式如下：

192.168.2.32 08:00:4E:B0:24:47

然后再/etc/rc.d/rc.local最后添加：

arp -f 生效即可

在局域网中，一个主机要和另一个主机进行直接通信，除知道目标主机的IP地址外还必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？就是通过地址解析协议获得的。所谓"地址解析"就是主机在发送数据前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。即ARP协议是用来来完成IP地址转换为MAC地址（即第二层物理地址）的。在局域网中，网络中实际传输的是"帧"，帧里面是有目标主机的MAC地址的。

每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的，默认情况下，ARP从缓存中读取IP-MAC条目，缓存中的IP-MAC条目是根据ARP响应包动态变化的。因此，只要网络上有ARP响应包发送到本机，即会更新ARP高速缓存中的IP-MAC条目。在DOS窗口输入命令arp -a 可以看到如下所示的对应关系。

C:\Documents and Settings\Administrator>arp -a

Internet Address Physical Address Type

192.168.1.1 aa-aa-aa-aa-aa-aa dynamic 主机A

192.168.1.2 bb-bb-bb-bb-bb-bb dynamic 主机B

192.168.1.3 cc-cc-cc-cc-cc-cc dynamic 主机C

192.168.1.4 dd-dd-dd-dd-dd-dd dynamic 主机D

Internet Address 指IP地址，Physical Address 指物理地址，type 指类型。

通过以上示例可以看出IP地址为192.16.16.1的IP地址对应的物理地址 (即MAC地址)为aa-aa-aa-aa-aa-aa，其类型为动态。

我们以主机A（192.168.1.1）向主机B（192.168.1.2）发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了，也就知道了目标MAC地址，直接把目标MAC地址写入帧里面发送就可以了；如果在ARP缓存表中没有找到相对应的IP地址，主机A就会在网络上发送一个广播，目标MAC地址是"FF.FF.FF.FF.FF.FF"，这表示向同一网段内的所有主机发出这样的询问： "192.168.1.2的MAC地址是什么？"网络上其他主机并不响应ARP询问，只有主机B接收到这个帧时，才向主机A做出这样的回应： "192.168.1.2的MAC地址是bb-bb-bb-bb-bb-bb"。这样，主机A就知道了主机B的MAC地址，它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表，下次再向主机B发送信息时，直接从ARP缓存表里查找就可以了。ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。

从上面可以看出，ARP协议的基础就是信任局域网内所有的人，那么就很容易实现在以太网上的ARP欺骗。对目标A进行欺骗，A去Ping主机C却发送到了 DD-DD-DD-DD-DD-DD这个地址上。如果进行欺骗的时候，把C的MAC地址骗为DD-DD-DD-DD-DD-DD，于是A发送到C上的数据包都变成发送给D的了。这不正好是D能够接收到A发送的数据包了么，欺骗成功。

ARP协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗，从而在网络中产生大量的ARP通信量使网络阻塞。用伪造源MAC地址发送ARP响应包，是对ARP高速缓存机制的攻击。

攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，造成网络中断或中间人攻击。当攻击者大量向局域网中发送虚假的ARP信息后，就会造成局域网中的机器ARP缓存的崩溃。

---