arp欺骗病毒排查实例.pdfVIP

这段时间以来，我们都遭受着 arp 欺骗之苦，根据个人在实际中的经验，特此把本人排 除此类网络故障的一些心得体会，供大家互相学习，有不对的地方请大家指正。 网络故障现象：网速变得很慢，部分机能正常上网，但也会偶尔出现连续几个掉包现象， 大部分机器不能正常上网，出现了严重的连续的掉包现象，过一段时间又能自动连上，ping 网关，time 在波动比较大。 故障排除过程：故障排除过程： 故障排除过程：故障排除过程： 运行 Arp –a 命令，发现网关指向不正确。（注本网络网关是 3d0a ），初步判断是31b6 机器在进行 arp 欺骗，如下图 把分析故障主机连在镜像口上，运行 sniffer pro 4.7 。打开 dashboard 面版，发现 broadcasts/s ，因为本人抓的是其中一个网段，此网段也不过是１００多台主机，每秒钟 26 个 广 播 包 很 不 正 常 ， 但 也 不 应 该 能 引 起 广 播 风 暴 ， 应 该 是 arp 欺 骗 包 正常的情况broadcasts/s 维持在比较低的水平, 如下图。如果发现某个时间段以来broadcasts/s 居高不下，就应该引起足够的中重视. 切换到 Hosttable 面版，发现其中一台主机的广播量远远大于其他主机（正常情况下维 持比较低的广播量，具体要看监控时间长短但分布比较均匀，不会出现某一台主机的广播量 远远大于其他正常主机的现象）， 因为没有截取 31b6 机器当时 hosttable 的图，用这张图片 做示例，如下图： 切换到 Protocol distribudion ,发现 Arp 协议使用率占很大比例（一般在正常网络运行， ip 占99 ％以上），如下图： 对广播量最大的主机 31b6 进行抓包解码分析,发现 31b6 主机不断欺骗网关，宣称它是 192.168.2.0/24 网段的主机 （够狠毒，让其他的主机不能和网关正常通讯），如下图： 附图说明：31b6 对网关宣称它是 192.168.2.2 主机 31B6 对网关 3d0a 宣称它是 192.168.2.15 的主机，如下图： 到此，造成这次的网络故障原因就已经很清楚了，是 31b6 机器在进行 arp 欺骗活动， 所以造成其他主机不能正常上网，很遗憾因为抓包时间不够长，所以不能看到 31b6 欺骗其 他主机，宣称它是网关的数据包，因此，对 31b6 进行隔离,杀毒，发现了是一个可疑进程 npf ， 用超级魔法兔子清除此进程，用反间谍专家清除木马文件，用 kav6 杀毒（就差点没有低格 了，哈哈）整个网络又回复了正常。