局域网中的ARP欺骗.pdfVIP

信J息l科J学 科 局域网巾的ARP欺骗 杨玮莹 (天津滨海职业学院，天津300451) 摘 要：通过对ARP工作原理的说明，阐述了ARP病毒的欺骗原理，进而介绍了查找病毒主机的操作和相应的解决办法。 关键词：ARP欺骗；IP地址；MAC地址；绑定；网关；病毒 近来使用的办公机器只要连接互联网，瑞星 机B对应的MAC地址。此 一 罐 硼嫩 豢H^c ÷ i钙轴 。 期 个人防火墙就弹出一个“ARP欺骗”的提示框(如 ARP请求数据包里包括主 瓣 删暾蓐 癞 嘲 赫 赫瓣 襞 对 ：59：Z2 10．1^．4, 图1)，让选择信任的地址，．而且有时是不停地弹 机 A的IP地址、MAC地 矗2-l。10∞08 ． 、 舰 雒 10．1 搠254 器：享 ： ： i 器 出，此提示框总在最前，很影响正常的操作。如果 址、以及主机B的IP地址。 20o7-l lo∞：59：19 10．1．4 昏∞褂船毒 l4椭 选择了其中的一个地址，并点击“添加到ARP静 当网络中所有的主机收到 图3 态表中”后，则会弹出—个信息框。提示我有MAC 这个ARP请求后，会检查数据包中的目的IP是 塞以及其自身处理能力的限制，用户会感觉上网 地址冲突(如图2)。因为以前未曾遇到此类问题， 否和自己的IP地址一致。如果不相同就忽略此数 速度越来越慢。当ARP欺骗的木马程序停止运行 所以就此查阅了—些相关资料，才搞清楚这是局 据包；如果相同，该主机首先将发送端的MAC地 时，用户会恢复从路由器上网，切换过程中用户会 域网中发生的ARP欺骗，也是由病毒引起的。具 址和IP地址添加到自己的ARP列表中，如果 再断一次线。如果用户安装了瑞星个人防火墙，在 体说明如下： ARP表中已经存在该IP的信息，则将其覆盖，然 查看日志时可以看到“ARP欺骗事件”的记录(如 JI … _●- 一 … ～ 一 ～ … … 一 n ～ ～ 一 … 一 ～ … 后给主机A发送—个ARP响应数据包，告诉对方 图3)。 自己是它需要查找的MAC地址；主机A收到这 3查找病毒主机 冀理^Rp雹内窖有士．址)申宾 诩墙舞 饽癯经的蟪蛙喀t详■请吝 渖舟路臂穗舞， 个ARP响应数据包后，将得到的主机B的IP地 通过瑞星防火墙，或是使用抓包软件，很容 址和MAC地址添加到自己的ARP列表中，并利 易知道使用ARP欺骗木马主机的MAC地址。然 @舻；10 I．●． 5． I^c：锄 oe 黼 0A 。 用此信息开始数据的传输。如果主机A一直没有 后可以使用NBTSCAN获取本网段的IP地址和 o I~：10．1．●。 ‘ I^c： 静Ic—DE-静l7 收到ARP响应数据包，则表示ARP查询失败。 MAC地址的对应列表。这样，就可以根据IP地址 凌加到醵删嘧燕皇 2 ARP欺骗原理