如何使用Ｓｎｉｆｆｅｒ　Ｐｏｒｔａｂｌｅ分析ＡＲＰ病毒攻击.docVIP

如何使用Ｓｎｉｆｆｅｒ　Ｐｏｒｔａｂｌｅ分析ＡＲＰ病毒攻击 　　摘要：网络病毒无处不在，防不胜防，ARP病毒具有很大危害性，它发送大量的伪造数据包，占用网络带宽，通过攻击网关MAC地址，会造成全网段计算机无法正常上网，它还通过截取数据包方式，盗取用户帐户和密码等信息。要彻底分析ARP病毒，必须从ARP协议和病毒工作原理入手，分析查找病毒源。Sniffer Portable软件作为流行的抓包工具，功能强大，几乎所有网络异常情况，都可以通过它得以及时发现，它支持OSI七层协议，能在各种网络拓扑环境中抓取数据包并进行解码，直观易懂，是网络技术人员的必备工具之一。 　　关键词：Sniffer；病毒；ARP； MAC 　　中图分类号：TP309文献标识码：A文章编号：1009-3044(2008)09-11600-03 　　 　　How to Analyze the Attack of ARP Virus Using Sniffer Portable 　　YUAN Zi-hai 　　(Anhui Electric Power Transmission Transformation Co., Hefei 230022, China) 　　Abstract: Network virus exist in network everywhere, it’s impossible to defend effectively. ARP virus has huge harm to network by sending a large number of spurious packets, which consume network bandwidth. They attack the MAC address of LAN gateway and result in all computers in the LAN can’t surf the net. They also steal account and password by intercept the traffic packets. To thoroughly analyze the ARP virus and find out the origin, administrators have to start with the ARP protocol and the work principle of them. Sniffer Portable software is a popular tool of capturing packets, it has powerful function, and can solve almost all the abnormal network issues. It supports the OSI seven layer protocols, capture packets and analyze it in various network environments. It has friendly interface and become a necessary tool of network administrators. 　　Key words: Sniffer; Virus; ARP; MAC 　　 　　1 引言 　　 　　ARP病毒也叫ARP地址欺骗类病毒，它发作时会向全网发送伪造的ARP应答数据包，通常会造成网络掉线、但网络物理连接正常，局域网内部分或全部计算机不能上网，或者网络连接时断时续并且网速明显变慢等现象，严重影响到企业局域网的安全运行。Sniffer Portable软件作为流行的抓包工具，功能强大，几乎所有网络异常情况，都可以通过它得以及时发现，它支持OSI七层协议，能在各种网络拓扑环境中抓取数据包并进行解码，是分析ARP病毒攻击的优秀工具之一。 　　 　　2 ARP协议及病毒攻击原理 　　 　　要了解ARP病毒的攻击原理，我们先来了解一下ARP协议。 　　2.1 ARP协议工作原理 　　ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。其功能是实现局域网中从IP地址到MAC地址的转换。在局域网中，网络中实际传输的是“帧”，帧里面有源和目标主机的MAC地址，帧在网络中就是靠这个MAC地址进行目标识别和传输的。ARP协议通过发送请求广播包，查询目标设备的MAC地址，得到应答后将MAC地址插入帧中，就可以在网络中进行传输了。 　　每台安装有TCP/IP协议的计算机里都有一个ARP缓存表，表里的IP地址与MAC地址一一对应，如下表所示：