浅谈ARP病毒入侵原理和解决方案

维普资讯 http://www.cqvip.com ２００８年０７月　内蒙古民族大学学报　Ｊｏｕｒｎａｌ　ｏｆ　Ｉｎｎｅｒ　Ｍｏｎｇｏｌｉａ　Ｕｎｉｖｅｒｓｉｔｙ　ｆｏｒ　Ｎａｔｉｏｎａｌｉｔｉｅｓ　Ｊｕ１．２００８　Ｖｏ１．１４　Ｎｏ．４　第１４卷第４期　浅谈ＡＲＰ病毒入侵原理和解决方案　崔广明　（内蒙古通辽市技工学校，内蒙古通辽０２８０００）　（摘要］网络为我们现代社会的工作、学习和生活带来了很大的便利，了解计算机及网络的工作　原理对我们安全、有效的使用网络提供了必要的基础，同时也减少了计算机病毒带来的危害和损失。　［关键词］计算￣ｔ，；ＡＲＰ病毒原理；解决方法　［中图分类号］ＴＰ３０９．５　１　ＡＲＰ协议　在局域网中，是通过ＡＲＰ协议来完成ＩＰ地址转换为第二层物理地址（即ＭＡＣ地址）的。ＡＲＰ协议对网络安全具有重　［文献标识码］Ａ　［文章编号］１００８—５１４９（２００８）０４—００２６—０２　要的意义。通过伪造ＩＰ地址和ＭＡＣ地址实现ＡＲＰ欺骗，能够在网络中产生大量的ＡＲＰ通信量使网络阻塞。　ＡＲＰ协议是“Ａｄｄｒｅｓｓ　Ｒｅｓｏｌｕｔｉｏｎ　Ｐｒｏｔｏｃｏｌ”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是　有目标主机的ＭＡＣ地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的ＭＡＣ地址。但　这个目标ＭＡＣ地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标ＩＰ　地址转换成目标ＭＡＣ地址的过程。ＡＲＰ协议的基本功能就是通过目标设备的ＩＰ地址，查询目标设备的ＭＡＣ地址，以保　证通信的顺利进行。每台安装有ＴＣＰ／ＩＰ协议的电脑里都有一个ＡＲＰ缓存表，表里的ＩＰ地址与ＭＡＣ地址是一一对应的，　如下表所示。　主机ＩＰ地址ＭＡＣ地址　Ａ　１９２．１６８．１６．１　ａａ—ａａ—ａａ—ａａ—ａａ—ａａ　Ｂ　１９２．１６８．１６．２　ｂｂ—ｂｂ—ｂｂ—ｂｂ—ｂｂ—ｂｂ　Ｃ　１９２．１６８．１６．３　ｃｃ—ｃｃ—ｃｃ—ｃｃ—ｃｃ—ｃｃ　Ｄ　１９２．１６８．１６．４　ｄｄ—ｄｄ—ｄｄ—ｄｄ—ｄｄ—ｄｄ　我们以主机Ａ（１９２．１６８．１６．１）向主机Ｂ（１９２．１６８．１６．２）发送数据为例。当发送数据时，主机Ａ会在自己的ＡＲＰ缓存　表中寻找是否有目标ＩＰ地址。如果找到了，也就知道了目标ＭＡＣ地址，直接把目标ＭＡＣ地址写入帧里面发送就可以了；　如果在ＡＲＰ缓存表中没有找到相对应的ＩＰ地址，主机Ａ就会在网络上发送一个广播，目标ＭＡＣ地址是“ＦＦ．ＦＦ．ＦＦ．ＦＦ．　ＦＦ．ＦＦ”，这表示向同一网段内的所有主机发出这样的询问：“１９２．１６８．１６．２的ＭＡＣ地址是什么？”网络上其他主机并不响　应ＡＲＰ询问，只有主机Ｂ接收到这个帧时，才向主机Ａ做出这样的回应：“１９２．１６８．１６．２的ＭＡＣ地址是ｂｂ＿ｂｂ—ｂｂ—ｂｂ—　ｂｂ—ｂｂ”。这样，主机Ａ就知道了主机Ｂ的ＭＡＣ地址，它就可以向主机Ｂ发送信息了。同时它还更新了自己的ＡＲＰ缓存　表，下次再向主机Ｂ发送信息时，直接从ＡＲＰ缓存表里查找就可以了。ＡＲＰ缓存表采用了老化机制，在一段时间内如果表　中的某一行没有使用，就会被删除，这样可以大大减少ＡＲＰ缓存表的长度，加快查询速度。　从上面可以看出，ＡＲＰ协议的基础就是信任局域网内所有的人，那么就很容易实现在以太网上的ＡＲＰ欺骗。对目标Ａ　进行欺骗，Ａ去Ｐｉｎｇ主机Ｃ却发送到了ＤＤ—ＤＤ—ＤＤ—ＤＤ—ＤＤ—ＤＤ这个地址上。如果进行欺骗的时候，把Ｃ的ＭＡＣ地　址骗为ＤＤ—ＤＤ—ＤＤ—ＤＤ—ＤＤ—ＤＤ，于是Ａ发送到Ｃ上的数据包都变成发送给Ｄ的了。这不正好是Ｄ能够接收到Ａ发　送的数据包了么，嗅探成功。　・［收稿日期２ｏｏ８—０４—２０　［作者简介］崔广明（１９６７一），男，内蒙古通辽市人，讲师，主要从事计算机应用方面的研究。　维普资讯 http://www.cqvip.com Ａ对这个变化一点都没有意识到，但是接下来的事情就让Ａ产生了怀疑。因为Ａ和Ｃ连接不上了。Ｄ对接收到Ａ发　送给Ｃ的数据包可没有转交给Ｃ。　做“ｍａｎ　ｉｎ　ｔｈｅ　ｍｉｄｄｌｅ”，进行ＡＲＰ重定向。打开Ｄ的ＩＰ转发功能，Ａ发送过来的数据包，转发给Ｃ，好比一个路由器一　样。不过，假如Ｄ发送ＩＣＭＰ重定向的话就中断了整个计划。　Ｄ直接进行整个包的修改转发，捕获到Ａ发送给Ｃ的数据包，全部进行修改后再转发给Ｃ，而Ｃ接收到的数据包完全　认为是从Ａ发送来的。不过，Ｃ发送的数据包又直接传递给Ａ，倘若再次进行对Ｃ的ＡＲＰ欺骗。现在Ｄ就完全成为Ａ与Ｃ　的中间桥梁了，对于Ａ和Ｃ之间的通讯就可以了如指掌了。　２　ＡＲＰ欺骗　从影响网络连接通畅的方式来看，ＡＲＰ欺骗分为二种，一种是对路由器ＡＲＰ表的欺骗；另一种是对内网ＰＣ的网关欺　骗。　第一种ＡＲＰ欺骗的原理是——截获网关数据。它通知路由器一系列错误的内网ＭＡＣ地址，并按照一定的频率不断进　行，使真实的地址信息无法通过更新保存在路由器中，结果路由器的所有数据只能发送给错误的ＭＡＣ地址，造成正常ＰＣ　无法收到信息。第二种ＡＲＰ欺骗的原理是——伪造网关。它的原理是建立假网关，让被它欺骗的ＰＣ向假网关发数据，而　不是通过正常的路由器途径上网。在ＰＣ看来，就是上不了网了，“网络掉线了”。　３　检查和处理“ＡＲＰ欺骗”木马的方法　（１）检查本机的“ＡＲＰ欺骗”木马染毒进程　同时按住键盘上的“ＣＴＲＬ”和“ＡＬＴ”键再按“ＤＥＬ”键，选择“任务管理器”，点选“进程”标签。察看其中是否有一个名　为“ＭＩＲ０．ｄａｔ”的进程。如果有，则说明已经中毒。右键点击此进程后选择“结束进程”。　（２）检查网内感染“ＡＲＰ欺骗”木马染毒的计算机　在“开始”一“程序”一“附件”菜单下调出“命令提示符”。输入并执行以下命令：Ｉｐｃｏｎｆｉｇ　记录网关ＩＰ地址，即“Ｄｅｆａｕｌｔ　Ｇａｔｅｗａｙ”对应的值，例如“５９．６６．３６．１”。再输入并执行以下命令：ａｒｐ—ａ　在“Ｉｎｔｅｒｎｅｔ　Ａｄｄｒｅｓｓ”下找到上步记录的网关ＩＰ地址，记录其对应的物理地址，即“Ｐｈｙｓｉｃａｌ　Ａｄｄｒｅｓｓ”值，例如“００一Ｏ１一　ｅ８一ｌｆ一３５—５４”。在网络正常时这就是网关的正确物理地址，在网络受“ＡＲＰ欺骗”木马影响而不正常时，它就是木马所　在计算机的网卡物理地址。　也可以扫描本子网内的全部ＩＰ地址，然后再查ＡＲＰ表。如果有一个ＩＰ对应的物理地址与网关的相同，那么这个ＩＰ　地址和物理地址就是中毒计算机的ＩＰ地址和网卡物理地址。　（３）置ＡＲＰ表避免“ＡＲＰ欺骗”木马影响的方法　本方法可在一定程度上减轻中木马的其它计算机对本机的影响。用上边介绍的方法确定正确的网关ＩＰ地址和网关　物理地址，然后在“命令提示符”窗口中输入并执行以下命令：ａｒｐ—ｓ网关ＩＰ网关物理地址。　（４）作批处理文件。客户端做对网关的ａｒｐ绑定，具体操作步骤如下：　步骤一：找本网段的网关地址，比如１９２．１６８．１．１，以下以此网关为例。在正常上网时，“开始一运行一ｃｍｄ—确定”，输　入：ａｒｐ—ａ，点回车，查看网关对应的Ｐｈｙｓｉｃａｌ　Ａｄｄｒｅｓｓ。比如：网关１９２．１６８．１．１对应００一Ｏ１—０２一Ｏ３一ｏ４一Ｏ５。　步骤二：编写一个批处理文件ｒａｒｐ．ｂａｔ，内容如下：　＠ｅｃｈｏ　ｏｆｆ　ａｒｐ—ｄ　ａｒｐ—ｓ　１９２．１６８．１．１　００一Ｏ１一Ｏ２一Ｏ３一ｏ４一Ｏ５　保存为：ｒａｒｐ．ｂａｔ。　步骤三：运行批处理文件将这个批处理文件拖到”Ｗｉｎｄｏｗｓ－－．开始一程序一启动”中，如果需要立即生效，请运行此文　件。　注意：以上配置需要在网络正常时进行　（５）使用安全工具软件。及时下载Ａｎｔｉ　ＡＲＰ　Ｓｎｉｆｅｒ软件保护本地计算机正常运行。　参考文献　［１］潭浩强主编．计算机基础［Ｍ］．北京：清华大学出版社，２００１．　（２］张越今．网络安全与计算机勘察技术学［Ｍ］．北京：清华大学出版社，２００３．　（责任校对郑瑛）　２７