ARP病毒電腦的定位方法_ARP原理

如何能夠快速檢測定位出局域網(wǎng)中的 A R P病

毒電腦?面對著局域網(wǎng)中成百臺電腦， 一個一個地

檢測顯然不是好辦法。 其實我們只要利用 A R P病

毒的基本原理 ： 發(fā)送偽造的 A R P欺騙廣播， 中毒電

腦自身偽裝成網(wǎng)關(guān)的特性， 就可以快速鎖定中毒電

腦。 可以設(shè)想用程序來實現(xiàn)以下功能： 在網(wǎng)絡(luò)正常

的時候， 牢牢記住正確網(wǎng)關(guān)的I P地址和 MA C地址，  

并且實時監(jiān)控來 自全網(wǎng)的 A R P數(shù)據(jù)包， 當(dāng)發(fā)現(xiàn)有某

個 A R P數(shù)據(jù)包廣播， 其 I P地址是正確網(wǎng)關(guān)的 I P地

址， 但是其 MA C地址竟然是其它電腦的 MA C地址

的時候， 這時， 無疑是發(fā)生了 A R P欺騙。 對此可疑

MA C地址報警， 再根據(jù)網(wǎng)絡(luò)正常時候 的 I P—MA C 

地址對照表查詢該電腦 ， 定位出其 I P地址， 這樣就

定位出中毒電腦了。 以下是幾種不同的檢測 A R P 

中毒電腦的方法。    ． 

4 ． 1 命令行法

這種方法比較簡便， 不利用第三方工具， 利用系

統(tǒng) 自帶的A R P命令即可完成。 上文已經(jīng)說過， 當(dāng)局

域網(wǎng)中發(fā)生 A R P欺騙的時候 ， A R P病毒電腦會向全

網(wǎng)不停地發(fā)送 A R P欺騙廣播， 這時局域網(wǎng)中的其它

電腦 就會動態(tài)更新 自身的 A R P緩存表， 將網(wǎng)關(guān)的

MA C地址記錄成 AR P病毒電腦的MA C地址， 這時

候我們只要在其它受影響的電腦中查詢一下當(dāng)前網(wǎng)

關(guān)的 MA C地 址， 就知道中毒電腦的 MA C地址了， A R P—a ， 需要在 c md 命令提示行下輸

入。 輸入后的返回信息如下： 

I n t e r n e t   Add r e s s   Ph y s i c a l   Ad d r e s s   Ty p e1 9 2． 

1 6 8． 0． 1   O O一5 O一5 6一e 6—49-5 6   d y n a mi c 

這時， 由于這個電腦的 A R P表是錯誤的記錄，  

因此， 該 MA C地址不是真正網(wǎng)關(guān)的MA C地址， 而是

中毒電腦的 MAC地址!這時， 再根據(jù)網(wǎng)絡(luò)正常時，  

全網(wǎng)的I P—MAC地址對照表， 查找中毒電腦的 I P 

地址就可以了。 由此可見， 在網(wǎng)絡(luò)正常的時候， 保存

一

個全網(wǎng)電腦的I P—M A C地址對照表是多么的重

要。 可以使用 n b t s c a n工具掃描全網(wǎng)段的I P地址和

MA C地址， 保存下來， 以備后用。  

4 ． 2 工具軟件法

現(xiàn)在網(wǎng)上有很多 A R P病毒定位工具， 其中做得

較好的是 A n t i   A R P ( 又稱 A R P防火墻) ， 當(dāng)局域網(wǎng)

中存在 A R P欺騙時， 該數(shù)據(jù)包會被A n t i   A R P記錄，  

該軟件會以氣泡的形式報警。 這時， 我們打開軟件

分析接收到的 A R P包得到欺騙機(jī)的 I P地址， ， 即可

快速定位出中毒電腦。  

4 ． 3  S n i f f e r 抓包嗅探法

當(dāng)局域網(wǎng)中有 A R P病毒欺騙時， 往往伴隨著大

量的A R P欺騙廣播數(shù)據(jù)包， 這時， 流量檢測機(jī)制應(yīng)

該能夠很好的檢測出網(wǎng)絡(luò)的異常舉動， 此時 E t h e r e a l 

這樣的抓包工具就能派上用場。  

用這個軟件就可以查出哪臺電腦正向全網(wǎng)發(fā)送

大量的A R P廣播包 ， 一般來講， 局域網(wǎng)中有電腦發(fā)

送 A R P廣播包的情況是存在的， 但是如果不停地大

量發(fā)送， 就很可疑了。 而這臺大量發(fā)送 A R P廣播包

的 電腦正是一個 A R P中毒電腦。  

以上 3種方法有時需要結(jié)合使用， 互相印證， 這

樣可以快速準(zhǔn)確地將 A R P中毒電腦定位出來。 通 的網(wǎng)絡(luò)中斷， 以免其繼續(xù)發(fā)包干擾全網(wǎng)的運行。 其

次利用最新的殺毒軟件進(jìn)行全盤殺毒。

過上述方法， 找到中毒電腦后， 首先應(yīng)該把中毒電腦