[转载]清华电脑大规模瘫痪，幕后黑手竟是“ARP欺骗”病毒，教你几招清除办法
[转载]清华电脑大规模瘫痪，幕后黑手竟是“ARP欺骗”病毒，教你几招清除办法
清华电脑大规模瘫痪，幕后黑手竟是“ARP欺骗”病毒，教你几招清除办法
前几天京华时报报道一种新的网络病毒可以让大学宿舍的上万台电脑无法上网，真的很厉害，具体的内容如下：
清华万余电脑感染病毒 百余宿舍网络端口被封
文章来源: 京华时报 2007-05-14
清华大学李同学反映：我住在学校紫荆公寓5号楼，从4月份开始，宿舍网速就变得非常慢，而且电脑总出现死机现象。开始我以为是电脑出了问题，但后来发现舍友和其他宿舍同学的电脑都不同程度出现这种情况。
因为网速慢，许多需要用邮件交作业的同学，都要跑到学校外面的网吧上网。我每次网上提交申请出国的手续都要反复许多次才能成功，耽误了不少时间。不知道学校校园网中的电脑病毒什么时候能够治愈？
记者核实：清华大学的校园BBS上，有多名同学抱怨学校宿舍网速太慢，并频频出现掉线现象。引起这种现象的是一种名为“ARP欺骗”的电脑病毒。从4月10日起，已经陆续有100多个宿舍网络端口被封闭，给学生们的正常上网带来了影响。
清华大学网管会服务组工作人员回复：一个物理端口受到“ARP病毒”攻击，整个IP地址段内的电脑都会无法上网，一个IP地址段最多有200多个用户，从4月份开始，学校累计已经超过万台电脑受到了影响，给学生生活和学习，以及教师的办公都带来了很大影响。
清华大学网络中心工作人员回复：这种病毒2006年首次在清华大学出现。到2006年年底，病毒已经演变成了十几个变种，不仅造成局域网的通信故障，还会截取局域网内所有的通讯数据。为防止病毒肆虐，去年寒假期间，对学校44栋学生宿舍楼进行了大规模的联合查杀，查杀之后，病毒消失了一段时间，但今年4月份开始又卷土重来。只要有一台电脑受到病毒感染，病毒就会通过网络的物理端口，感染给局域网内的其他电脑。现在只能是发现中毒端口便立即封闭，但这种封闭都有一定的期限，是为了防止病毒的蔓延，封闭期间这些宿舍学生不能上网。
而针对这种新型的危害极大的病毒，安全软件厂商里面金山毒霸的反应最快，在金山毒霸工作人员铁军的博客里面，看到了非常专业的分析：而且还给出了很详细的解决办法，帖子很长，大家耐心的看看吧，别忘了帮我顶一下帖子就好了 o(∩_∩)o…
又见ARP攻击会话劫持挂马的黑客程序
2007-05-10 17:18
病毒详细信息
病毒全名 Win32.Hack.ArpSpoon.h
病毒长度 26112
威胁级别 ★★
病毒类型 黑客程序
病毒简介
这是一个ARP欺骗病毒,它能向同网段所有计算机发送ARP欺骗数据包,挟持了该网段内的网关,使经过网关的每个数据包都经过受病毒感染的计算机,该计算机会寻找HTTP响应包,在包内加入挂马的代码.
技术细节
1:ARP欺骗
病毒会枚举本计算机所在的网段,并发送经过伪造的ARP(Address Resolution Protocol)数据包,
挟持了本网段的网关地址,使本网段的所有的数据包都经过该计算机.
2:修改特定数据包
病毒会对所有的数据包进行分析,过滤出HTTP应答包,并在包里面插入一段代码，使用户看到的网页最前面被插入以上代码,该网页会利用ANI漏洞(MS07-017)下载并运行木马程序,建议用户及时补上计算机上已知的漏洞.
注：
利用ARP欺骗挂木马并没有真正的修改网页服务器上的页面内容,它是在数据包传输中非法修改里面的数据,强行插入病毒代码,而且影响范围相当的广,若一个空间服务商的一台服务器中毒,就会使得该服务器所在的网段的传输的数据包都被修改,很可能会影响到数以百计的网站空间.而且寻找ARP欺骗的源头并不容易查出,所以这种攻击方式具有极大的危害性.建议网络管理员使用静态的路由表来管理网络的MAC与IP地址.
其他信息
ARP攻击详细内容,包含了arpspoon的代码
http://linux.chinaunix.net/bbs/archiver/tid-887543.html
受影响系统 Win 9x/ME,Win 2000/NT,Win XP,Win 2003
金山毒霸的铁军还给出了相应的解决方案，很有参考价值哈：
现在局域网中感染ARP 病毒的情况，由于此种现象目前非常普遍，清理和防范都比较困难，给不少的网络管理员造成了很多的困扰。下面就是处理这个病毒的一些参考方法，供大家参考：
ARP 病毒的症状：
有时候无法正常上网，有时候有好了，包括访问网上邻居也是如此，拷贝文件无法完成，出现错误；局域网内的ARP 包爆增，使用Arp 查询的时候会发现不正常的Mac 地址，或者是错误的Mac 地址对应，还有就是一个Mac 地址对应多个IP 的情况也会有出现。
ARP 攻击的原理：
ARP 欺骗攻击的包一般有以下两个特点，满足之一可视为攻击包报警:第一以太网数据包头的源地址、目标地址和ARP 数据包的协议地址不匹配。或者，ARP数据包的发送和目标地址不在自己网络网卡MAC 数据库内，或者与自己网络MAC 数据库MAC/IP 不匹配。这些统统第一时间报警，查这些数据包(以太网数据包)的源地址(也有可能伪造)，就大致知道那台机器在发起攻击了。现在有网络管理工具比如网络执法官、P2P 终结者也会使用同样的方式来伪装成网关，欺骗客户端对网关的访问，也就是会获取发到网关的流量，从而实现网络流量管理和网络监控等功能，同时也会对网络管理带来潜在的危害，就是可以很容易的获取用户的密码等相关信息。
处理办法：
通用的处理流程：
1 .先保证网络正常运行
方法一：编辑个***.bat 文件内容如下：
arp.exe s
**.**.**.**（网关ip） ****
**
**
**
**（
网关mac 地址）
end
让网络用户点击就可以了!
办法二：编辑一个注册表问题，键值如下：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"mac"="arp s
网关IP 地址网关Mac 地址"
然后保存成Reg 文件以后在每个客户端上点击导入注册表。
2 找到感染ARP 病毒的机器。
a：在电脑上ping 一下网关的IP 地址，然后使用ARP －a 的命令看得到的网关对应的MAC 地址是否与实际情况相符，如不符，可去查找与该MAC 地址对应的电脑。
b：使用抓包工具，分析所得到的ARP 数据报。有些ARP 病毒是会把通往网关的路径指向自己，有些是发出虚假ARP 回应包来混淆网络通信。第一种处理比较容易，第二种处理比较困难，如果杀毒软件不能正确识别病毒的话，往往需要手工查找感染病毒的电脑和手工处理病毒，比较困难。
c：使用mac 地址扫描工具，nbtscan 扫描全网段IP 地址和MAC 地址对应表，有助于判断感染ARP 病毒对应MAC 地址和IP 地址。
预防措施：
1，及时升级客户端的操作系统和应用程式补丁；
2，安装和更新杀毒软件。
4，如果网络规模较少，尽量使用手动指定IP 设置，而不是使用DHCP 来分配IP 地址。
5，如果交换机支持，在交换机上绑定MAC 地址与IP 地址。（不过这个实在不是好主意）
还有，使用金山毒霸的朋友要升级病毒库，可以很好的进行防范；此外也可以下载金山专杀工具，进行病毒的扫描查杀，效果也不错，最主要的工具是免费的，呵呵。可以来这里下载相应的工具：http://www.duba.net/default.shtml
防患于未然，只要提高自己的安全上网意识，加强主动防范，还是可以很好的享受轻松愉快的上网体验的。 |
