ARP病毒病毒發(fā)作時候的特征為， 中毒的機(jī)器會偽造某臺電腦的MAC地址， 如該偽造地址為網(wǎng)關(guān)服務(wù)器的地址， 那么對整個網(wǎng)絡(luò)均會造成影響， 用戶表現(xiàn)為上網(wǎng)經(jīng)常瞬斷。

例子中的IP地址均為假設(shè)， 正確的IP請查詢或加入群13770791

一、在任意客戶機(jī)上進(jìn)入命令提示符(或MS-DOS方式)， 用arp –a命令查看：

C:WINNTsystem32>arp -a

Interface: 192.168.100.93 on Interface 0x1000003

Internet Address Physical Address Type

192.168.100.1 00-50-da-8a-62-2c dynamic

192.168.100.23 00-11-2f-43-81-8b dynamic

192.168.100.24 00-50-da-8a-62-2c dynamic

192.168.100.25 00-05-5d-ff-a8-87 dynamic

192.168.100.200 00-50-ba-fa-59-fe dynamic

可以看到有兩個機(jī)器的MAC地址相同， 那么實(shí)際檢查結(jié)果為 00-50-da-8a-62-2c為192.168.0.24的MAC地址， 192.168.100.1的實(shí)際MAC地址為00-02-ba-0b-04-32， 我們可以判定192.168.100.24實(shí)際上為有病毒的機(jī)器， 它偽造了192.168.100.1的MAC地址。

二、在192.168.100.24上進(jìn)入命令提示符(或MS-DOS方式)， 用arp –a命令查看：

C:WINNTsystem32>arp -a

Interface: 192.168.100.24 on Interface 0x1000003

Internet Address Physical Address Type

192.168.100.1 00-02-ba-0b-04-32 dynamic

192.168.100.23 00-11-2f-43-81-8b dynamic

192.168.100.25 00-05-5d-ff-a8-87 dynamic

192.168.100.193 00-11-2f-b2-9d-17 dynamic

192.168.100.200 00-50-ba-fa-59-fe dynamic

可以看到帶病毒的機(jī)器上顯示的MAC地址是正確的， 而且該機(jī)運(yùn)行速度緩慢， 應(yīng)該為所有流量在二層通過該機(jī)進(jìn)行轉(zhuǎn)發(fā)而導(dǎo)致， 該機(jī)重啟后所有電腦都不能上網(wǎng)， 只有等arp刷新MAC地址后才正常， 一般在2、3分鐘左右。

三、如果主機(jī)可以進(jìn)入dos窗口， 用arp –a命令可以看到類似下面的現(xiàn)象：

C:WINNTsystem32>arp -a

Interface: 192.168.100.1 on Interface 0x1000004

Internet Address Physical Address Type

192.168.100.23 00-50-da-8a-62-2c dynamic

192.168.100.24 00-50-da-8a-62-2c dynamic

192.168.100.25 00-50-da-8a-62-2c dynamic

192.168.100.193 00-50-da-8a-62-2c dynamic

192.168.100.200 00-50-da-8a-62-2c dynamic

該病毒不發(fā)作的時候， 在代理服務(wù)器上看到的地址情況如下：

C:WINNTsystem32>arp -a

Interface: 192.168.100.1 on Interface 0x1000004

Internet Address Physical Address Type

192.168.0.23 00-11-2f-43-81-8b dynamic

192.168.100.24 00-50-da-8a-62-2c dynamic

192.168.100.25 00-05-5d-ff-a8-87 dynamic

192.168.100.193 00-11-2f-b2-9d-17 dynamic

192.168.100.200 00-50-ba-fa-59-fe dynamic 

病毒發(fā)作的時候， 可以看到所有的ip地址的mac地址被修改為00-50-da-8a-62-2c， 正常的時候可以看到MAC地址均不會相同。

解決辦法：

一、采用客戶機(jī)及網(wǎng)關(guān)服務(wù)器上進(jìn)行靜態(tài)ARP綁定的辦法來解決。

1． 在所有的客戶端機(jī)器上做網(wǎng)關(guān)服務(wù)器的ARP靜態(tài)綁定。

首先在網(wǎng)關(guān)服務(wù)器（代理主機(jī)）的電腦上查看本機(jī)MAC地址

C:WINNTsystem32>ipconfig /all

Ethernet adapter 本地連接 2:

Connection-specific DNS Suffix . :

Description . . . . . . . . . . . : Intel(R) PRO/100B PCI Adapter (TX)

Physical Address. . . . . . . . . : 00-02-ba-0b-04-32

Dhcp Enabled. . . . . . . . . . . : No

IP Address. . . . . . . . . . . . : 192.168.100.1

Subnet Mask . . . . . . . . . . . : 255.255.255.0

然后在客戶機(jī)器的DOS命令下做ARP的靜態(tài)綁定

C:WINNTsystem32>arp –s 192.168.100.1 00-02-ba-0b-04-32

注：如有條件， 建議在客戶機(jī)上做所有其他客戶機(jī)的IP和MAC地址綁定。

2． 在網(wǎng)關(guān)服務(wù)器（代理主機(jī)）的電腦上做客戶機(jī)器的ARP靜態(tài)綁定

首先在所有的客戶端機(jī)器上查看IP和MAC地址， 命令如上。

然后在代理主機(jī)上做所有客戶端服務(wù)器的ARP靜態(tài)綁定。 如：

C:winntsystem32> arp –s 192.168.0.23 00-11-2f-43-81-8b

C:winntsystem32> arp –s 192.168.0.24 00-50-da-8a-62-2c

C:winntsystem32> arp –s 192.168.0.25 00-05-5d-ff-a8-87

。  。  。  。  。  。  。  。  。  

3． 以上ARP的靜態(tài)綁定最后做成一個windows自啟動文件， 讓電腦一啟動就執(zhí)行以上操作， 保證配置不丟失。

二、有條件的網(wǎng)吧可以在交換機(jī)內(nèi)進(jìn)行IP地址與MAC地址綁定

三、IP和MAC進(jìn)行綁定后， 更換網(wǎng)卡需要重新綁定， 因此建議在客戶機(jī)安裝殺毒軟件來解決此類問題：發(fā)現(xiàn)的病毒是變速齒輪2.04B中帶的， 病毒程序在 http://www.wgwang.com/list/3007.html 可下載到：

1、KAV(卡巴斯基)， 可殺除該病毒， 病毒命名為：TrojanDropper.Win32.Juntador.c殺毒信息：07.02.2005 10:48:00 C:Documents and SettingsAdministratorLocal SettingsTemporary Internet FilesContent.IE5B005Z0K9Gear_Setup[1].exe infected TrojanDropper.Win32.Juntador.c

2、瑞星可殺除該病毒， 病毒命名為：TrojanDropper.Win32.Juntador.f

3、另：別的地市報(bào)金山毒霸和瑞星命名:“密碼助手”木馬病毒(Win32.Troj.Mir2)或Win32.Troj.Zypsw.33952的病毒也有類似情況。

附：“密碼助手”病毒及TrojanDropper.Win32.Juntador.c 病毒介紹地址：

http://db.kingsoft.com/c/2004/11/22/152800.shtml

http://www.pestpatrol.com/pest_info/zh/t/trojandropper_win32_juntador_c.asp