电脑不断提示ARP攻击原因分析与ARP攻击后无法上网解决办法

前言:

         经常有人问我,为什么我租房/公司的电脑老是提示ARP拦截,我应该怎样做?

         我只能很冷静的回答他:“不用管它。”

        虽然看上去像是敷衍,但我说的却是实话。因为,ARP攻击一般都是局域网内其它的电脑用户使用P2P终结者、聚生网管之类的网络管理软件进行ARP欺骗,然后试图控制局域网中的其它PC,将自己电脑MAC欺骗为网关,使所有的用户上网都通过他的PC中转来控制整个局域网造成的。当然,也有可能是一些木马病毒造成的。

如果你的电脑弹出ARP攻击的提示,那么可能是你的电脑有安装360安全卫士或金山卫士、ARP防火墙之类的防护软件,这类软件会自动判断是否为ARP欺骗,一旦检测到不对就会提示用户,而攻击者或木马病毒还在不停的发送欺骗包,所以就不会断提示,你做不了什么,最多就是选择“不再提示”而已,除非攻击者停止攻击。当然,网络管理员可以在路由绑定MAC地址解决此问题,现在很多的路由器安全设置里面也有一些ARP防护项,网络管理员可以进行相应的设定,以解决此类问题。话说回来,如果你未安装任何安全防护软件,当然不会有这个提示,可能你的电脑早就无法上网或在别人的掌控之中了。

所以,个人觉得,普通用户安装一个安全卫士之类的软件还是有一定必要的。最少会比裸奔好一点。

 

注:以上仅为个人观点,不保证完全正确,如有错误还请路过的大侠及时帮忙指正,谢谢。

下图以360的ARP防护为例,它会自动将你的上网路由与本机绑定,以免受ARP攻击或欺骗。

 

网络管理员如何解决此问题呢?

现在的路由器应该都是攻击拦截,可以尝试开启即可。当然,最有效的解决办法就是IP地址绑定。

下图以我使用的海蜘蛛软路由设置项为例,可以尝试将IP地址与MAC地址绑定(但这样做会比较麻烦):

分析:一般出现这种情况的大多为一些合租居民楼,普通小公司,员工宿舍。

 

解决办法:上面说过了,可以安装安全卫士之类的防御软件或ARP防火墙,如果你未安装任何防火墙,也可以手工进行ARP绑定。

1、首先,查找本网段的网关地址,比如192.168.8.1。在正常上网时,“开始→运行→cmd→确定”

输入:arp -a,点回车,查看网关对应的MAC地址。

如下图:


2,接着编写一个批处理文件rarp.bat,内容如下:

@echo off

arp -d

arp -s 192.168.8.1 xx-xx-xx-xx-xx-xx

 保存后,放到“Windows-开始-程序-启动”中,这样电脑每次开机就会清空ARP缓存表,然后手工绑定了192.168.8.1的MAC地址,这样就可以上网了。当然,我还是建议你使用安全软件会简单实用得多。

 

解释:arp -d   /*意思是清空arp表*/

            arp -s ip地址 mac地址          /*意思是手工绑定的对象*/

今天想说的就这么多了,以上内容全部原创,码字不容易,转载请注意原文链接,谢谢。

By:Colin

 

 
 

————————————————————————————————————————————–

另外,给大家简单分享一下arp攻击的概念。

注:以下内容来源于网络,因为比喻的比较形象,大家容易理解,我就把他贴出来了,在此感谢原文作者。

 

每一台电脑里在装好TCP/IP协议的情况下都有一个ARP缓存表,表里的IP地址与MAC地址是一一对应的。如果出现IP地址与MAC地址不对应的情况,那么你就要有事情做了。

ARP协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗,能够在网络中产生大量的ARP通信量使网络阻塞。这就是目前比较难解决的也是一个很常见的局域网安全问题。
 

下面我们就举个例子来说明ARP协议是怎样工作的,我们以主机A(192.168.1.11)向主机B(192.168.1.12)发送数据为例。

当发送数据时,主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了,也就知道了目标MAC地址,直接把目标MAC地址写入帧里面发送就可以了;如果在ARP缓存表中没有找到相对应的IP地址,主机A就会在网络上发送一个广播,目标MAC地址是“FF.FF.FF.FF.FF.FF”,这表示向同一网段内的所有主机发出这样的询问:“192.168.1.12的MAC地址是什么?”网络上其他主机并不响应ARP询问,只有主机B接收到这个帧时,才向主机A做出这样的回应:“192.168.1.12的MAC地址是bb-bb-bb-bb-bb-bb”。这样,主机A就知道了主机B的MAC地址,它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表,下次再向主机B发送信息时,直接从ARP缓存表里查找就可以了。ARP缓存表采用了老化机制,在一段时间内如果表中的某一行没有使用,就会被删除,这样可以大大减少ARP缓存表的长度,加快查询速度。
 

从上面可以看出,ARP协议的基础就是信任局域网内所有的人,那么就很容易实现在以太网上的ARP欺骗。对目标A进行欺骗,A去Ping主机C却发送到了DD-DD-DD-DD-DD-DD这个地址上。如果进行欺骗的时候,把C的MAC地址骗为DD-DD-DD-DD-DD-DD,于是A发送到C上的数据包都变成发送给D的了。这不正好是D能够接收到A发送的数据包了么,嗅探成功。A对这个变化一点都没有意识到,但是接下来的事情就让A产生了怀疑。因为A和C连接不上了。D对接收到A发送给C的数据包可没有转交给C。做“maninthemiddle”,进行ARP重定向。打开D的IP转发功能,A发送过来的数据包,转发给C,好比一个路由器一样。不过,假如D发送ICMP重定向的话就中断了整个计划。D直接进行整个包的修改转发,捕获到A发送给C的数据包,全部进行修改后再转发给C,而C接收到的数据包完全认为是从A发送来的。不过,C发送的数据包又直接传递给A,倘若再次进行对C的ARP欺骗。现在D就完全成为A与C的中间桥梁了,对于A和C之间的通讯就可以了如指掌了。ARP故障现象当局域网内某台主机运行ARP欺骗的木马程序时,会欺骗局域网内所有主机和路由器,让所有上网的流量必须经过病毒主机。其他用户原来直接通过路由器上网现在转由通过病毒主机上网,切换的时候用户会断一次线。

切换到病毒主机上网后,如果用户已经登陆了传奇服务器,那么病毒主机就会经常伪造断线的假像,那么用户就得重新登录传奇服务器,这样病毒主机就可以盗号了。

由于ARP欺骗的木马程序发作的时候会发出大量的数据包导致局域网通讯拥塞以及其自身处理能力的限制,用户会感觉上网速度越来越慢。当ARP欺骗的木马程序停止运行时,用户会恢复从路由器上网,切换过程中用户会再断一次线,这样一次又一次的掉线使得用户的上网速度越来越慢。

原文链接:,转发请注明来源!

发表评论