ARP病毒氾濫!!!!!ARP病毒處理全攻略
該木馬病毒不僅會影響自己的上網和資訊安全，還會波及全網，只要還有一台電腦感染該病毒，就會對學校的網路運行和資訊安全造成嚴重的威脅，請各校園網用戶務必行動起來，並請相互告知。以下程式帶有此類ARP病毒（傳奇殺手等），請不要使用：
****傳奇2冰橙子1.44版
傳奇2及時雨PK版
"網吧傳奇殺手"的木馬軟體進行傳奇帳號和口令的掃描
網路執法官等類似程式
1、中毒現象
宿舍內機器以前可正常上網的，突然出現可認證，不能上網的現象（無法ping通網關），重啟機器或在MSDOS窗口下運行命令ARP -d後，又可恢復上網一段時間。病毒發作時除了會導致同一局域網內的其他用戶出現時斷時續外，還會竊取用戶口令（如 QQ 、網路遊戲、網上銀行以及其他脆弱系統帳號等），這是木馬的慣用伎倆。
2、我們VS病毒
這是APR病毒欺騙攻擊造成的。
引起問題的原因一般是由傳奇外挂攜帶的ARP木馬攻擊。當有同學在宿舍局域網內使用上述外挂時，外挂攜帶的病毒會將該機器的MAC地址映射到網關的IP地址上，向局域網內大量發送ARP包，從而致使同一網段地址內的其他機器誤將其作為網關，這就是為什麼掉線時內網是互通的，電腦卻不能上網的原因。
該病毒主要通過 ARP 欺騙實施破壞行為。 ARP 欺騙分兩種，一種是對路由器 ARP 表的欺騙；另一種是對內網，對內網 PC 的網關欺騙。第一種 ARP 欺騙的原理是－截獲網關數據。它通知路由器一系列錯誤的內網 MAC 地址，並按照一定的頻率不斷的更新學習進行，使真實的地址資訊無法通過更新保存在路由器中，結果路由器的所有數據只能發送錯誤的 MAC 地址，造成正常的 PC 無法收到資訊。第二種 ARP 欺騙原理是－通過交換機的 MAC 地址學習機制，偽造網關。它的原理是建立假的網關，讓被它欺騙的 PC 向假網關發送數據，而不是通過正常的路由器或交換途徑尋找網關，造成在同一網關的所有 PC 無法訪問網路。
3、網路解毒劑DIY
步驟一. 在能上網時，進入MS-DOS窗口，輸入命令：
arp –a
查看網關IP對應的正確MAC地址，將其記錄下來。
注：如果已經不能上網，則先運行一次命令arp –d將arp緩存中的內容刪空，電腦可暫時恢復上網（攻擊如果不停止的話），一旦能上網就立即將網路斷掉（禁用網卡或拔掉網線），再運行arp –a。
步驟二. 如果已經有網關的正確MAC地址，在不能上網時，手工將網關IP和正確MAC綁定，可確保電腦不再被攻擊影響。手工綁定可在MS-DOS窗口下運行以下命令：
arp –s 網關IP 網關MAC
例如：假設電腦所處網段的網關為218.197.192.254，本機地址為218.197.192.1在電腦上運行arp –a後輸出如下：
C:\Documents and Settings>arp -a
Interface: 218.197.192.1 --- 0x2
Internet Address Physical Address Type
218.197.192.254 00-01-02-03-04-05 dynamic
其中00-01-02-03-04-05就是網關218.197.192.254對應的MAC地址，類型是動態（dynamic）的，因此是可被改變。
被攻擊後，再用該命令查看，就會發現該MAC已經被替換成攻擊機器的MAC，如果大家希望能找出攻擊機器，徹底根除攻擊，可以在此時將該MAC記錄下來，為以後搜尋做準備。
手工綁定的命令為：
arp –s 218.197.192.254 00-01-02-03-04-05
綁定完，可再用arp –a查看arp緩存，
C:\Documents and Settings>arp -a
Interface: 218.197.192.1 --- 0x2
Internet Address Physical Address Type
218.197.192.254 00-01-02-03-04-05 static
這時，類型變為靜態（static），就不會再受攻擊影響了。
但是，需要說明的是，手工綁定在電腦關機重開機後就會失效，需要再綁定。所以，要徹底根除攻擊，只有找出網段內被病毒感染的電腦，令其殺毒，方可解決。
找出病毒電腦的方法：
如果已有病毒電腦的MAC地址，可使用NBTSCAN軟體找出網段內與該MAC地址對應的IP，即病毒電腦的IP地址，然後可報告校網路中心對其進行查封。
NBTSCAN的使用方法：
下載nbtscan.rar到硬盤後解壓，然後將cygwin1.dll和nbtscan.exe兩文件拷貝到c:\windows\system32(或system)下，進入MSDOS窗口就可以輸入命令：
nbtscan -r 218.197.192.0/24 （假設本機所處的網段是218.197.192，掩碼是255.255.255.0；實際使用該命令時，應將斜體字部分改為正確的網段）。
使用nbtscan時，有時因為有些電腦安裝防火牆軟體，nbtscan的輸出不全，但在電腦的arp緩存中卻能有所反應，所以使用nbtscan時，還可同時查看arp緩存，就能得到比較完全的網段內電腦IP與MAC的對應關係。
注：1、進入MSDOS窗口的方法：
“開始”功能表 岬 “運行” 岬 在打開位置輸入cmd，點擊確定
2、點擊此鏈結
ftp://ftp.jnu.edu.cn/PUB1__S.../nbtscan.rar 可以下載。
如果你的機器受ARP病毒影響,利用這個工具找到原兇,為了你的利益,歡迎大家積極舉報中ARP木馬的機器!!!!
舉報方式為:
http://wlwh.j...u.cn 用自己學號IP地址登陸,裏面有一個舉報選項!
下面方法是比較簡單的預防ARP的處理辦法,殺毒完畢後，如果仍有斷線現象發生。以下兩種方法解決：
1、 請點擊此處下載arp免疫補丁，按照說明文件運行，即可保證網路正常。
ftp://ftp.jnu.edu.cn/PUB1__S.../arp/arp.rarARP病毒攻擊免疫補丁為必裝程式，若想更有力的抵抗ARP攻擊請裝ANTIARP軟體，該軟體不僅能保證你的電腦系統免遭ARP病毒攻擊正常上網，而且可避免IP地址被別人盜用。
第二步:沒有安裝防病毒軟體的,請及時安裝防病毒軟體
http://antivirus...du.cn/
