SiS001! Board - [第一会所关闭注册]

标题: [求助] 局域网ARP攻击，我快疯了 [打印本页]

作者: lioklin 时间: 2008-8-21 23:17 标题: 局域网ARP攻击，我快疯了

各位大侠，紧急求助
最近几日我公司内部网络有人装了不知什么软件，疯狂攻击，网速慢的不行
偶装了彩影防火墙后好了几天，不知这小子又怎么鼓捣的，这几天又开始慢了，可能是穿透防火墙了，
又不好直明说，只能较劲，看谁功力强了，怎么搞定他？

作者: hahase7enyuan 时间: 2008-8-21 23:23

下载个360安全卫士，把里边的ARP攻击防护打开，就好了，别人可能用的限制网速的工具，比如聚生网管，都是ARP攻击的原理

作者: man999 时间: 2008-8-21 23:23

装个360的防火墙就可以了，免费的。现在比较流行360。

作者: vinsoncs 时间: 2008-8-21 23:29

2位楼上的说的不错装个360 arp 防火墙应该没有问题了

作者: lioklin 时间: 2008-8-21 23:34

以上方法我也试了，也是不行，才换的彩影防火墙，今天居然还出现外部攻击，但彩影分析出为伪装IP攻击，还伪装成路由192.168.1.1还是他，路由也出现两个，我连IP都不能换，一换就提示IP冲突攻击

作者: littletigerman 时间: 2008-8-21 23:52

其实也没有什么啊，坐下来，跟他心平气和地说说不就得了。
毕竟都影响到正常使用了。看他用什么防火墙，你们装一样的估计就OK了。

作者: blubumbee 时间: 2008-8-22 00:09

360这么OK的都不装？楼主也太孤陋寡闻了吧...

作者: n.carter 时间: 2008-8-22 01:04

skynet的防火墙不错，放ARP还是小菜，你查出他ip既然是一个公司的就直接过去真人快打好了

作者: zbleo123 时间: 2008-8-22 03:08

前几天我也中招了妈妈的网络基本龟速还不停的掉线偶也是装了彩影ARP防火墙才解决掉也装了360 ARP防火墙但是没啥用处彩影ARP防火墙不错的就是要变免费版把IE首页变成百度呵呵无所谓啦

作者: lovestarbo1 时间: 2008-8-22 05:06

对，用360安全卫士就可以解决了。它有防ARP攻击的功能。

作者: darkstone 时间: 2008-8-22 05:22

最好还是说明，尤其是那种欺骗内网路由的，不统一杀毒很麻烦。

作者: httpfiles 时间: 2008-8-22 06:42

简单的就是装个360安全卫士，要不可以下载独立的standalone version的antiARP，没什么其他的好方法

作者: adsn 时间: 2008-8-22 08:05

用瑞星防火墙试试，现在可以免费使用一年，在详细设置里将网关的ip地址和mac地址绑定即可

作者: ddddddd1 时间: 2008-8-22 08:11

汗，这不是技术问题吧，你们公司没有网管么？没有网管还有领导吧？知道是谁留下证据告状不就好了，这是为了工作啊。

作者: 冰山之巅 时间: 2008-8-22 13:36

360ARP防火墙,或是金山ARP防火墙都可以达到楼主的要求. 谁攻谁断线

作者: 5003971 时间: 2008-8-22 14:05

对……360防火墙可以啊！！！！！！！！！

作者: songlynn 时间: 2008-8-22 14:07

你这个问题不能使用360解决了,现在的arp攻击,360的那个垃圾arp防火墙根本档不住了
的确应该用彩影的arp防火墙,建议你过度到合作版,
然后使用正确的设置
我给你说下我的设置:
网络:网关ip自己指定

安全:勾,禁止修改arp缓存表,禁止修改系统时间,禁止非法终止防火墙进程
路由:只勾前两个

防御:开为警戒, 打开智能防御模式
攻击拦截:勾:只响应来自网关的arp,其他全部不要勾

其他项里,把其他下面的全部打勾
如果不明白可以找我
如果这样都还搞不定,那么问题可能在于:
1如果你的网关是高级的带速度限制功能的,那么可能攻击方已经取得了网关的密码,在里面修改设置,影响了所有人
2如果你的网关是普通的,那么可能是对方已经攻进了网关,网关内置程序已经被修改,修复方法:换一个网关路由器,把密码设置复杂点对法

对于楼上几位建议使用360arp防火墙的,可以很负责任，很确定肯定一定的说,没有效果
它对简单的arp攻击可以拦截,但是对于专业化的软件攻击比如zxarps等,他们没有用

[ 本帖最后由 songlynn 于 2008-8-22 14:12 编辑 ]

作者: jiaolang 时间: 2008-8-22 14:44

装个金山毒霸的ARP防火墙就可以了，这年头ARP攻击很疯狂的。

作者: liyilin2006 时间: 2008-8-22 14:56

首先要装防火墙推荐360的
然后要IP-MAC绑定

作者: airfish 时间: 2008-8-22 15:11

ARP攻击其实是很容易防御的~所有防御这种攻击的软件原来一样，效果也一样~不要迷信360，只是360比较有名而且免费罢了，防御ARP攻击的原理就是绑定自己MAC和ip地址，导致其他人无法在通过IP来攻击，因为MAC是全世界唯一的。如果你还收到攻击，有两种可能，一：你中木马了~一般病毒不会造成ip冲突。二：你用的是制订IP，而正好你有同时也和你用的一个IP，这时考虑换IP，换个不常用的IP。除了.1和.255之外你随便再乱选一个吧。
既然出了这个问题了~你先用360的防ARP，然后查木马，有时间就再查病毒，没时间就不用查了~
查毒国产推荐KV，进口推荐麦咖啡和卡巴。不要用瑞星，更别用金山~我完全是在专业角度推荐而不是广告角度和流行角度推荐~

作者: abcd520 时间: 2008-8-22 15:12

同意一楼的说的.可能是你公司的高层这样子做的吧.限网速.

作者: ac1234 时间: 2008-8-22 16:15

建议安装360的ARP（网关欺骗）防火墙

作者: 带色的眼睛 时间: 2008-8-22 16:18

知道路由的密码吗? 到路由里去设置一下. 具体操作我也忘了. 你可以上网去查查. 最好学一下DOS

作者: 雨泥 时间: 2008-8-22 16:33

首先在所有的计算机上全部装上360，要把app防火墙打开哦。
第二步：重启你的所有交换机。
第三步：把网络内所有计算机的usb口全部禁用。这一步虽然不是必要的，但是这样你就可以控制外来病毒的一个较为主要的进入方式了。
第四步：调整路由器，使尽量少的计算机可以访问公网。
第五步：加强网络监控，发现有计算机不对头，马上把它干掉。

作者: 330240510 时间: 2008-8-30 22:23

LZ去下个360安全卫士咯``
里面有防ARP攻击的功能

作者: duoyu 时间: 2008-8-30 22:32

防止ARP攻击是比较困难的,修改协议也是不大可能。但是有一些工作是可以提高本地网络的安全性。

首先，你要知道，如果一个错误的记录被插入ARP或者IProute表，可以用两种方式来删除。

a.使用arp–dhost_entry
b.自动过期，由系统删除

这样，可以采用以下的一些方法：

1）.减少过期时间

#ndd–set/dev/arparp_cleanup_interval60000
#ndd-set/dev/ipip_ire_flush_interval60000

60000=60000毫秒默认是300000

加快过期时间，并不能避免攻击，但是使得攻击更加困难，带来的影响是在网络中会大量的出现ARP请求和回复，请不要在繁忙的网络上使用。

2）.建立静态ARP表

这是一种很有效的方法，而且对系统影响不大。缺点是破坏了动态ARP协议。可以建立如下的文件。

test.nsfocus.com08:00:20:ba:a1:f2
user.nsfocus.com08:00:20:ee:de:1f

使用arp–ffilename加载进去，这样的ARP映射将不会过期和被新的ARP数据刷新，除非使用arp–d才能删除。但是一旦合法主机的网卡硬件地址改变，就必须手工刷新这个arp文件。这个方法，不适合于经常变动的网络环境。

3）．禁止ARP

可以通过ifconfiginterface–arp完全禁止ARP，这样，网卡不会发送ARP和接受ARP包。但是使用前提是使用静态的ARP表，如果不在apr表中的计算机，将不能通信。这个方法不适用与大多数网络环境，因为这增加了网络管理的成本。但是对小规模的安全网络来说，还是有效和可行的。

作者: 狼之印 时间: 2008-8-30 22:51 标题: 你的路由器中毒了

我可以告诉你，那根本就不是内部网的攻击，
是你的路由器中毒
我5月份就是的，痛苦的要命，实在没有办法换了路由器就太平了
好多人不知道路由器还会中毒，但确实是

作者: jfsgg99639 时间: 2008-8-30 22:58

我不觉得金山有什么不好的

kv是不错的`但是金山也很不错的

国内的也就这两个杀软还行
其他的就算了

arp防火墙还是建议用金山的免费版本
我同学用p2p，聚生网管`网络守护神`只要我开启防火墙`他们都不能做什么了 `

作者: krm163 时间: 2008-8-30 23:39

这个问题都曾经烦扰过我啊,后来干脆换线,哈哈,就搞掂啦

作者: bluecowe 时间: 2008-8-30 23:42

先看看,哪台机器发包数量太大,可能就是中毒的机器

作者: laozi97 时间: 2008-8-30 23:59

听说360安全卫士可以。换个网卡应急一下行不行？

作者: qwertljh 时间: 2008-8-31 00:04

360安全卫士有免费的arp防火墙，很好用的，我现在用的就是

作者: qpcyet 时间: 2008-8-31 00:52

你试试在被ARP攻击的网络里找一台已经不能上网的机子，用ARP －A命令列出IP－MAC表，出现重复MAC的那个地址通常就是中毒的机子。
但如果这个MAC也是伪造的，那就要用另外的方法去解决了。

作者: wang721003 时间: 2008-8-31 00:55

徒手应对常规ARP攻击方法
首先进入cmd命令行模式，输入arp -a，查看本机的ARP缓存表。正常情况下，除了网关外不会有其他记录。
其次ping网关是否正常。
第三在cmd下输入arp -d命令，清除本机的ARP缓存表，再检查是否能恢复网络连接。
最后在cmd下输入tracert 192.168.1.1（网关）查看路由跟踪信息。正常情况下此命令执行后的输出第一跳应该是默认网关的IP地址，若发现第一跳不是网关IP，而是本网段内的另一台机器的IP，再下一跳才是网关IP，由此可以判断第一跳的非网关IP地址就是中了毒的那个罪魁祸首！

作者: godyin 时间: 2008-8-31 01:14

免费的，给每一台绑MCA地址就不会在有ARP攻击了

费事儿的，下一个360每一台装一下，如果你不怕麻烦的情况下

花钱的，买一些arp防火墙工具

作者: sober337 时间: 2008-9-5 14:47

他是装了控制流量的网管软件，你装安全卫士360，启用ARP防护就可以了。

作者: zlbyl 时间: 2008-9-5 14:57

对，用360安全卫士就可以解决了。它有防ARP攻击的功能。

作者: cyliuze 时间: 2008-9-6 02:06

一般会引起这样的风暴，一定要要求网管检查：
不排除是木马，中毒的木马都是伪造本机是网关，使得数据往中毒的机器投递。所以建议要整网杀毒，确定中毒机器，杀毒。

其实这个才是最有效的方法，单纯的解决其他单机绑定IP不是最终解决之道，因为中毒机器是攻击交换机，使得他的 MAC映射表被刷新，这个是相当恐怖的。不是你一个360，一个彩影之类的软件可以解决

作者: 102715 时间: 2008-9-6 02:31

自己拉条ADSL来自己用才能治本麻。别的都不行

作者: tokyohot 时间: 2008-9-6 03:11

把里边的ARP攻击防护打开，就好了，别人可能用的限制网速的工

作者: cjz5856 时间: 2008-9-6 17:00

告诉你你们公司使用的是 P2P终结者这款软件，专门限制网速，限制QQ,MSN,UC等等聊天，同时可以限制你的P2P,HTTP,FTP下载，方法是1：如果你有路由器的用户名和密码，同时你会设置路由器进行MAC地址绑定，对方就对你无可奈何了。2：你下载一个软件叫反P2P终结者运行后就可以不受对方限制了。现在的P2P终结者的最新版本是3.6，你可以也下载来用，不过你要比对方先上线。为什么我那么肯定是P2P终结者作怪，因为现在我一直在使用中，不过我没有你们公司的那个老几心狠把你们限制的网速太低。赶紧去网上找吧，祝你早日脱离网络龟速的苦海。忘了告诉你一件事我又重新编辑了一下，对方装上P2P终结者后，如果你装了360安全卫士并且把360的所有防御打开的话，360总是提示遭到ARP攻击，同时提供对方的内网IP地址。看看你的是否是这样。

[ 本帖最后由 cjz5856 于 2008-9-6 17:05 编辑 ]

作者: persaica 时间: 2008-9-6 18:41

交换机上去绑定一下mac地址啊。
以前我们公司也有。后来开始绑MAC了

作者: zhangbo0071 时间: 2008-9-6 18:52 标题: 新手报到哦

以上方法我也试了，也是不行，才换的彩影防火墙，今天居然还出现外部攻击，但彩影分析出为伪装IP攻击，还伪装成路由192.168.1.1还是他，路由也出现两个，我连IP都不能换，一换就提示IP冲突攻击

作者: fcniux 时间: 2008-9-6 19:31

360的防火墙不好使用专用的arp防火墙是在不行就几下攻击你的ipmarc 然后修改你的绑定的哦了

作者: wangjipeng 时间: 2008-9-6 19:39

你们公司的网管可以告诉你哪台机器攻击你，你去求助他把~

作者: ccrr33 时间: 2008-9-6 20:39

瑞星带有这arp 防护的，不行的话百度一下，这方面软件N多的

作者: lzq74 时间: 2008-9-6 20:48

装瑞星就可以了啊，及时下载离线升级包就是
局域网上的木马应该比较好杀
要不上互联网搜索一下专用的杀木马工具

作者: zcyshanghai 时间: 2008-9-7 00:06

他可能是装的双系统，然后让你的ip冲突，让你刚上网就掉线最好是认为找那样不大好找最好当面谈清楚

作者: kdwyc1 时间: 2008-9-7 00:12

用金山的arp防火墙，很管用的。试试吧

作者: zhangbo0071 时间: 2008-9-7 08:30 标题: 新手报到哦

哦是路由设置的问题我前段时间也出现过这问题吧路由恢复出厂设置每台机子的都设置成自动ip就ok了

作者: aq.idiot 时间: 2008-9-7 08:36

arp这东西现在真是防不胜防，不过它好像不能穿透防火墙呀，如果你的接入层交换机可网管的不妨做做arp的静态绑定，问题应该会有改善的！

作者: fdkhacker 时间: 2008-9-7 15:24

你确定是人为的攻击？有可能是网络形成了回路，你公司的网络的交换机是不是堆叠的啊？那样有可能形成网络回路，甚至可能引起广播风暴。你先确定好是不是人为的。

作者: fengbinghaha 时间: 2008-9-7 19:14

下个360 360挺好用的
我们家就是 360+瑞星防火墙+瑞星杀毒
效果不错

作者: d001w 时间: 2008-10-24 17:22

公司内部网络有人装了不知什么软件，疯狂攻击，网速慢的不行
偶装了彩影防火墙后好了几天，不知这小子又怎么鼓捣的，这几天又开始慢了，可能是穿透防火墙了，
又不好直明说，只

作者: d001w 时间: 2008-10-24 17:23

公司内部网络有人装了不知什么软件，疯狂攻击，网速慢的不行
偶装了彩影防火墙后好了几天，不知这小子又怎么鼓捣的，这几天又开始慢了，可能是穿透防火墙了，
又不好直明说，只公司内部网络有人装了不知什么软件，疯狂攻击，网速慢的不行
偶装了彩影防火墙后好了几天，不知这小子又怎么鼓捣的，这几天又开始慢了，可能是穿透防火墙了，
又不好直明说，只

作者: 0932034 时间: 2008-10-24 17:39

你们公司某个人中了ARP病毒了然后攻击局域网中毒者上不去网那个人不受攻击如果你们公司人少的情况下自己开这测试软件拔网线一个一个的测就知道谁了人多的话你就集体杀毒

作者: aaronghmgm 时间: 2008-10-24 18:56

装个360安全卫士，里面有防ARP攻击的软件，其实很多杀毒软件都自带的
随便找个就可以了

作者: TIELANG888 时间: 2008-10-24 19:04

到网上下载个ARP防火墙不就得了？关键是你确信他用的是ARP攻击吗？用360的也行

作者: redlife 时间: 2008-10-24 21:11

360ARP防火墙可以追踪IP，最少可以查到对方的MAC地址，这个地址是唯一的，可以在找到人又抵赖的情况下作为证据。

作者: 秋小天 时间: 2008-10-24 22:03

ARP病毒很难弄的,防火墙只能减缓,实际上作用不大,该掉线的还掉线,解决的方法就是把所有局域网的机子全部重装,或者离开这个局域网.我选择了后者

作者: 104353286 时间: 2008-10-24 22:06

安装一个ARP防火墙，然后再装一个P2P终结者，反搞他一下

作者: 82424930 时间: 2008-10-24 23:05

我估计是别人在硬件防火墙上把你的IP和MAC地址绑定了
根本不是软件问题

作者: qqjjss01 时间: 2008-10-24 23:47

不能就一个人安装360，必须全局域网都安装才成，我们单位网络以前arp攻击也很厉害，后来就好了

作者: kazuwa 时间: 2008-10-24 23:50

这个呀，你判断是公司内部的吗？如果知道人，直接向上面投诉，这个可是可以开除或者处分的行为，不用那么烦吧！

欢迎光临 SiS001! Board - [第一会所关闭注册] (http://154.84.5.248/bbs3/)