Question

如何精确定位ARP攻击源头

Answer 1

定位好机器后，再做病毒信息收集，提交给趋势科技做分析处理。
标注:网卡可以置于一种模式叫混杂模式(promiscuous)，在这种模式下工作的网卡能够收到一切通过它的数据，而不管实际上数据的目的地址是不是它。这实际就是Sniffer工作的基本原理:让网卡接收一切它所能接收的数据。
被动定位方式:在局域网发生ARP攻击时，查看交换机的动态ARP表中的内容，确定攻击源的MAC地址;也可以在局域居于网中部署Sniffer工具，定位ARP攻击源的MAC。
也可以直接Ping网关IP，完成Ping后，用ARP
–a查看网关IP对应的MAC地址，此MAC地址应该为欺骗的,使用NBTSCAN可以取到PC的真实IP地址、机器名和MAC地址，如果有”ARP攻
击”在做怪，可以找到装有ARP攻击的PC的IP、机器名和MAC地址。
命令:“nbtscan
-r
192.168.16.0/24”(搜索整个192.168.16.0/24网段,
即192.168.16.1-192.168.16.254);或“nbtscan
192.168.16.25-137”搜索192.168.16.25-137
网段，即192.168.16.25-192.168.16.137。输出结果第一列是IP地址，最后一列是MAC地址。
NBTSCAN的使用范例:
假设查找一台MAC地址为“000d870d585f”的病毒主机。
1)将压缩包中的nbtscan.exe
和cygwin1.dll解压缩放到c:下。
2)在Windows开始-运行-打开，输入cmd(windows98输入“command”)，在出现的DOS窗口中输入:C:
btscan
-r
192.168.16.1/24(这里需要根据用户实际网段输入)，回车。
3)通过查询IP–MAC对应表，查出“000d870d585f”的病毒主机的IP地址为“192.168.16.223”。
通过上述方法，我们就能够快速的找到病毒源，确认其MAC--〉机器名和IP地址。
2.防御方法
a.使用可防御ARP攻击的三层交换机，绑定端口-MAC-IP，限制ARP流量，及时发现并自动阻断ARP攻击端口，合理划分VLAN，彻底阻止盗用IP、MAC地址，杜绝ARP的攻击。
b.对于经常爆发病毒的网络，进行Internet访问控制，限制用户对网络的访问。此类ARP攻击程序一般都是从Internet下载到用户终端，如果能够加强用户上网的访问控制，就能极大的减少该问题的发生。