用命令行查找ARP病毒母機 2008-07-10 17:49:17 www.hackbase.com 來(lái)源：互聯(lián)網(wǎng)
用命令行查找ARP病毒母機 用命令行查找ARP病毒母機 如何能夠快速檢測定位出局域網(wǎng)中的ARP病毒電腦？ 面對著(zhù)局域網(wǎng)中成百臺電腦，一個(gè)一個(gè)地檢測顯然不是好辦法。其實(shí)我們只要利用ARP病毒的基本原理：發(fā)送偽造 ...
用命令行查找ARP病毒母機
用命令行查找ARP病毒母機
如何能夠快速檢測定位出局域網(wǎng)中的ARP病毒電腦？
面對著(zhù)局域網(wǎng)中成百臺電腦，一個(gè)一個(gè)地檢測顯然不是好辦法。其實(shí)我們只要利用ARP病毒的基本原理：發(fā)送偽造的ARP欺騙廣播，中毒電腦自身偽裝成網(wǎng)關(guān)的特性，就可以快速鎖定中毒電腦?？梢栽O想用程序來(lái)實(shí)現以下功能：在網(wǎng)絡(luò )正常的時(shí)候，牢牢記住正確網(wǎng)關(guān)的IP地址和MAC地址，并且實(shí)時(shí)監控著(zhù)來(lái)自全網(wǎng)的ARP數據包，當發(fā)現有某個(gè)ARP數據包廣播，其IP地址是正確網(wǎng)關(guān)的IP地址，但是其MAC地址竟然是其它電腦的MAC地址的時(shí)候，這時(shí)，無(wú)疑是發(fā)生了ARP欺騙。對此可疑MAC地址報警，在根據網(wǎng)絡(luò )正常時(shí)候的IP－MAC地址對照表查詢(xún)該電腦，定位出其IP地址，這樣就定位出中毒電腦了。下面詳細說(shuō)一下如何利用命令行方式檢測ARP中毒電腦的方法.
命令行法
這種方法比較簡(jiǎn)便，不利用第三方工具，利用系統自帶的ARP命令即可完成。當局域網(wǎng)中發(fā)生ARP欺騙的時(shí)候，ARP病毒電腦會(huì )向全網(wǎng)不停地發(fā)送ARP欺騙廣播，這時(shí)局域網(wǎng)中的其它電腦就會(huì )動(dòng)態(tài)更新自身的ARP緩存表，將網(wǎng)關(guān)的MAC地址記錄成ARP病毒電腦的MAC地址，這時(shí)候我們只要在其它受影響的電腦中查詢(xún)一下當前網(wǎng)關(guān)的MAC地址，就知道中毒電腦的MAC地址了，查詢(xún)命令為 ARP －a，需要在cmd命令提示行下輸入。輸入后的返回信息如下：
Internet Address Physical Address Type
192.168.0.1 00-50-56-e6-49-56 dynamic
這時(shí)，由于這個(gè)電腦的ARP表是錯誤的記錄，因此，該MAC地址不是真正網(wǎng)關(guān)的MAC地址，而是中毒電腦的MAC地址！這時(shí)，再根據網(wǎng)絡(luò )正常時(shí)，全網(wǎng)的IP—MAC地址對照表，查找中毒電腦的IP地址就可以了。由此可見(jiàn)，在網(wǎng)絡(luò )正常的時(shí)候，保存一個(gè)全網(wǎng)電腦的IP—MAC地址對照表是多么的重要?？梢允褂胣btscan工具掃描全網(wǎng)段的IP地址和MAC地址，保存下來(lái)，以備后用。
=============
arp -a 查看MAC
ARP -D 清空ARP緩存
arp -s 綁定網(wǎng)關(guān)，格式為 arp -s ip mac :ARP -S 網(wǎng)關(guān)IP 網(wǎng)關(guān)MAC
本篇文章來(lái)源于 黑基網(wǎng)-中國最大的網(wǎng)絡(luò )安全站點(diǎn) 原文鏈接：http://www.hackbase.com/tech/2008-07-10/41237.html
本站僅提供存儲服務(wù)，所有內容均由用戶(hù)發(fā)布，如發(fā)現有害或侵權內容，請
點(diǎn)擊舉報。
