- 相關(guān)推薦
探析數字圖書(shū)館網(wǎng)絡(luò )防治ARP病毒的策略
摘要：本文介紹了目前在數字圖書(shū)館局域網(wǎng)內蔓延泛濫的ARP病毒的協(xié)議的工作原理及欺騙過(guò)程，結合實(shí)際工作分析了防治ARP病毒的思路。關(guān)鍵詞：ARP 數字圖書(shū)館 病毒防治
0 引言
近來(lái)，數字圖書(shū)館局域網(wǎng)相繼出現頻繁掉線(xiàn)的現象，訪(fǎng)問(wèn)Internet時(shí)斷時(shí)續，影響面積較大。通過(guò)檢查，我們發(fā)現故障的發(fā)生與ARP欺騙病毒有關(guān)。該病毒導致網(wǎng)內其他主機的ARP緩存表中默認網(wǎng)關(guān)的MAC地址錯誤，使其他主機掉線(xiàn)，達到自身主機獨享線(xiàn)路帶寬的目的。本文首先介紹ARP協(xié)議和其欺騙的過(guò)程，然后對校園網(wǎng)中此類(lèi)ARP欺騙的原理進(jìn)行分析，最后結合實(shí)際給出了相應的解決辦法。
1 ARP概述
1.1 ARP協(xié)議簡(jiǎn)介 在以太網(wǎng)(Ethernet)中，一個(gè)網(wǎng)絡(luò )設備要和另一個(gè)網(wǎng)絡(luò )設備進(jìn)行直接通信，除了知道目標設備的網(wǎng)絡(luò )層邏輯地址(正地址)外，還要知道目標設備的物理地址(MAC地址)。要知道目的MAC地址，就需要通過(guò)地址解析。所謂地址解析就是主機在發(fā)送幀前將目的正地址轉換成目的MAC地址的過(guò)程。ARP協(xié)議(Address Resolution Protocol)的基本功能就是通過(guò)目標設備的IP地址，查詢(xún)目標設備的MAC地址，以保證通信的順利進(jìn)行。
1.2 ARP協(xié)議工作原理 在每臺安裝有TCP/IP協(xié)議的主機里都有一個(gè)ARP高速緩存表，ARP高速緩存是主機維護的一個(gè)IP地址到相應以太網(wǎng)地址的映射表，表里的IP地址與MAC地址是——對應的。
如圖1所示:以主機A(IP:192.168.0.1，MAC:AA-AA-AA-AA
-AA-AA）向主機B(IP:192.168.0.2，MAC:BB-BB-BB-BB-BB-
BB)發(fā)送數據為例。
當發(fā)送數據時(shí)，主機A會(huì )在自己的ARP緩存表中尋找是否有目標B的正地址。如果找到了，也就知道了B的MAC地址，于是直接把B的MAC地址寫(xiě)入幀里面發(fā)送就可以了;如果在A(yíng)RP緩存表中沒(méi)有找到相對應的IP地址，主機A就會(huì )在網(wǎng)絡(luò )上發(fā)送一個(gè)廣播包，其目標MAC地址是FF-FF-FF-FF-FF-FF，這表示向本網(wǎng)段內的所有主機發(fā)出這樣的詢(xún)問(wèn):“192.168.0.2的MAC地址是?”網(wǎng)絡(luò )上其它主機并不響應這一ARP請求，只有主機B接收到這個(gè)幀時(shí)，才向主機A做出這樣的響應:“192.168.0.2的MAC地址是BB-BB-BB-BB-BB-BB”。這樣，主機A就知道了主機B的MAC地址，它就可以向主機B發(fā)送數據了。同時(shí)它還更新了自己的ARP緩存表，當下次再向主機B發(fā)送信息時(shí)，就直接從ARP緩存表里查找。ARP緩存表采用了老化機制，在一段時(shí)間內如果表中的某一行沒(méi)有使用，就會(huì )被刪除，這樣可以大大減少ARP緩存表的長(cháng)度，加快查詢(xún)速度。
1.3 ARP欺騙的過(guò)程 從影響網(wǎng)絡(luò )連接通暢的角度來(lái)看，ARP欺騙分為二種:一種是對網(wǎng)關(guān)(路由器或三層交換機)的欺騙;另一種是對內網(wǎng)PC的欺騙。前者是通過(guò)偽造本網(wǎng)段內一系列正地址及對應的錯誤MAC地址，并按照一定的頻率不斷發(fā)給網(wǎng)關(guān)，使真實(shí)的地址信息無(wú)法通過(guò)刷新保存在網(wǎng)關(guān)AR衛列表中，結果網(wǎng)關(guān)的所有數據只能發(fā)送給錯誤的MAC地址，造成正常的主機無(wú)法收到信息而不能上網(wǎng)。后者的原理是欺騙者偽造網(wǎng)關(guān)，讓被它欺騙的PC刷新其ARP緩存列表，從而截獲該PC發(fā)給網(wǎng)關(guān)的信息。
1.3.1 欺騙網(wǎng)關(guān) 假如C要欺騙網(wǎng)關(guān)的話(huà)，它可以通過(guò)不斷的發(fā)送偽造的應答包，如圖2所示:
C不斷向網(wǎng)關(guān)G發(fā)送偽造的ARP應答“192.168.0.1的MAC地址是DDDDDDDDDDDD”，“192.168.0.2的MAC地址是EEEEEEEEEEEE”。當G接收到C偽造的ARP應答時(shí)，都會(huì )更新自己本地的ARP緩存，這樣主機A和B將無(wú)法收到來(lái)自網(wǎng)關(guān)G的信息，從而導致不能上網(wǎng)。
1.3.2 欺騙局域網(wǎng)中某臺主機 如圖3所示:假如A想和B通信，且A的緩存中沒(méi)有B的信息，這時(shí)候A就發(fā)送一個(gè)廣播包，詢(xún)問(wèn)192.168.0.2主機的MAC地址。
假設C是欺騙者，于是C向A發(fā)送一個(gè)自己偽造的ARP應答:“192.168.0.2的MAC地址是CCCCCCCCCCCC”。當A接收到C偽造的ARP應答，就會(huì )更新本地的ARP緩存(A并不知道被偽造了)。于是A以后向B發(fā)送的信息就會(huì )被C所截獲。
2 ARP欺騙的防治
2.1 npptools.dll 是windows系統的一個(gè)動(dòng)態(tài)庫(network packet provider tools helper)常被ARP病毒利用，所以，禁止了npptools.dll將使此類(lèi)病毒無(wú)法正常運行。具體方法是：在安全模式中，打開(kāi)WINDOWS\SYSTEM32\NPPTOOLS.DLL文件。刪除這個(gè)文件后，用零字節的文件替換。最后將nnptools.dll保存為只讀文件。
2.2 制作IP綁定MAC地址的批處理文件 編寫(xiě)一個(gè)批處理文件arp.bat，內容如下:
@echo off
arp-d
arp-s網(wǎng)關(guān)IP地址 網(wǎng)關(guān)MAC地址
保存為:xxx.bat。運行批處理文件。即將這個(gè)批處理文件拖到開(kāi)始菜單啟動(dòng)中，批處理文件可以在開(kāi)機后設置一個(gè)靜態(tài)的MAC、IP 對應表，并不讓主機刷新。
2.3 對于只是感染ARP的機器可以通過(guò)手動(dòng)來(lái)清除而不用重新安裝系統。
2.3.1 結束ARP病毒進(jìn)程vktserv.exe，刪除系統中存在的下列文件:%windows%\system32\LOADHW.EXE。
%windows%\system32\driver\npf.sys
%windows%\system32\msitimit.dll
2.3.2 刪除病毒的假驅動(dòng)程序,打開(kāi)注冊表服務(wù)項:HKEY_LOCALMACHINE/SYSTEM/CurrentControlSet/Services/Npf,保存退出重新啟動(dòng)電腦。
2.4 經(jīng)常更新殺毒軟件（病毒庫），安裝并使用ARP防火墻軟件，如奇虎360ARP防火墻。
2.5 MAC地址與IP地址的綁定是最簡(jiǎn)單有效的ARP攻擊防御方法。這樣在查找ARP中毒電腦時(shí)很方便。利用局域網(wǎng)查看工具（Lan See）可以很方便地收集同一網(wǎng)段內機器的IP地址、機器名、MAC地址。需要注意的是先關(guān)閉被收集信息的機器的Windows防火墻，才能收集到所需信息。
3 結束語(yǔ)
ARP病毒的泛濫對數字化圖書(shū)館的影響很大，網(wǎng)絡(luò )總是掉線(xiàn)，導致了讀者不能正常使用圖書(shū)館資源，工作人員不能順暢的工作，帶來(lái)了很多障礙。本文分析了ARP欺騙的原理提出了解決ARP欺騙的幾種方法。解決ARP欺騙以及防范有關(guān)病毒的更多更好的方法，還有待于我們繼續探討。
參考文獻:
[1]謝希仁.計算機網(wǎng)絡(luò )[M].北京:電子工業(yè)出版社,2004.
[2][美]Douglas E C.用TCP/IP進(jìn)行網(wǎng)際互聯(lián)(第1卷):原理、協(xié)議與結構[M].4版.北京:電子工業(yè)出版社,2003:7.
[3]王奇.
【探析數字圖書(shū)館網(wǎng)絡(luò )防治ARP病毒的策略】相關(guān)文章：
探析網(wǎng)絡(luò )營(yíng)銷(xiāo)發(fā)展及策略03-19
淺談圖書(shū)館崗位輪換策略探析03-21