arp欺骗事故

 【转自】http://catcity.blog.51cto.com/310698/60120

 

以前在网上也读过一些关于arp欺骗的文章，大部分介绍的症状都是导致被攻击主机网络无法正常通讯。前两天公司的一个楼层（同一个vlan），出现一个奇怪现象，大部分网络通讯都很正常，只是访问公司OA系统时，用户登录之后，无法显示用户页面。这其中只有一台主机完全正常，这台主机不妨命名为ＨＡ。

　　首先我们对ＯＡ服务器进行排查，发现完全正常。然后对不能该楼层不能正常访问ＯＡ的电脑进行病毒清查（没有使用专门的防ＡＲＰ欺骗工具），也无任何结果。然后升级３６０安全卫士，并启用防ＡＲＰ欺骗功能，侦测到有某ｍａｃ地址冒充网关进行攻击，从而证实由于ＡＲＰ欺骗引起故障。然后在主机中查看ａｒｐ条目，发现网关的ｍａｃ地址已被篡改。在接入层交换机查看ｍａｃ地址与端口对应表，发现原来此端口所连接的主机正是ＨＡ。然后马上对ＨＡ进行杀毒，发现多个盗号木马。清除之后恢复正常。

　　

　　总结：

１、ａｒｐ病毒在被感染主机（ＨＡ）上一并开启了网关功能，可以转发大部分被攻击主机的数据包，从而使被攻击主机在看似网络一切正常的情况下，获取该主机的网络数据包，达到其更加不可告人的目的。幸亏不能访问我们的ＯＡ，否则真不知道要被蒙在骨里多久了。

２、如果大范围遭受ＡＲＰ欺骗，则其当中至少有一台主机网络通讯看似是最正常的，则这台主机很可能就是ＡＲＰ病毒的感染者（宿主），所以要重点关注这样的主机。