ARP病毒解決辦法

ARP病毒病毒發作時候的特徵為，中毒的機器會偽造某臺電腦的MAC地址，如該偽造地址為閘道器伺服器的地址，那麼對整個網路均會造成影響，使用者表現為上網經常瞬斷。

一、在任意客戶機上進入命令提示符(或MS-DOS方式)，用arp –a命令檢視：

C:WINNTsystem32>arp -a

Interface: 192.168.0.193 on Interface 0x1000003

Internet Address Physical Address Type

192.168.0.1 00-50-da-8a-62-2c dynamic

192.168.0.23 00-11-2f-43-81-8b dynamic

192.168.0.24 00-50-da-8a-62-2c dynamic

192.168.0.25 00-05-5d-ff-a8-87 dynamic

192.168.0.200 00-50-ba-fa-59-fe dynamic

可以看到有兩個機器的MAC地址相同，那麼實際檢查結果為 00-50-da-8a-62-2c為192.168.0.24的MAC地址，192.168.0.1的實際MAC地址為00-02-ba-0b-04-32，我們可以判定192.168.0.24實際上為有病毒的機器，它偽造了192.168.0.1的MAC地址。

二、在192.168.0.24上進入命令提示符(或MS-DOS方式)，用arp –a命令檢視：

C:WINNTsystem32>arp -a

Interface: 192.168.0.24 on Interface 0x1000003

Internet Address Physical Address Type

192.168.0.1 00-02-ba-0b-04-32 dynamic

192.168.0.23 00-11-2f-43-81-8b dynamic

192.168.0.25 00-05-5d-ff-a8-87 dynamic

192.168.0.193 00-11-2f-b2-9d-17 dynamic

192.168.0.200 00-50-ba-fa-59-fe dynamic

可以看到帶病毒的機器上顯示的MAC地址是正確的，而且該機執行速度緩慢，應該為所有流量在二層透過該機進行轉發而導致，該機重啟後所有電腦都不能上網，只有等arp重新整理MAC地址後才正常，一般在2、3分鐘左右。

三、如果主機可以進入dos視窗，用arp –a命令可以看到類似下面的現象：

C:WINNTsystem32>arp -a

Interface: 192.168.0.1 on Interface 0x1000004

Internet Address Physical Address Type

192.168.0.23 00-50-da-8a-62-2c dynamic

192.168.0.24 00-50-da-8a-62-2c dynamic

192.168.0.25 00-50-da-8a-62-2c dynamic

192.168.0.193 00-50-da-8a-62-2c dynamic

192.168.0.200 00-50-da-8a-62-2c dynamic

該病毒不發作的時候，在代理伺服器上看到的地址情況如下：

C:WINNTsystem32>arp -a

Interface: 192.168.0.1 on Interface 0x1000004

Internet Address Physical Address Type

192.168.0.23 00-11-2f-43-81-8b dynamic

192.168.0.24 00-50-da-8a-62-2c dynamic

192.168.0.25 00-05-5d-ff-a8-87 dynamic

192.168.0.193 00-11-2f-b2-9d-17 dynamic

192.168.0.200 00-50-ba-fa-59-fe dynamic

病毒發作的時候，可以看到所有的ip地址的mac地址被修改為00-50-da-8a-62-2c，正常的時候可以看到MAC地址均不會相同。

解決辦法：

一、採用客戶機及閘道器伺服器上進行靜態ARP繫結的辦法來解決。

1． 在所有的客戶端機器上做閘道器伺服器的ARP靜態繫結。

首先在閘道器伺服器（代理主機）的電腦上檢視本機MAC地址

C:WINNTsystem32>ipconfig /all

Ethernet adapter 本地連線 2:

Connection-specific DNS Suffix . :

Description . . . . . . . . . . . : Intel(R) PRO/100B PCI Adapter (TX)

Physical Address. . . . . . . . . : 00-02-ba-0b-04-32

Dhcp Enabled. . . . . . . . . . . : No

IP Address. . . . . . . . . . . . : 192.168.0.1

Subnet Mask . . . . . . . . . . . : 255.255.255.0

然後在客戶機器的DOS命令下做ARP的靜態繫結

C:WINNTsystem32>arp –s 192.168.0.1 00-02-ba-0b-04-32

注：如有條件，建議在客戶機上做所有其他客戶機的IP和MAC地址繫結。

2． 在閘道器伺服器（代理主機）的電腦上做客戶機器的ARP靜態繫結

首先在所有的客戶端機器上檢視IP和MAC地址，命令如上。

然後在代理主機上做所有客戶端伺服器的ARP靜態繫結。如：

C:winntsystem32> arp –s 192.168.0.23 00-11-2f-43-81-8b

C:winntsystem32> arp –s 192.168.0.24 00-50-da-8a-62-2c

C:winntsystem32> arp –s 192.168.0.25 00-05-5d-ff-a8-87

。。。。。。。。。

3． 以上ARP的靜態繫結最後做成一個windows自啟動檔案，讓電腦一啟動就執行以上操作，保證配置不丟失。

二、有條件的網咖可以在交換機內進行IP地址與MAC地址繫結

三、IP和MAC進行繫結後，更換網路卡需要重新繫結，因此建議在客戶機安裝防毒軟體來解決此類問題：發現的病毒是變速齒輪2.04B中帶的，病毒程式在 可下載到：

1、 KAV(卡巴斯基)，可殺除該病毒，病毒命名為：TrojanDropper.Win32.Juntador.c防毒資訊：07.02.2005 10:48:00 C:Documents and SettingsAdministratorLocal SettingsTemporary Internet FilesContent.IE5B005Z0K9Gear_Setup[1].exe infected TrojanDropper.Win32.Juntador.c

2、 瑞星可殺除該病毒，病毒命名為：TrojanDropper.Win32.Juntador.f

3、 另：別的地市報金山毒霸和瑞星命名:“密碼助手”木馬病毒(Win32.Troj.Mir2)或Win32.Troj.Zypsw.33952的病毒也有類似情況。

附：“密碼助手”病毒及TrojanDropper.Win32.Juntador.c 病毒介紹地址：

[@more@]