1. 首頁 > 生活百科 > >

局域網攻擊_怎么查出局域網內的ARP攻擊？

生活百科

局域網攻擊是怎么回事？局域網攻擊是一種局域網IP攻擊病毒，會引起掉線，傳播病毒等，建議首先把防火墻隨時保持開啟狀態，然后查下電腦是不是有病毒和木馬程序攻擊，其次建議重裝系統 。了解更多服務優惠點擊下方的“官方網址”客服220為你解答 。
ARP局域網攻擊是什么意思？

    ARP攻擊是一個帶毒的主機廣播一個ARP數據包，冒充該網絡默認網關；
    所有其他電腦就把默認網關的MAC地址改為該電腦的MAC地址；
    當用戶向默認網關發送數據的時候就把數據發送給該電腦而造成信息泄露；
    有的ARP病毒可以繼續把數據轉發給正常的網關只是造成數據泄露而不影響正常上網 。但是有的ARP病毒就不再轉發數據而造成不能上網；
    而且ARP病毒還能夠通過廣播傳染給本局域網的所有主機而造成整個網絡癱瘓 。因此很多園區網就利用防火墻阻止ARP病毒的傳播與危害 。

如何徹底屏蔽局域網內ARP攻擊？通過路由器設定靜態ARP列表徹底屏蔽局域網內ARP攻擊 。
1、登錄路由器 。在瀏覽器中輸入路由器WEB管理地址（一般為192.168.1.1），回車，按照提示輸入帳號密碼（大多數默認為admin），點擊“確定”登錄 。
【局域網攻擊_怎么查出局域網內的ARP攻擊？】2、依次點擊“IP與MAC綁定”—“靜態ARP綁定設置” ， 選中“啟用”，然后點擊“確定” 。
局域網攻擊_怎么查出局域網內的ARP攻擊？

文章插圖
3、點擊“添加新條目”，按照提示把計算機的IP地址和MAC地址錄入進去 。然后點擊“確定” 。
4、然后把局域網中的計算機信息全部錄入即可 。如果局域網計算機過多，那么工作量就會很重，如果碰到有人亂改IP地址，那么后續工作量會更大 。那么對于計算機量很大的局域網可以采用下述方法 。 如何攻擊局域網內的電腦（知道對方IP），致使他關機裝個彩影ARP防火墻《網上一收就出來》裝好后設置為合作就行了！想攻擊也很容易你也下個 聚生網管理 P2P之內的限制他就可以了！但前提他沒裝ARP防火墻！如果你可以動路由器的話就好多了！直接在路由器里設置
如何防止局域網內的網絡攻擊網絡攻擊是近來常發生的問題 ， 可以分為遭受外網攻擊及內網攻擊 。以下分別說明:
1、外部來的DoS攻擊會造成網絡掉線，判別方法是從路由器的系統日志文件中可以看出，Qno俠諾的路由器會顯示遭受攻擊，而且路由器持續在工作 。其它品牌的路由器，有些也有相關的功能，用戶可以查看使用手冊 。DoS病毒攻擊 ， 如SYN攻擊，因為發出大量數據包導致系統資源占用過多 ， 使路由器損耗效能造成網絡壅塞，達到癱瘓網吧網絡對于廣域網來的攻擊，路由器能作的不多，也無法反擊 。此時，網吧管理者或網管應直接聯系對應的運營商，請求更換WAN IP 。
2、內網遭受DoS攻擊時 ， 也會造成掉線或壅塞 。網吧管理者或網管可以從被激活的告警日志中，查找到內網攻擊源頭的中毒機器，第一時間先拔除PC機網絡線，阻止DoS攻擊影響擴大，并進行殺毒或重新安裝系統 。
3、內網遭受沖擊波攻擊是另一個原因，沖擊波攻擊，是針對網絡特定服務端口(TCP/UDP 135~139，445)發出大量數據包導致系統資源占用過多，使路由器損耗效能造成網絡壅塞，以達到癱瘓網吧網絡的目的 。同樣網吧管理者或網管可以從Qno俠諾被激活的告警日志中，發現問題 。網吧管理者或網管可以針對特定服務端口(TCP/UDP 135~139，445)設置網絡存取條例 ， 并從被激活的防火墻日志中，查找到內網攻擊源頭的中毒機器，第一時間先拔除PC機網絡線，阻止沖擊波攻擊影響擴大 ， 并進行殺毒或重新安裝系統 。
4、內網遭受ARP攻擊是最近常發生的原因 ， ARP病毒攻擊以竄改內網PC機或路由器 IP或MAC地址，來達到盜取用戶賬號/密碼，進一步進行網絡盜寶等犯罪行為，或是惡意癱瘓網吧網絡 。ARP病毒攻擊會造成內網IP或MAC沖突，出現短時間內部份斷線 。網吧要確定網吧已做好Qno俠諾路由器及內網PC機端雙向綁定IP/MAC地址的防制工作，內網所有的PC機與路由器IP/MAC地址對應關系都被保存到路由器的ARP緩存表中 ， 不能被輕易更改 。此時ARP攻擊雖然并不會擴及其它PC機，但網吧管理者或網管還是必須立即查找出內網攻擊源頭的中毒機器，進行殺毒或重新安裝系統 。路由器內建ARP病毒來源自動檢測工具 ， 系統日志中可提供攻擊源的IP或MAC地址，幫助網吧進行查找攻擊源機器 。有些高階路由器也都有相仿的設計 。
網絡遭受攻擊，可從路由器相關功能找出遭受攻擊類型 ， 網吧管理者或網管查找、直擊攻擊源加以隔離與排除，在攻擊發起時即能迅速加以解決，無需等到客人反應受到影響 。
另外網絡的雍堵也可能造成掉線.
1、短暫網絡壅塞 ， 有可能是網吧內突發的帶寬高峰，網吧管理員或網管應關注路由器的帶寬統計，可先持續關注狀況 。若是尖峰時段，網吧客人較多，帶寬也會比較吃緊，或是有用戶使用BT、P2P軟件做大量上傳 ， 占用大量帶寬，造成網絡卡 。網吧管理員或網管此時應設置QoS流量管理規范內網用戶最大使用帶寬，才能讓網絡聯機恢復正常 ， 解決壅塞情況 。
2、尖峰時段持續性壅塞，是有用戶使用BT、P2P 軟件進行大量下載，或在線觀看電影、視訊等占用大量帶寬行為 。若是用戶觀看電影人數很多 ， 網吧應考慮于內網安裝電影服務器供用戶使用，才不致因觀看影片人多占用對外帶寬 。對于大量下載，則應考慮建置內部私服加以改善 。
3、若是長時間從路由器看到帶寬占用率高 ， 有可能表示網吧根本帶寬不足，線路帶寬過?。?不足以提供目前在線眾多人數使用，應考慮加大線路帶寬 。這時就可利用多WAN口特性進行帶寬的升級，解決帶寬不足的問題 。
措施:基于路由器的防范方法
一．內部PC基于IP地址限速
現在網絡應用眾多，BT、電驢、迅雷、FTP、在線視頻等，都是非常占用帶寬，以一個200臺規模的網吧為例，出口帶寬為10M ， 每臺內部PC的平均帶寬為50K左右，如果有幾個人在瘋狂的下載 ， 把帶寬都占用了，就會影響其他人的網絡速度了，另外 ， 下載的都是大文件，IP報文最大可以達到1518個BYTE ， 也就是1.5k ， 下載應用都是大報文，在網絡傳輸中，一般都是以數據包為單位進行傳輸 ， 如果幾個人在同時下載，占用大量帶寬 ， 如果這時有人在玩網絡游戲，就可能會出現卡的現象 。
一個基于IP地址限速的功能，可以給整個網吧內部的所有PC進行速度限制，可以分別限制上傳和下載速度 ， 既可以統一限制內部所有PC的速度，也可以分別設置內部某臺指定PC的速度 。速度限制在多少比較合適呢？和具體的出口帶寬和網吧規模有關系，不過最低不要小于40K的帶寬，可以設置在100-400K比較合適 。
二：內部PC限制NAT的鏈接數量
NAT功能是在網吧中應用最廣的功能，由于IP地址不足的原因，運營商提供給網吧的一般就是1個IP地址，而網吧內部有大量的PC，這么多的PC都要通過這唯一的一個IP地址進行上網，如何做到這點呢？
答案就是NAT（網絡IP地址轉換） 。內部PC訪問外網的時候 ， 在路由器內部建立一個對應列表，列表中包含內部PCIP地址、訪問的外部IP地址，內部的IP端口，訪問目的IP端口等信息，所以每次的ping、QQ、下載、WEB訪問，都有在路由器上建立對應關系列表 ， 如果該列表對應的網絡鏈接有數據通訊，這些列表會一直保留在路由器中，如果沒有數據通訊了，也需要20-150秒才會消失掉 。（對于RG-NBR系列路由器來說，這些時間都是可以設置的）
現在有幾種網絡病毒，會在很短時間內，發出數以萬計連續的針對不同IP的鏈接請求，這樣路由器內部便要為這臺PC建立萬個以上的NAT的鏈接 。
由于路由器上的NAT的鏈接是有限的，如果都被這些病毒給占用了 ， 其他人訪問網絡，由于沒有NAT鏈接的資源了 ， 就會無法訪問網絡了，造成斷線的現象 ， 其實這是被網絡病毒把所有的NAT資源給占用了 。
針對這種情況，不少網吧路由器提供了可以設置內部PC的最大的NAT鏈接數量的功能，可以統一的對內部的PC進行設置最大的NAT的鏈接數量設置，也可以給每臺PC進行單獨限制 。
同時，這些路由器還可以查看所有的NAT鏈接的內容，看看到底哪臺PC占用的NAT鏈接數量最多，同時網絡病毒也有一些特殊的端口 ， 可以通過查看NAT鏈接具體內容，把到底哪臺PC中毒了給揪出來 。
三：ACL防網絡病毒
網絡病毒層出不窮 ， 但是道高一尺，魔高一丈，所有的網絡病毒都是通過網絡傳輸的 ， 網絡病毒的數據報文也一定遵循TCP/IP協議，一定有源IP地址，目的IP地址，源TCP/IP端口，目的TCP/IP端口，同一種網絡病毒，一般目的IP端口是相同的，比如沖擊波病毒的端口是135 ， 震蕩波病毒的端口是445,只要把這些端口在路由器上給限制了，那么外部的病毒就無法通過路由器這個唯一的入口進入到內部網了，內部的網絡病毒發起的報文 ， 由于在路由器上作了限制，路由器不加以處理，則可以降低病毒報文占據大量的網絡帶寬 。
優秀的網吧路由器應該提供功能強大的ACL功能 ， 可以在內部網接口上限制網絡報文，也可以在外部王接口上限制病毒網絡報文 ， 既可以現在出去的報文，也可以限制進來的網絡報文 。
四：WAN口防ping功能
以前有一個帖子 ， 為了搞跨某個網站，只要有大量的人去ping這個網站，這個網站就會跨了，這個就是所謂的拒絕服務的攻擊，用大量的無用的數據請求，讓他無暇顧及正常的網絡請求 。
網絡上的黑客在發起攻擊前，都要對網絡上的各個IP地址進行掃描 ， 其中一個常見的掃描方法就是ping，如果有應答 ， 則說明這個ip地址是活動的，就是可以攻擊的，這樣就會暴露了目標 ， 同時如果在外部也有大量的報文對RG-NBR系列路由器發起Ping請求，也會把網吧的RG-NBR系列路由器拖跨掉 。
現在多數網吧路由器都設計了一個WAN口防止ping的功能 ， 可以簡單方便的開啟，所有外面過來的ping的數據報文請求，都裝聾作啞 ， 這樣既不會暴露自己的目標，同時對于外部的ping攻擊也是一個防范 。
五：防ARP地址欺騙功能
大家都知道，內部PC要上網，則要設置PC的IP地址 ， 還有網關地址，這里的網關地址就是NBR路由器的內部網接口IP地址，內部PC是如何訪問外部網絡呢？就是把訪問外部網的報文發送給NBR的內部網，由NBR路由器進行NAT地址轉發后，再把報文發送到外部網絡上 ， 同時又把外部回來的報文，去查詢路由器內部的NAT鏈接，回送給相關的內部PC ， 完成一次網絡的訪問 。
在網絡上，存在兩個地址，一個是IP地址，一個是MAC地址，MAC地址就是網絡物理地址 ， 內部PC要把報文發送到網關上，首先根據網關的IP地址，通過ARP去查詢NBR的MAC地址 ， 然后把報文發送到該MAC地址上，MAC地址是物理層的地址，所有報文要發送 ， 最終都是發送到相關的MAC地址上的 。
所以在每臺PC上，都有ARP的對應關系，就是IP地址和MAC地址的對應表 ， 這些對應關系就是通過ARP和RARP報文進行更新的 。
目前在網絡上有一種病毒，會發送假冒的ARP報文，比如發送網關IP地址的ARP報文 ， 把網關的IP對應到自己的MAC上，或者一個不存在的MAC地址上去，同時把這假冒的ARP報文在網絡中廣播 ， 所有的內部PC就會更新了這個IP和MAC的對應表，下次上網的時候，就會把本來發送給網關的MAC的報文，發送到一個不存在或者錯誤的MAC地址上去，這樣就會造成斷線了 。
這就是ARM地址欺騙 ， 這就是造成內部PC和外部網的斷線，該病毒在前一段時間特別的猖獗 。針對這種情況，防ARP地址欺騙的功能也相繼出現在一些專業路由器產品上 。
六：負載均衡和線路備份
舉例來說，如銳捷RG-NBR系列路由器全部支持VRRP熱備份協議 ， 最多可以設定2-255臺的NBR路由器，同時鏈接2-255條寬帶線路，這些NBR和寬帶線路之間，實現負載均衡和線路備份 ， 萬一線路斷線或者網絡設備損壞，可以自動實現的備份，在線路和網絡設備都正常的情況下 ， 便可以實現負載均衡 。該功能在銳捷的所有的路由器上都支持 。
而RG-NBR系列路由器中的RG-NBR1000E，更是提供了2個WAN口，如果有需要，還有一個模塊擴展插槽 ， 可以插上電口或者光接口模塊，同時鏈接3條寬帶線路，這3條寬帶線路之間 ， 可以實現負載均衡和線路備份，可以基于帶寬的負載均衡，也可以對內部PC進行分組的負載均衡 ， 還可以設置訪問網通資源走網通線路，訪問電信資源走電信線路的負載均衡 。
參考資料：
公司局域網被arp攻擊怎么解決？公司局域網的客戶端數量有多少，出現這種情況首先要做的一件事情就是 全網斷電 ， 在路由器端將ip和mac綁定，現在一般的路由器都有這個功能，對照上網的ip和mac 找到中毒的電腦 ， 將其斷網殺毒，一定要斷網殺毒
擴展
關鍵是怎么找

補充
首先，做雙向綁定，路由器端要做ip和mac的綁定 ， 客戶端做網關的綁定，具體命令就是在dos下 執行 arp -s XXX.XXX.XXX.XXX00-00-00-00-00 x是網關的ip 00 是網關的mac 只要是非綁定范圍內的地址都不讓上網，2、檢查所有電腦的發送和接受 ， 一般情況是發送遠遠小于接收，如果有電腦發送大于接收，那么這個電腦是不正常的 ， 3、那些不能上網的電腦是正常的 。4、雙向綁定可以自己寫個bat批處理，讓公司內部的電腦都執行，如果那個電腦網關的mac綁定不上或者綁定后又變了，這個電腦也是不正常的，如果在客戶端電腦執行 arp -a 得到的不是網關的mac ， 如果能找到局域網的這個mac，也是一個攻擊源 。5、使用 mac 地址掃描工具，nbtscan 掃描全網段 IP 地址和 MAC 地址對應表，有助于判斷感染 ARP 病毒對應 MAC 地址和 IP 地址

怎么查出局域網內的ARP攻擊？1、用LanSee163將網內的電腦IP MAC 掃描出來 ， 已備排除中招機器 。
在能上網時，進入MS-DOS窗口，輸入命令：arp –a 查看網關IP對應的正確MAC地址 ， 將其記錄下來 。
2、如果有瑞星或其他防火墻，可以把靜態網關刪除，看看能不能攔截到 。攔到MAC地址就可以用剛才掃面出來的MAC對比了，找到中招機器 。
3、如果中招機已經有網關的正確MAC地址 ， 在不能上網時，手工將網關IP和正確MAC綁定，可確保計算機不再被攻擊影響 。手工綁定可在MS-DOS窗口下運行以下命令： arp –s 網關IP 網關MAC
如果中招機已經不能上網，則在MS-DOS下先運行一次命令arp –d將arp緩存中的網關內容刪空，計算機可暫時恢復上網，然后殺之 。
4、再累一點的方法（局域網內機器少），看哪一臺機器有主頁篡改、殺軟打不開等情況 ， 來判斷機器是否中招 。