如何判断电脑中了ARP病毒-ARP命令

admin

路由器的IP是192.168.1.1，上网经常断，PING外网经常丢包
   
   1. 在电脑的DOS窗口中运行ping 192.168.1.1 -t（请一直开着，不要关闭）；
, _- M; ^) T+ Q8 X+ u+ k   2. 如果不通（或者通，但网速不正常），请再打开一个DOS窗口，执行arp -d，再执行arp -a；
   3. 请核对显示的内容中192.168.1.1对应的MAC地址与路由的LAN MAC，如果MAC显示跟路由器的MAC对应不上，一定是内部网络上有电脑中了ARP病毒，请参考通过CommView抓包的文件处理；
   
   说明：
" {1 u+ w5 o, j: O& j' z7 R8 O   每台电脑都有一个ARP表，里面记录了近期与自己通讯过的电脑的IP和MAC，而TCP/IP协议定义在通讯的时候先将IP转换为MAC才可以建立连接，所以如果MAC地址错误，就算IP正确也无法建立连接，而ARP病毒正是将被攻击的电脑的网关的MAC换成自己的MAC，这样就可以截获所有被攻击电脑的数据包，从而截获数据并分析出帐号等有价值的东西。
   有些ARP病毒的变种可能只攻击每个网段的第一个IP，比如192.168.0.1，192.168.1.1，因为一般用户都会用x.x.x.1做网关；
% j5 a' b6 V9 b: {. T   有些ARP病毒的变种跟目前蠕虫的发作效果一样，很快会塞死网关设备，因为它攻击的目的IP是一个连续累加的IP段，一秒钟会攻击100个以上的目的IP，而这些IP一般不在内部网，所以全部请求都被送到网关设备来处理，一旦超过网关设备的最大联机数，路由器就处于一般大家所说的假死状态，影响大家的上网。
2 e2 Z7 b% e, Q8 z: R. w+ @   而目前还没有一种有效查杀此病毒的软件，很多用户说我安装了好几个杀毒软件，国产的、进口的、收费的、免费的，都没有杀出来，应该没有病毒，但如果有以上表现，请用ARP命令或者CommView来确认，如果有，一般通过手工或则重新安装XP来处理， 手工查杀请参看另外一篇关于手工杀毒、木马的文件。