如何判断电脑中了ARP病毒-ARP命令

admin

路由器的IP是192.168.1.1，上网经常断，PING外网经常丢包
   
   1. 在电脑的DOS窗口中运行ping 192.168.1.1 -t（请一直开着，不要关闭）；
( K/ a3 B6 f  j! Y- W   2. 如果不通（或者通，但网速不正常），请再打开一个DOS窗口，执行arp -d，再执行arp -a；
' R3 a7 M6 l( b, v7 Y" p   3. 请核对显示的内容中192.168.1.1对应的MAC地址与路由的LAN MAC，如果MAC显示跟路由器的MAC对应不上，一定是内部网络上有电脑中了ARP病毒，请参考通过CommView抓包的文件处理；
* E- m8 d0 A4 e4 @  _   
   说明：
6 _( x! u; g  n' R) L7 x, y: L   每台电脑都有一个ARP表，里面记录了近期与自己通讯过的电脑的IP和MAC，而TCP/IP协议定义在通讯的时候先将IP转换为MAC才可以建立连接，所以如果MAC地址错误，就算IP正确也无法建立连接，而ARP病毒正是将被攻击的电脑的网关的MAC换成自己的MAC，这样就可以截获所有被攻击电脑的数据包，从而截获数据并分析出帐号等有价值的东西。
; L( \0 F- [" y/ b2 \$ N* v, C# p   有些ARP病毒的变种可能只攻击每个网段的第一个IP，比如192.168.0.1，192.168.1.1，因为一般用户都会用x.x.x.1做网关；
* B- `; Y& x2 U, f- O  G   有些ARP病毒的变种跟目前蠕虫的发作效果一样，很快会塞死网关设备，因为它攻击的目的IP是一个连续累加的IP段，一秒钟会攻击100个以上的目的IP，而这些IP一般不在内部网，所以全部请求都被送到网关设备来处理，一旦超过网关设备的最大联机数，路由器就处于一般大家所说的假死状态，影响大家的上网。
6 P& N) u6 e- P& `  g, z5 i   而目前还没有一种有效查杀此病毒的软件，很多用户说我安装了好几个杀毒软件，国产的、进口的、收费的、免费的，都没有杀出来，应该没有病毒，但如果有以上表现，请用ARP命令或者CommView来确认，如果有，一般通过手工或则重新安装XP来处理， 手工查杀请参看另外一篇关于手工杀毒、木马的文件。