局域网中受ARP欺骗攻击后的解决方法.docVIP

局域网中受ARP欺骗攻击后的解决方法 2010年09月07日 　 　来源:网吧中国 　举报本文 网友评论 0 条 　　【故障现象】当局域网内某台主机运行ARP欺骗的木马程序时，会欺骗局域网内所有主机和安全网关，让所有上网的流量必须经过病毒主机。其他用户原来直接通过安全网关上网现在转由通过病毒主机上网，切换的时候用户会断一次线。 　　切换到病毒主机上网后，如果用户已经登陆了传奇服务器，那么病毒主机就会经常伪造断线的假像，那么用户就得重新登录传奇服务器，这样病毒主机就可以盗号了。 　　由于ARP欺骗的木马程序发作的时候会发出大量的数据包导致局域网通讯拥塞以及其自身处理能力的限制，用户会感觉上网速度越来越慢。当ARP欺骗的木马程序停止运行时，用户会恢复从安全网关上网，切换过程中用户会再断一次线。 　　【快速查找】在WebUIà系统状态à系统信息à系统历史记录中，看到大量如下的信息: 　　MAC SPOOF 00 　　MAC Old 00:01:6c:36:d1:7f 　　MAC New 00:05:5d:60:c7:18 　　这个消息代表了用户的MAC地址发生了变化，在ARP欺骗木马开始运行的时候，局域网所有主机的MAC地址更新为病毒主机的MAC地址(即所有信息的MAC New地址都一致为病毒主机的MAC地址)。 　　同时在安全网关的WebUIà高级配置à用户管理à读ARP表中看到所有用户的MAC地址信息都一样，或者在WebUIà系统状态à用户统计中看到所有用户的MAC地址信息都一样。 　　如果是在WebUIà系统状态à系统信息à系统历史记录中看到大量MAC Old地址都一致，则说明局域网内曾经出现过ARP欺骗(ARP欺骗的木马程序停止运行时，主机在安全网关上恢复其真实的MAC地址)。 　　在上面我们已经知道了使用ARP欺骗木马的主机的MAC地址，那么我们就可以使用NBTSCAN(下载地址:/upload/nbtscan.rar)工具来快速查找它。 　　NBTSCAN可以取到PC的真实IP地址和MAC地址，如果有”传奇木马”在做怪，可以找到装有木马的PC的IP/和MAC地址。 　　命令:“nbtscan -r /24”(有哪些信誉好的足球投注网站整个/24网段, 即-54);或“nbtscan 5-137”有哪些信誉好的足球投注网站5-137 网段，即5-37。输出结果第一列是IP地址，最后一列是MAC地址。 　　NBTSCAN的使用范例: 　　假设查找一台MAC地址为“000d870d585f”的病毒主机。 　　1)将压缩包中的nbtscan.exe 和cygwin1.dll解压缩放到c:下。 　　2)在Windows开始à运行à打开，输入cmd(windows98输入“command”)，在出现的DOS窗口中输入:C:nbtscan -r /24(这里需要根据用户实际网段输入)，回车。 　　3)通过查询IP--MAC对应表，查出“000d870d585f”的病毒主机的IP地址为“23”。 ? 一、认真贯彻党的路线、方针政策和国家的法津法规，按照####年度目标的要求，做好####的安全保卫工作，保护全体人员和公私财物的安全，保持####正常的经营秩序和工作秩 序。 二、做好消防安全工作，认真贯彻“预防为主”的方针，教育提高全体人员的消防意识和防火知识，配备、配齐####各个楼层的消防器材，管好用好各种电器设备，确保####各通道畅 通，严防各种灾害事故的发生。 三、严格贯彻值班、巡检制度，按时上岗、到岗，加经对重要设备和重点部位的管理，防止和打击盗窃等各种犯罪活动，确保####内外安全。 四、、加强保安队部建设，努力学习业务知识，认真贯彻法律法规，不断提高全体保安人员的思想素质和业务水平，勤奋工作，秉公执法，建设一支思想作风过硬和业务素质精良的保安队伍。 11、保持监控室和值班室的清洁干净，天天打扫，窗明地净。 12、服从领导安排，完成领导交办任务。 ? ? ? ?5、积极扑救。火警初起阶段，要全力自救。防止蔓延，尽快扑灭，要正确使用灭火器，电器，应先切断电源。 6、一旦发生火灾，应积极维护火场秩序，保证进出道路畅通。看管抢救重要物资，疏散危险区域人员。 ? ? 九、协同本部门或其他部门所进行的各项工作进行记录。 ? ? ? 保安员值班操作及要求 ? 一、交接岗 1、每日上午9时和下午 19时 为交接岗。 2、交接岗时将当班所接纳物品清点清楚，以及夜班所发生的情况未得到解决的需 面汇报。检查值班室内外的卫生状况，地面无纸屑，桌面无杂物，整齐清洁。 二、执勤 1、7:50 — 8:10、13：50 —14：10立岗迎接上班人员；12:00 — 12:20 、18:00 — 18:20立岗送下班人员。 2、值勤时做到遇见领导立岗，检查物品立岗，外来人员进出立岗。 3、门