實戰(zhàn)ARP 私人心得 真正的APR病毒處理方案

操作系統(tǒng)：WINDOWS2000 與 WINDOWS XP- 暢通網(wǎng)絡 因為有我.g+W!Q4c0z0J

防毒軟件：NORTON 10.0企業(yè)版， 個人認為這些殺毒軟件爭對ARP病毒真的是毫無辦法。

1S#o/J5W,v([+C7\bbs.54master.com上網(wǎng)方式：WINGATE 代理上網(wǎng)網(wǎng)管論壇,網(wǎng)管軟件,企業(yè)網(wǎng)管論壇,企業(yè)網(wǎng)管軟件,企業(yè)網(wǎng)管教程,網(wǎng)吧網(wǎng)管論壇,網(wǎng)吧網(wǎng)管軟件,網(wǎng)吧網(wǎng)管技術(shù)!D1e+}-w6h#Z(p6_"w4y

感染范圍：公司局域網(wǎng)內(nèi)可以上網(wǎng)的電腦

2m N/E&O3P3m'I.R)W- 暢通網(wǎng)絡 因為有我病毒類型：ARP病毒

5p&A'O.V#?9^2g5v$b我是網(wǎng)管論壇， 企業(yè)網(wǎng)管的天堂， 網(wǎng)吧網(wǎng)管的樂園。 網(wǎng)管軟件下載、網(wǎng)管教程下載。 中國最大的網(wǎng)管交流論壇！病毒文件：8N/@5V,t:w,F

0q$k5w(E!}6Kbbs.54master.comcmdbcs.exe網(wǎng)管論壇,網(wǎng)管軟件,企業(yè)網(wǎng)管論壇,企業(yè)網(wǎng)管軟件,企業(yè)網(wǎng)管教程,網(wǎng)吧網(wǎng)管論壇,網(wǎng)吧網(wǎng)管軟件,網(wǎng)吧網(wǎng)管技術(shù);}3?2T8J%D*_#h/o

- 暢通網(wǎng)絡 因為有我,}*k&}"\#P

cmdbcs.dll

(A,?9x1v.v$o {6B"N(T1f!_- 暢通網(wǎng)絡 因為有我

j$a:P1R)E:C!Y5\8n,C網(wǎng)管論壇,網(wǎng)管軟件,企業(yè)網(wǎng)管論壇,企業(yè)網(wǎng)管軟件,企業(yè)網(wǎng)管教程,網(wǎng)吧網(wǎng)管論壇,網(wǎng)吧網(wǎng)管軟件,網(wǎng)吧網(wǎng)管技術(shù)genprotect.exe

&H,t-c.P,m.N&o我是網(wǎng)管論壇， 企業(yè)網(wǎng)管的天堂， 網(wǎng)吧網(wǎng)管的樂園。 網(wǎng)管軟件下載、網(wǎng)管教程下載。 中國最大的網(wǎng)管交流論壇！bbs.54master.com#d2 %^9O%j9y

packet.dll

6Z.H0e(f!d%~ t3g- 暢通網(wǎng)絡 因為有我網(wǎng)管論壇,網(wǎng)管軟件,企業(yè)網(wǎng)管論壇,企業(yè)網(wǎng)管軟件,企業(yè)網(wǎng)管教程,網(wǎng)吧網(wǎng)管論壇,網(wǎng)吧網(wǎng)管軟件,網(wǎng)吧網(wǎng)管技術(shù)1{,c5l*J"r5I7F+v:@"

wanpacket.dll

7r&})x/l(obbs.54master.com3u$R;U"b%Z9H#G.]-E)r7j6z2Y

:j3w9j'c5x.k l5E(s7ybbs.54master.comwpcap.dll我是網(wǎng)管論壇4\7O-W5N2Q/H9^9D

*a7E1k8h'@4e$U6w:S;Gbbs.54master.comaddrns*.dllbbs.54master.com)w#I(j-w1y's

&C,m0}:x/q/F網(wǎng)管論壇,網(wǎng)管軟件,企業(yè)網(wǎng)管論壇,企業(yè)網(wǎng)管軟件,企業(yè)網(wǎng)管教程,網(wǎng)吧網(wǎng)管論壇,網(wǎng)吧網(wǎng)管軟件,網(wǎng)吧網(wǎng)管技術(shù)qdshm.dll

/`3A-Y#E,{*L我是網(wǎng)管論壇

*f)}$P$I M2w9{;@- 暢通網(wǎng)絡 因為有我addrmshecp.cfg我是網(wǎng)管論壇， 企業(yè)網(wǎng)管的天堂， 網(wǎng)吧網(wǎng)管的樂園。 網(wǎng)管軟件下載、網(wǎng)管教程下載。 中國最大的網(wǎng)管交流論壇！%B$M(O4P:i:V

- 暢通網(wǎng)絡 因為有我3\;c m1{+Z;D p,^&E&T

addrzthelp.dll我是網(wǎng)管論壇#[,d6c8H$d7B.Z)F

4[9P+u&E#k+K"s

addrzthelp.cfg

2x7l,u0n9i網(wǎng)管論壇,網(wǎng)管軟件,企業(yè)網(wǎng)管論壇,企業(yè)網(wǎng)管軟件,企業(yè)網(wǎng)管教程,網(wǎng)吧網(wǎng)管論壇,網(wǎng)吧網(wǎng)管軟件,網(wǎng)吧網(wǎng)管技術(shù)- 暢通網(wǎng)絡 因為有我#A1`3^6D&@5N#q'a

wpcap.dll

%n)t4A0G!]1E#G:A5V- 暢通網(wǎng)絡 因為有我

+a'{2k0\.~$X!U1y%q我是網(wǎng)管論壇addreghelp.cfg,`5m:A7t4z5e/h v)}'y.h

          等等。 網(wǎng)管論壇,網(wǎng)管軟件,企業(yè)網(wǎng)管論壇,企業(yè)網(wǎng)管軟件,企業(yè)網(wǎng)管教程,網(wǎng)吧網(wǎng)管論壇,網(wǎng)吧網(wǎng)管軟件,網(wǎng)吧網(wǎng)管技術(shù)"].?)V9H:@

在WINDOWS,WINNT,SYSTEM32文件夾下與上述文件相近日期時間的所有文件。 大部分都是隱藏屬性的文件。

+P"a;y.{,h.G'M#e3n我是網(wǎng)管論壇- 暢通網(wǎng)絡 因為有我3h;{5g'r1o$w9V

ARP感染過程：

;c0j-g'i/s%?我是網(wǎng)管論壇首先一臺WINXP電腦， 在上網(wǎng)時無意中感染了ARP病毒， 然后通過發(fā)IP地址沖突包， 感染其它的電腦， 導致其它的電腦通過特殊的端口， 在后臺， 從特殊的服務器上下載ARP病毒(我公司是從這個站點下載病毒的：WWW.52XMM.CN)。 最后在網(wǎng)絡上ARP表中產(chǎn)生很多的相同的IP地址， 主要是與網(wǎng)關(guān)相同的IP但MAC不同， 從而導致網(wǎng)絡PING網(wǎng)關(guān)斷續(xù)續(xù)。 7x%\5l5f9w;^7k,U*]4k

&B7s9v#Y(W;T!E7y- 暢通網(wǎng)絡 因為有我&o6D-C8?&d, x

$a&T#?!J2?- 下面我來總結(jié)我們公司三位工程師用了一天的時間研究（上午9：00-晚上20：00）爭對ARP病毒的發(fā)現(xiàn)到消滅ARP病毒的全過程。 現(xiàn)精簡如下：網(wǎng)管論壇,網(wǎng)管軟件,企業(yè)網(wǎng)管論壇,企業(yè)網(wǎng)管軟件,企業(yè)網(wǎng)管教程,網(wǎng)吧網(wǎng)管論壇,網(wǎng)吧網(wǎng)管軟件,網(wǎng)吧網(wǎng)管技術(shù);x)h+r)K(\2Z

)Z*e.E4]"u"o+a8Q0]1M我是網(wǎng)管論壇前提：有一份網(wǎng)卡MAC地址、IP地址與電腦編號的對照表（希望每一位企業(yè)與網(wǎng)吧網(wǎng)絡技術(shù)人員在維護網(wǎng)絡時必備的參照表）， 方便發(fā)現(xiàn)故障機可以最快的速度斷開它的連接。 網(wǎng)管論壇,網(wǎng)管軟件,企業(yè)網(wǎng)管論壇,企業(yè)網(wǎng)管軟件,企業(yè)網(wǎng)管教程,網(wǎng)吧網(wǎng)管論壇,網(wǎng)吧網(wǎng)管軟件,網(wǎng)吧網(wǎng)管技術(shù) R6e0o8d0S"M$m0g

網(wǎng)管論壇,網(wǎng)管軟件,企業(yè)網(wǎng)管論壇,企業(yè)網(wǎng)管軟件,企業(yè)網(wǎng)管教程,網(wǎng)吧網(wǎng)管論壇,網(wǎng)吧網(wǎng)管軟件,網(wǎng)吧網(wǎng)管技術(shù)7W:Q.a8G7}3Q*\:

第一步：發(fā)現(xiàn)中毒機器并隔離它 - 暢通網(wǎng)絡 因為有我:j%f*w1a.`9C

如果你發(fā)現(xiàn)在局域網(wǎng)內(nèi)的電腦經(jīng)常上不到網(wǎng)， PING網(wǎng)關(guān)則丟包嚴重， 或者根本PING不通， 則在局域網(wǎng)內(nèi)肯定有APR相關(guān)的病毒存在， 簡單的查看方法是在CMD命令提示下：輸入 arp –a 命令查看有沒有相同的IP地址， 如有則用 arp –d 命令清除ARP地址表， 就可以上網(wǎng)了， 但病毒還存在網(wǎng)絡中， 還會繼續(xù)發(fā)作， 另外這種方法并不能顯示所有中毒電腦的MAC地址。

%{6C,m3R'q/B+a%c#w;t我的方法是：在自己電腦上安裝網(wǎng)絡執(zhí)法官 v2.88企業(yè)版， 用于監(jiān)控局域網(wǎng)內(nèi)有沒有相同IP地址， 主要監(jiān)控網(wǎng)關(guān)的IP就可以了。 如發(fā)現(xiàn)有與網(wǎng)關(guān)相同的IP， 則對照MAC地址清單， 找到非網(wǎng)關(guān)的MAC地址電腦， 將它的網(wǎng)絡斷開， 以免感染其它的電腦。 我是網(wǎng)管論壇， 企業(yè)網(wǎng)管的天堂， 網(wǎng)吧網(wǎng)管的樂園。 網(wǎng)管軟件下載、網(wǎng)管教程下載。 中國最大的網(wǎng)管交流論壇！6k-q2Y:O$p7K

- 暢通網(wǎng)絡 因為有我9g+v+L;b!C%b5s

第二步：清除ARP病毒文件及刪除注冊表啟動項

,k!B-N)q2?*K$T網(wǎng)管論壇,網(wǎng)管軟件,企業(yè)網(wǎng)管論壇,企業(yè)網(wǎng)管軟件,企業(yè)網(wǎng)管教程,網(wǎng)吧網(wǎng)管論壇,網(wǎng)吧網(wǎng)管軟件,網(wǎng)吧網(wǎng)管技術(shù)我是網(wǎng)管論壇$l3` }#U4[0W(h,I$]

首先進入安全模式， 手動刪除WINDOWS、WINNT、SYSTEM32文件夾下的所有病毒文件（上面有描述）。 有個別DLL類型的文件不能直接刪除， 必須將它的擴展文件改為BAK（也可以是其它非DLL、EXE、COM類型）， 再進入注冊表刪除相關(guān)啟動項， 然后重新進入安全模式再刪除它。 我是網(wǎng)管論壇， 企業(yè)網(wǎng)管的天堂， 網(wǎng)吧網(wǎng)管的樂園。 網(wǎng)管軟件下載、網(wǎng)管教程下載。 中國最大的網(wǎng)管交流論壇！3z;Q.O9t/~

&C;M:M1L;]%{7D,A/g/Y我是網(wǎng)管論壇， 企業(yè)網(wǎng)管的天堂， 網(wǎng)吧網(wǎng)管的樂園。 網(wǎng)管軟件下載、網(wǎng)管教程下載。 中國最大的網(wǎng)管交流論壇！第三步：安裝最新版360安全衛(wèi)士， 清除木馬， 流氓軟件， 惡意插件 及 修復IE我是網(wǎng)管論壇/{0{"F"z,M%@8k&@(R.[/W:j:g

因為ARP病毒還有些相關(guān)的信息存放在IE里面， 一定要清除， 否則一段時間后（大概5分鐘）， 只要你連接上INTERNET,又會繼續(xù)感染。

.c C;}9{'N(N2y個人感覺360功能比較全面， 并且是免費的， 特推薦使用它。 在感染病毒的電腦上， 安裝好360安全衛(wèi)士， 然后查殺木馬及清理惡評系統(tǒng)插件， 最后再修復IE。 網(wǎng)管論壇,網(wǎng)管軟件,企業(yè)網(wǎng)管論壇,企業(yè)網(wǎng)管軟件,企業(yè)網(wǎng)管教程,網(wǎng)吧網(wǎng)管論壇,網(wǎng)吧網(wǎng)管軟件,網(wǎng)吧網(wǎng)管技術(shù)3f3S+x7y'G$n1W&t"[*Y

我是網(wǎng)管論壇"C)g1M,B9]

第四步：運行ARP（TSC）專殺工具#N G6];}3f

因這個專殺工具是一個過時的工具（最新的ARP病毒變種為2006-8-24）， 網(wǎng)上找了N個都是相同的， 還沒有發(fā)現(xiàn)比它更新的工具。 在這里運行它主要是防止有些老的及忘記刪的ARP病毒。

$w3F6x5R'O%q4{9W我是網(wǎng)管論壇運行它也只是過過場而己。 到此， ARP病毒己經(jīng)從本機清除干凈。 3\)]0F.V&h)M3F

我是網(wǎng)管論壇， 企業(yè)網(wǎng)管的天堂， 網(wǎng)吧網(wǎng)管的樂園。 網(wǎng)管軟件下載、網(wǎng)管教程下載。 中國最大的網(wǎng)管交流論壇！3}2I%K-_;Z1f

第五步：運行WINSOCKFIX.EXEbbs.54master.com5?6v-Z'?8H6R:}

    這步主要爭對有些電腦刪除ARP病毒后， 造成無法上網(wǎng)及收發(fā)郵件的解決方法。 運行完后， 這臺電腦的IP、網(wǎng)關(guān)、DNS都要重新設置。 我是網(wǎng)管論壇， 企業(yè)網(wǎng)管的天堂， 網(wǎng)吧網(wǎng)管的樂園。 網(wǎng)管軟件下載、網(wǎng)管教程下載。 中國最大的網(wǎng)管交流論壇！*E/b9H&n3\'_.a

1p-W*T*G2c8Z我是網(wǎng)管論壇第六步：防止以后再中ARP病毒我是網(wǎng)管論壇， 企業(yè)網(wǎng)管的天堂， 網(wǎng)吧網(wǎng)管的樂園。 網(wǎng)管軟件下載、網(wǎng)管教程下載。 中國最大的網(wǎng)管交流論壇！"W;Z L-E4H5k

跟據(jù)需要打上360 ARP防火墻。 及禁止所有電腦訪問， 這些電腦中毒后， 后臺所訪問的網(wǎng)址， 肯定要一個個仔細去查找（適用于代理上網(wǎng)的網(wǎng)絡， 我公司禁用的網(wǎng)址為WWW.52XMM.CN）。 電腦中所有的漏洞與補丁都要打上， 可以通過360的修復漏洞功能。

3p4W&d7}1h$^3`網(wǎng)管論壇,網(wǎng)管軟件,企業(yè)網(wǎng)管論壇,企業(yè)網(wǎng)管軟件,企業(yè)網(wǎng)管教程,網(wǎng)吧網(wǎng)管論壇,網(wǎng)吧網(wǎng)管軟件,網(wǎng)吧網(wǎng)管技術(shù))[8i#F:p+H&]'v g

今天上網(wǎng)查了下原來網(wǎng)上很多電腦中ARP病毒， 都是從這個網(wǎng)址下載的。

0^2z#K$l&u)o我是網(wǎng)管論壇， 企業(yè)網(wǎng)管的天堂， 網(wǎng)吧網(wǎng)管的樂園。 網(wǎng)管軟件下載、網(wǎng)管教程下載。 中國最大的網(wǎng)管交流論壇！- 暢通網(wǎng)絡 因為有我$~*T&K }5u4r0t

我是網(wǎng)管論壇&I4N,_4v,o8j!H

哎， 發(fā)了兩個多小時時間終于寫完了。 喝杯茶去。 。 。 。 。 。 。 。 。 ARP聯(lián)盟:

http://www.arpun.com