ARP病毒，是什么病毒呀？怎么杀⼀重装系统行不行、

ARP病毒，是什么病毒呀？怎么杀/重装系统行不行、

2025-02-23 16:22:22

推荐回答（7个）

回答1：

我现在也在为这个病毒头疼呢，局域网中毒都快两个礼拜了，前段时间上网老掉线。。换了路由，又找电信换的网线，汗啊都没解决后来才知道中了ARP。。。战斗过程跟你说下吧。正版杀毒软件，每台都查杀什么也没查着。。系统装了ARP防火墙能拦到攻击但依然断网，接系统还原问题没解决，重装系统还没解决（装系统格盘的时候，我把硬盘里的重要的文件拖到U盘里装完又拖回来，不知道是不是文件也被感染了）。前天用TSC专杀，总算网络畅通了到现在没掉线。。。网上搜了很多资料说要绑MAC但好像也不能彻底解决，呵呵我也试过没绑成功。暂时推荐先用专杀，然后下个金山贝壳和360ARP防火墙全打开。我就是这样到现在网络没掉线了。就是中ARP那台机器有时候还会提示ARP攻击。上午刚把那台系统又从装下这次文件全删了，希望问题能彻底解决。我被这鬼东西整的没脾气了，但愿我的经历能帮到你。TSC专杀上网有很多，找不到可以留邮箱我传个给你

回答2：

　　 ‍‍ARP欺骗方式共分为两种：一种是对路由器ARP表的欺骗，该种攻击截获网关数据。通知路由器一系列错误的内网MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新保存在路由器中，结果路由器的所有数据只能发送给错误的MAC地址，造成正常PC无法收到信息，导致上网时断时通或上不了网；另一种是对内网PC的网关欺骗，仿冒网关的mac地址，发送arp包欺骗别的客户端，让被它欺骗的PC向假网关发数据，而不是通过正常的路由器途径上网，造成上网时断时通或上不了网。
针对这种情况瑞星公司提供以下解决办法：
方法一、在收到ARP欺骗的本机，在开始--运行中，输入“cmd”，进入ms-dos，通过命令行窗口输入“arp -a”命令，查看ARP列表。会发现该MAC已经被替换成攻击机器的MAC，将该MAC记录（以备查找），然后根据此MAC找出中病毒的计算机。
方法二、借助第三方抓包工具（如sniffer或antiarp）查找局域网中发arp包最多的IP地址，也可判断出中病毒计算机。
造成arp欺骗的病毒，其实是普通的病毒，只要判断出发包源，使用杀毒软件进行清查，是可以彻底解决的。

‍‍‍‍

回答3：

攻击网关的，可以杀掉，重装也行

回答4：

中毒机器在局域网中发送假的APR应答包进行APR欺骗, 造成其他客户机无法获得网关和其他客户机的网卡真实MAC地址,导致无法上网和正常的局域网通信.

病毒原理分析:

病毒的组件

本文研究的病毒样本有三个组件构成:

%windows%\SYSTEM32\LOADHW.EXE”..................病毒组件释放者

%windows%\System32\drivers\npf.sys”...............发ARP欺骗包的驱动程序

%windows%\System32\msitinit.dll ”..............命令驱动程序发ARP欺骗包的控制者

反病毒应急响应解决方案：

按以下顺序删除病毒组件

1) 删除 ”病毒组件释放者”

%windows%\SYSTEM32\LOADHW.EXE

2) 删除 ”发ARP欺骗包的驱动程序” (兼 “病毒守护程序”)

%windows%\System32\drivers\npf.sys

a. 在设备管理器中, 单击”查看”-->”显示隐藏的设备”

b. 在设备树结构中,打开”非即插即用….”

c. 找到” NetGroup Packet Filter Driver” ,若没找到,请先刷新设备列表

d. 右键点击” NetGroup Packet Filter Driver” 菜单,并选择”卸载”.

e. 重启windows系统,

f.删除%windows%\System32\drivers\npf.sys

3) 删除 ”命令驱动程序发ARP欺骗包的控制者”

%windows%\System32\msitinit.dll

2. 删除以下”病毒的假驱动程序”的注册表服务项:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Npf

三、定位ARP攻击源头和防御方法

1．定位ARP攻击源头

主动定位方式：因为所有的ARP攻击源都会有其特征——网卡会处于混杂模式，可以通过ARPKiller这样的工具扫描网内有哪台机器的网卡是处于混杂模式的，从而判断这台机器有可能就是“元凶”。定位好机器后，再做病毒信息收集，提交给趋势科技做分析处理。

标注：网卡可以置于一种模式叫混杂模式（promiscuous），在这种模式下工作的网卡能够收到一切通过它的数据，而不管实际上数据的目的地址是不是它。这实际就是Sniffer工作的基本原理：让网卡接收一切它所能接收的数据。

被动定位方式：在局域网发生ARP攻击时，查看交换机的动态ARP表中的内容，确定攻击源的MAC地址；也可以在局域居于网中部署Sniffer工具，定位ARP攻击源的MAC。

也可以直接Ping网关IP，完成Ping后，用ARP –a查看网关IP对应的MAC地址，此MAC地址应该为欺骗的MAC。

使用NBTSCAN可以取到PC的真实IP地址、机器名和MAC地址，如果有”ARP攻击”在做怪，可以找到装有ARP攻击的PC的IP、机器名和MAC地址。

命令：“nbtscan -r 192.168.16.0/254”（搜索整个192.168.16.0/254网段, 即192.168.16.1-192.168.16.254）；或“nbtscan 192.168.16.25-137”搜索192.168.16.25-137 网段，即192.168.16.25-192.168.16.137。输出结果第一列是IP地址，最后一列是MAC地址。

NBTSCAN的使用范例：

假设查找一台MAC地址为“000d870d585f”的病毒主机。

1）将压缩包中的nbtscan.exe 和cygwin1.dll解压缩放到c:下。

2）在Windows开始—运行—打开，输入cmd（windows98输入“command”），在出现的DOS窗口中输入：C: btscan -r 192.168.16.1/24（这里需要根据用户实际网段输入），回车。

3）通过查询IP--MAC对应表，查出“000d870d585f”的病毒主机的IP地址为“192.168.16.223”。

通过上述方法，我们就能够快速的找到病毒源，确认其MAC——〉机器名和IP地址。

2．防御方法

a.使用可防御ARP攻击的三层交换机，绑定端口-MAC-IP，限制ARP流量，及时发现并自动阻断ARP攻击端口，合理划分VLAN，彻底阻止盗用IP、MAC地址，杜绝ARP的攻击。

b.对于经常爆发病毒的网络，进行Internet访问控制，限制用户对网络的访问。此类ARP攻击程序一般都是从Internet下载到用户终端，如果能够加强用户上网的访问控制，就能极大的减少该问题的发生。

c.在发生ARP攻击时，及时找到病毒攻击源头，并收集病毒信息，可以使用趋势科技的SIC2.0，同时收集可疑的病毒样本文件，一起提交到趋势科技的TrendLabs进行分析，TrendLabs将以最快的速度提供病毒码文件，从而可以进行ARP病毒的防御。

回答5：

是一种利用网络协议 TCP-IP协议，发送大量信息帧攻击主机，发送大量信息，造成网络通道堵塞，乃至瘫痪，主机无法上网的病毒。重装下系统是没有用的，可以安装ARP防火墙

回答6：

ARP病毒等于是冒充网关，让主机无法上网的一种病毒(就我的理解，由于每台主机所用网卡都有各自的MAC地址，如果一台电脑感染的ARP病毒后，这台主机所用网卡的MAC地址就去冒充网关的MAC地址，致使其他需要上网的主机把数据发到感染病毒的主机上)。
要杀掉ARP病毒，可以找一些ARP专杀工具到感染了ARP病毒的机器上去杀，如果感染严重的话，只有把那台感染了ARP病毒的机器进行重新分区装系统了(重新分区在装系统，比较彻底。要不说不定下次还会感染)

回答7：

金山毒霸·安全套装为你提供全方位的安全保护！内含病毒查杀、防火墙、上网保护、漏洞修复等10余项安全功能。简单易用，经VB100国际严格测试。所有用户均可享受免费在线专家客服
保护上网全部环节
杀毒+防火墙+上网保护+漏洞修复
易用操作体验
安全打分+智能判断
金山毒霸 + 金山网镖
金山清理专家 + 金山网盾

最新问答

【客户端】安全办公客户端我能在WiFi环境下使用客户端吗？

沈阳出租车投诉电话

高考离一本差七分，是选择复读还是读好的二本

孩子是老人带大，养成乱花钱的习惯，不达目的就大吵大闹，一定得到才罢休，我们好说歹说都不听，怎么办？

塞班岛旅游需要多少费用，都有什么景点

京酱肉丝的做法

ARP病毒，是 什么病毒呀？怎么杀⼀重装系统行不行、

ARP病毒，是什么病毒呀？怎么杀⼀重装系统行不行、