- 相關(guān)推薦
探析數(shù)字圖書館網(wǎng)絡(luò)防治ARP病毒的策略
摘要：本文介紹了目前在數(shù)字圖書館局域網(wǎng)內(nèi)蔓延泛濫的ARP病毒的協(xié)議的工作原理及欺騙過程，結(jié)合實際工作分析了防治ARP病毒的思路。關(guān)鍵詞：ARP 數(shù)字圖書館 病毒防治
0 引言
近來，數(shù)字圖書館局域網(wǎng)相繼出現(xiàn)頻繁掉線的現(xiàn)象，訪問Internet時斷時續(xù)，影響面積較大。通過檢查，我們發(fā)現(xiàn)故障的發(fā)生與ARP欺騙病毒有關(guān)。該病毒導致網(wǎng)內(nèi)其他主機的ARP緩存表中默認網(wǎng)關(guān)的MAC地址錯誤，使其他主機掉線，達到自身主機獨享線路帶寬的目的。本文首先介紹ARP協(xié)議和其欺騙的過程，然后對校園網(wǎng)中此類ARP欺騙的原理進行分析，最后結(jié)合實際給出了相應的解決辦法。
1 ARP概述
1.1 ARP協(xié)議簡介 在以太網(wǎng)(Ethernet)中，一個網(wǎng)絡(luò)設(shè)備要和另一個網(wǎng)絡(luò)設(shè)備進行直接通信，除了知道目標設(shè)備的網(wǎng)絡(luò)層邏輯地址(正地址)外，還要知道目標設(shè)備的物理地址(MAC地址)。要知道目的MAC地址，就需要通過地址解析。所謂地址解析就是主機在發(fā)送幀前將目的正地址轉(zhuǎn)換成目的MAC地址的過程。ARP協(xié)議(Address Resolution Protocol)的基本功能就是通過目標設(shè)備的IP地址，查詢目標設(shè)備的MAC地址，以保證通信的順利進行。
1.2 ARP協(xié)議工作原理 在每臺安裝有TCP/IP協(xié)議的主機里都有一個ARP高速緩存表，ARP高速緩存是主機維護的一個IP地址到相應以太網(wǎng)地址的映射表，表里的IP地址與MAC地址是——對應的。
如圖1所示:以主機A(IP:192.168.0.1，MAC:AA-AA-AA-AA
-AA-AA）向主機B(IP:192.168.0.2，MAC:BB-BB-BB-BB-BB-
BB)發(fā)送數(shù)據(jù)為例。
當發(fā)送數(shù)據(jù)時，主機A會在自己的ARP緩存表中尋找是否有目標B的正地址。如果找到了，也就知道了B的MAC地址，于是直接把B的MAC地址寫入幀里面發(fā)送就可以了;如果在ARP緩存表中沒有找到相對應的IP地址，主機A就會在網(wǎng)絡(luò)上發(fā)送一個廣播包，其目標MAC地址是FF-FF-FF-FF-FF-FF，這表示向本網(wǎng)段內(nèi)的所有主機發(fā)出這樣的詢問:“192.168.0.2的MAC地址是?”網(wǎng)絡(luò)上其它主機并不響應這一ARP請求，只有主機B接收到這個幀時，才向主機A做出這樣的響應:“192.168.0.2的MAC地址是BB-BB-BB-BB-BB-BB”。這樣，主機A就知道了主機B的MAC地址，它就可以向主機B發(fā)送數(shù)據(jù)了。同時它還更新了自己的ARP緩存表，當下次再向主機B發(fā)送信息時，就直接從ARP緩存表里查找。ARP緩存表采用了老化機制，在一段時間內(nèi)如果表中的某一行沒有使用，就會被刪除，這樣可以大大減少ARP緩存表的長度，加快查詢速度。
1.3 ARP欺騙的過程 從影響網(wǎng)絡(luò)連接通暢的角度來看，ARP欺騙分為二種:一種是對網(wǎng)關(guān)(路由器或三層交換機)的欺騙;另一種是對內(nèi)網(wǎng)PC的欺騙。前者是通過偽造本網(wǎng)段內(nèi)一系列正地址及對應的錯誤MAC地址，并按照一定的頻率不斷發(fā)給網(wǎng)關(guān)，使真實的地址信息無法通過刷新保存在網(wǎng)關(guān)AR衛(wèi)列表中，結(jié)果網(wǎng)關(guān)的所有數(shù)據(jù)只能發(fā)送給錯誤的MAC地址，造成正常的主機無法收到信息而不能上網(wǎng)。后者的原理是欺騙者偽造網(wǎng)關(guān)，讓被它欺騙的PC刷新其ARP緩存列表，從而截獲該PC發(fā)給網(wǎng)關(guān)的信息。
1.3.1 欺騙網(wǎng)關(guān) 假如C要欺騙網(wǎng)關(guān)的話，它可以通過不斷的發(fā)送偽造的應答包，如圖2所示:
C不斷向網(wǎng)關(guān)G發(fā)送偽造的ARP應答“192.168.0.1的MAC地址是DDDDDDDDDDDD”，“192.168.0.2的MAC地址是EEEEEEEEEEEE”。當G接收到C偽造的ARP應答時，都會更新自己本地的ARP緩存，這樣主機A和B將無法收到來自網(wǎng)關(guān)G的信息，從而導致不能上網(wǎng)。
1.3.2 欺騙局域網(wǎng)中某臺主機 如圖3所示:假如A想和B通信，且A的緩存中沒有B的信息，這時候A就發(fā)送一個廣播包，詢問192.168.0.2主機的MAC地址。
假設(shè)C是欺騙者，于是C向A發(fā)送一個自己偽造的ARP應答:“192.168.0.2的MAC地址是CCCCCCCCCCCC”。當A接收到C偽造的ARP應答，就會更新本地的ARP緩存(A并不知道被偽造了)。于是A以后向B發(fā)送的信息就會被C所截獲。
2 ARP欺騙的防治
2.1 npptools.dll 是windows系統(tǒng)的一個動態(tài)庫(network packet provider tools helper)常被ARP病毒利用，所以，禁止了npptools.dll將使此類病毒無法正常運行。具體方法是：在安全模式中，打開WINDOWS\SYSTEM32\NPPTOOLS.DLL文件。刪除這個文件后，用零字節(jié)的文件替換。最后將nnptools.dll保存為只讀文件。
2.2 制作IP綁定MAC地址的批處理文件 編寫一個批處理文件arp.bat，內(nèi)容如下:
@echo off
arp-d
arp-s網(wǎng)關(guān)IP地址 網(wǎng)關(guān)MAC地址
保存為:xxx.bat。運行批處理文件。即將這個批處理文件拖到開始菜單啟動中，批處理文件可以在開機后設(shè)置一個靜態(tài)的MAC、IP 對應表，并不讓主機刷新。
2.3 對于只是感染ARP的機器可以通過手動來清除而不用重新安裝系統(tǒng)。
2.3.1 結(jié)束ARP病毒進程vktserv.exe，刪除系統(tǒng)中存在的下列文件:%windows%\system32\LOADHW.EXE。
%windows%\system32\driver\npf.sys
%windows%\system32\msitimit.dll
2.3.2 刪除病毒的假驅(qū)動程序,打開注冊表服務項:HKEY_LOCALMACHINE/SYSTEM/CurrentControlSet/Services/Npf,保存退出重新啟動電腦。
2.4 經(jīng)常更新殺毒軟件（病毒庫），安裝并使用ARP防火墻軟件，如奇虎360ARP防火墻。
2.5 MAC地址與IP地址的綁定是最簡單有效的ARP攻擊防御方法。這樣在查找ARP中毒電腦時很方便。利用局域網(wǎng)查看工具（Lan See）可以很方便地收集同一網(wǎng)段內(nèi)機器的IP地址、機器名、MAC地址。需要注意的是先關(guān)閉被收集信息的機器的Windows防火墻，才能收集到所需信息。
3 結(jié)束語
ARP病毒的泛濫對數(shù)字化圖書館的影響很大，網(wǎng)絡(luò)總是掉線，導致了讀者不能正常使用圖書館資源，工作人員不能順暢的工作，帶來了很多障礙。本文分析了ARP欺騙的原理提出了解決ARP欺騙的幾種方法。解決ARP欺騙以及防范有關(guān)病毒的更多更好的方法，還有待于我們繼續(xù)探討。
參考文獻:
[1]謝希仁.計算機網(wǎng)絡(luò)[M].北京:電子工業(yè)出版社,2004.
[2][美]Douglas E C.用TCP/IP進行網(wǎng)際互聯(lián)(第1卷):原理、協(xié)議與結(jié)構(gòu)[M].4版.北京:電子工業(yè)出版社,2003:7.
[3]王奇.
【探析數(shù)字圖書館網(wǎng)絡(luò)防治ARP病毒的策略】相關(guān)文章：
探析網(wǎng)絡(luò)營銷發(fā)展及策略03-19
淺談圖書館崗位輪換策略探析03-21