ARP病毒分析与防御

维普资讯 http://www.cqvip.com ＱＱ　Ｑ：　Ｓｃｉｅｎｃｅ　ａｎｄ　ＴｅｃｈｎＯＩＯｇｙ　Ｃｏｎｓｕｌｔｉｎｇ　Ｈｅｒａｌｄ　Ｔ技术　ＡＲＰ病毒分析与防御　李党恩’　王春花　（项城市中等专业学校网络中心　河南项城４６６２００）　摘要：在局域网中，通过ＡＲＰ协议来完成ＩＰ地址转换为第二层物理地址（即ＭＡｃ地址）的。ＡＲＰ协议对网络安全具有重要的意义。　通过伪造ＩＰ地址和ＭＡＣ地址实现ＡＲＰ欺骗，能够在网络中产生大量的ＡＲＰ通信量使网络阻塞。　关键词：ＡＲＰ　ＭＡＣ　端口　网关　中图分类号：ＴＰ３９３．０８　文献标识码：Ａ　文章编号：１６７３—０５３４（２ＯＯ７）Ｏ６（ｂ）一００２６—０２　１　ＡＲＰ　Ｓｐｏｏｆｉｎｇ攻击原理分析　ＡＲＰ协议是“Ａｄｄｒｅｓｓ　Ｒｅｓｏｌｕｔｉｏｎ　登陆了传奇服务器，那么病毒主机就会经常伪　造断线的假像，那么用户就得重新登录传奇服　（并监视）为内核级驱动设备：”ＮｅｔＧｒｏｕｐ　Ｐａｃｋｅｔ　Ｆｉｌｔｅｒ　Ｄｒｉｖｅｒ”　Ｐｒｏｔｏｃｏｌ”（地址解析协议）的缩写　在局域网　务器，这样病毒主机就可以盗号了。　中，网络中实际传输的是“帧”，帧里面是有目　由于ＡＲＰ欺骗的木马程序发作的时候会　标主机的ＭＡＣ地址的。在以太网中，一个主　发出大量的数据包导致局域网通讯拥塞以及　机要和另一个主机进行直接通信，必须要知道　其自身处理能力的限制，用户会感觉上网速度　目标主机的ＭＡＣ地址。但这个目标ＭＡＣ地　越来越慢。当ＡＲＰ欺骗的木马程序停止运行　址是如何获得的呢？它就是通过地址解析协　时，用户会恢复从路由器上网，切换过程中用　议获得的。所谓“地址解析”就是主机在发送　户会再断一次线。　帧前将目标ＩＰ地址转换成目标ＭＡＣ地址的　在路由器的“系统历史记录”中看到大量　过程。ＡＲＰ协议的基本功能就是通过目标设　如下的信息：　备的ＩＰ地址，查询目标设备的ＭＡＣ地址，以　ＭＡＣ　Ｃｈｇｅｄ　１０．１２８．１０３．１２４ＭＡＣ　Ｏｌｄ　保证通信的顺利进行。通过伪造Ｉ　Ｐ地址和　００：０１：６ｃ：３６：ｄ１：７ｆＭＡＣ　Ｎｅｗ　００：０５：５ｄ：　ＭＡＣ地址实现ＡＲＰ欺骗，能够在网络中产生　６０：ｃ７：ｌ８　大量的Ａ　Ｒ　Ｐ通信量使网络阻塞或者实现　这个消息代表了用户的ＭＡＣ地址发生了　“ｍａｎ　ｉｎ　ｔｈｅ　ｍｉｄｄｌｅ”进行ＡＲＰ重定向和　变化，在ＡＲＰ欺骗木马开始运行的时候，局域　嗅探攻击。　网所有主机的ＭＡ　ｃ地址更新为病毒主机的　用伪造源ＭＡＣ地址发送ＡＲＰ响应包，对　ＭＡｃ地址（即所有信息的ＭＡＣ　Ｎｅｗ地址都　ＡＲＰ高速缓存机制的攻击。每个主机都用一　一致为病毒主机的ＭＡＣ地址），同时在路由器　个ＡＲＰ高速缓存存放最近ＩＰ地址到ＭＡＣ硬　的“用户统计”中看到所有用户的ＭＡＣ地址　件地址之间的映射记录。ＭＳ　Ｗｉｎｄｏｗｓ高速　信息都一样。　缓存中的每一条记录（条目）的生存时间一般为　如果是在路由器的“系统历史记录”中看　６Ｏ秒，起始时间从被创建时开始算起。　到大量ＭＡＣ　Ｏｌｄ地址都一致，则说明局域网　默认情况下，ＡＲＰ从缓存中读取ＩＰ—　内曾经出现过ＡＲＰ欺骗（ＡＲＰ欺骗的木马程　ＭＡＣ条目，缓存中的ＩＰ—ＭＡＣ条目是根据　序停止运行时，主机在路由器上恢复其真实的　ＡＲＰ响应包动态变化的。因此，只要网络上有　ＭＡＣ地址）。　ＡＲＰ响应包发送到本机，即会更新ＡＲＰ高速　ＢＫＤＲＮＰＦＥＣＴ．Ａ病毒引起ＡＲＰ欺骗　缓存中的ＩＰ－ＭＡＣ条目。　之实测分析　攻击者只要持续不断的发出伪造的ＡＲＰ　病毒现象：中毒机器在局域网中发送假的　响应包就能更改目标主机ＡＲＰ缓存中的ＩＰ－　ＡＰＲ应答包进行ＡＰＲ欺骗，造成其他客户机　ＭＡＣ条目，造成网络中断或中间人攻击。　无法获得网关和其他客户机的网卡真实ＭＡＣ　ＡＲＰ协议并不只在发送了ＡＲＰ请求才　地址，导致无法上网和正常的局域网通信。　接收ＡＲＰ应答。当计算机接收到ＡＲＰ应答数　病毒原理分析：　据包的时候，就会对本地的ＡＲＰ缓存进行更　病毒的组件　新，将应答中的ＩＰ和ＭＡＣ地址存储在ＡＲＰ　本文研究的病毒样本有三个组件构成：　缓存中。　％ｗｉｎｄｏｗｓ％＼ＳＹＳＴＥＭ３２＼ＬＯＡＤＨＷ．　因此，Ｂ向Ａ发送一个自己伪造的ＡＲＰ应　ＥｘＥ（１０８，３８６　ｂｙｔｅｓ）……“病毒组件释放　答，而这个应答中的数据为发送方ＩＰ地址是　者”　１９２．１６８．１０．３（Ｃ的ＩＰ地址），ＭＡＣ地址是　％ｗｉｎｄｏｗｓ％ｋＳｙｓｔｅｍ３２＼ｄｒｉｖｅｒｓ＼ｎｐｆ．ｓｙｓ　ＤＤ—ＤＤ—ＤＤ—ＤＤ—ＤＤ～ＤＤ（Ｃ的ＭＡ　Ｃ地　（１１９，８０８　ｂｙｔｅｓ）……“发ＡＲＰ欺骗包的驱　址本来应该是ｃｃ—ｃｃ—ＣＣ－Ｃｃ—ｃｃ～ｃｃ，　动程序”　这里被伪造了）。当Ａ接收到Ｂ伪造的ＡＲＰ应　％ｗｉｎｄｏｗｓ％＼Ｓｙｓｔｅｍ３２Ｘｍｓｉｔｉｎｉｔ．ｄｌｌ　答，就会更新本地的ＡＲＰ缓存（Ａ可不知道被　（３９，９５２　ｂｙｔｅｓ）…“命令驱动程序发ＡＲＰ欺　伪造了）。　骗包的控制者”　病毒运作基理：　２　ＡＲＰ病毒分析　（１）Ｌ０ＡＤＨｗ．ＥｘＥ执行时会释放两个　当局域网内某台主机运行ＡＲＰ欺骗的木　组件ｎｐｆ．ｓｙｓ和ｍｓｉｔｉｎｉｔ．ｄｌ１．　马程序时，会欺骗局域网内所有主机和路由　Ｌ０ＡＤＨＷ．ＥＸＥ释放组件后即终止运行。　器，让所有上网的流量必须经过病毒主机。其　注意：病毒假冒成ｗｉｎＰｃａｐ的驱动程序，　他用户原来直接通过路由器上网现在转由通　并提供ｗｉｎＰｃａｐ的功能。客户若原先装有　过病毒主机上网，切换的时候用户会断一次　ｗｉｎＰｃａｐ，ｎｐｆ．ｓｙｓ将会被病毒文件覆盖掉．　线。切换到病毒主机上网后，如果用户已经　（２）随后ｍｓｉｔｉｎｉｔ．ｄｌｌ将ｎｐｆ．ｓｙｓ注册　２６科技咨询导报Ｓｃｉｅｎｃｅ　ａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ　Ｃｏｎｓｕｌｔｉｎｇ　Ｈｅｒａｌｄ　ｍｓｉｔｉｎｉｔ．ｄｌｌ还负责发送指令来操作驱动　程序ｎｐｆ．ｓｙｓ（如发送ＡＰＲ欺骗包，抓包，过　滤包等）　以下从病毒代码中提取得服务相关值：　ＢｉｎａｒｙＰａｔｈＮａｍｅ＝“ｓｙｓｔｅｍ３２＼ｄｒｉ　ｖｅｒｓ＼ｎｐｆ．ｓｙｓ”ＳｔａｒｔＴｙｐｅ＝ＳＥＲＶＩＣＥ—ＡＵＴ　０一ＳＴＡＲＴＳｅ　ｒｖｉｃｅＴＹＰｅ＝ＳＥＲＶＩＣ　ＥＫＥＲＮＥＬ—ＤＲＩＶＥＲＤｅｓｉｒｅｄＡｃｃｅｓｓ￣　ＳＥＲＶＩＣＥ—ＡＬＬ—ＡＣＣＥＳＳＤｉｓｐｌａｙＮａｍｅ＝　“ＮｅｔＧｒＯｕｐＰａｃｋｅｔ　Ｆｉｌｔｅｒ　Ｄｒｉｖｅｒ”　ＳｅｒｖｉｃｅＮａｍｅ＝‘‘Ｎｐｆ”　（３）ｎｐｆ．ｓｙｓ负责监护ｍｓｉｔｉｎｉｔ．ｄｌ１．并将　ＬＯＡＤＨＷ．ＥＸＥ注册为自启动程序：　『ＨＫＥＹＡ＿ＤＣＡＬＭＡＣＨＩＮＥ＼ｓｏ丌ＷＡＲ　Ｅ＼Ｍｉｃｒｏｓｏｆｔ＼Ｗｉｎｄｏｗｓ＼ＣｕｒｒｅｎｔＶｅｒｓｉｏｎ＼　ＲｕｎＯｎｃｅ】　ｄｗＭｙＴｅｓｔ＝Ｌ０ＡＤＨＷ．ＥＸＥ　注：由于该项位于ＲｕｎＯｎｃｅ下，该注册表　启动项在每次执行后，即会被系统自动删除．　反病毒应急响应解决方案　按以下顺序删除病毒组件　１）删除“病毒组件释放者”　％ｗｉｎｄｏｗｓ％ｋＳＹＳＴＥＭ３２＼ＬＯＡＤＨＷ．　ＥＸＥ　２）删除“发ＡＲＰ欺骗包的驱动程序”（兼　“病毒守护程序”）　％ｗｉｎｄｏｗｓ％＼Ｓｙｓｔｅｍ３２ｋｄｒｉｖｅｒｓ＼ｎｐｆ．ｓｙｓ　ａ．在设备管理器中，单击“查看”一～＞　“显示隐藏的设备”　ｂ．在设备树结构中，打开“非即插即　用…．”　Ｃ．找到“ＮｅｔＧｒｏｕｐ　Ｐａｃｋｅｔ　Ｆｉｌｔｅｒ　Ｄｒｉｖｅｒ”，若没找到，请先刷新设备列表　ｄ．右键点击“ＮｅｔＧｒｏｕｐ　Ｐａｃｋｅｔ　Ｆｉｌ－　ｔｅｒ　Ｄ　ｒｉｖｅ　ｒ”菜单，并选择“卸载”。　ｅ．重启ｗｉｎｄｏｗｓ系统，　ｆ．删除％ｗｉｎｄｏｗｓ％＼Ｓｙｓｔｅｍ３２＼ｄｒｉｖｅｒｓ　＼ｎｐｆ．ｓｙｓ　３）删除“命令驱动程序发ＡＲＰ欺骗包　的控制者”　％ｗｉｎｄｏｗｓ％ｋＳｙｓｔｅｍ３２＼ｍｓｉｔｉｎｉｔ．ｄｌｌ　３　ＡＲＰ防御方法　使用可防御ＡＲＰ攻击的三层交换机，绑　定端口一ＭＡｃ～ＩＰ，限制ＡＲＰ流量，及时发现　并自动阻断ＡＲＰ攻击端口，合理划分ＶＬＡＮ，　彻底阻止盗用ＩＰ、ＭＡＣ地址，杜绝ＡＲＰ的攻　击。　对于经常爆发病毒的网络，进行Ｉｎｔｅｒｎｅｔ　访问控制，限制用户对网络的访问。此类　维普资讯 http://www.cqvip.com Ｔ技术　Ｓｃｉｅｎｃｅ　ｅｎｄ　Ｔｅｃｈｎｏｌｏｇｙ　Ｃｏｎｓｕ　ｌＰ电话技术及应用分析　项大成　（辽河油田通信公司　１２４０１０）　摘要：基于互联网络的ＩＰ电话作为一种新的通信模式已经走进我们的生活，尽管ＩＰ电话在语音质量上比起传统的模拟电话来还不尽如　人意，但随着Ｉｎｔｅｒｎｅｔ连接速率的提高和技术上的改进，ＩＰ电话话音质量得到了很大的改善。这项新技术，不仅代表了网络应用的新方向，　而且在不远的将来很可能会完全改变现有的通信模式而居于主导地位。　关键词：ＩＰ电话技术应用　中图分类号：ＴＰ３１６　文献标识码：Ａ　文章编号：１６７３—０５３４（２００７）０６（ｂ）一００２７—０１　ＩＰ电话的概念：简单来说，ＩＰ电话即网络　之间。为了提高话音质量，最直接的方法是　电话，就是通过Ｉｎｔｅｒｎｅｔ打电话。　扩大Ｉｎｔｅｒｎｅｔ的接入速率。　近几年，我国的电话用户增长迅速，丰富　ＩＰ电话的基本原理：ＩＰ电话的话音是利　用基于路由器／分组交换的ＩＰ数据网进行传　的用户资源为ＩＰ电话业务的发展提供了雄厚　输的，在Ｉｎｔｅｒｎｅｔ中采用“存储一转发”的　的基础。Ｉ　Ｐ电话如能解决如标准问题、服　ＱＯＳ）问题、Ｉｎｔｅｒｎｅｔ的下一代建设、　方式传递数据包，不独占电路，并且对语音信　务质量（号进行了很大的压缩处理，因此ＩＰ电话占用带　ＩＰ电话网关、ＩＰ电话的管理以及ＩＰ电话的　宽仅为８－１０ｋｂｉｔ／ｓ，通信方式的便捷再加上分　发展步骤等问题，在公众对廉价通信的需求十　组交换的计费方式与距离的远近无关，这样就　分迫切的情况下，ＩＰ电话业务必将取得新的长　极大节省了长途通信费用。　足发展。　首先，语音信号通过公用电话网络被传输　到ＩＰ电话网关；然后网关再将话音信号转换　压缩成数字信号传递进入Ｉｎｔｅｒｎｅｔ；而这些数　字信号通过遍及全球而成本低廉的网络将信　号传递到对方所在地的网关，再由这个网关　将数字信号还原成为模拟信号，输入到当地的　公共电话网络，最终将语音信号传给收话人。　ＩＰ电话系统的关键设备——网关：设在各　地的网关由一个独一的ＩＰ地址表示，它是架通　两种通信传输方式的一座桥梁，是Ｉｎｔｅｒｎｅｔ上　的“交换局”，以实现远程电话间的互联和通　信。在一边，网关连接传统的电路交换网如公　共交换电话网ＰＳＴＮ，可和外部的任意一部　电话通信。在另一边，网关连接分组交换网如　Ｉｎｔｅｒｎｅｔ、Ｉｎｔｒａｎｅｔ等，可和接入网络的任意　台计算机通信。在整个Ｉｎｔｅｒｎｅｔ电话系统　中，网关分布在世界各地，处理当地的ＰＳＴＮ　网与Ｉｎｔｅｒｎｅｔ的接入和转换理。网关接收标准　电话信号，经数字化与大幅度地压缩后，使用　ＩＰ协议进行分组送到Ｉｎｔｅｒｎｅｔ，找出传输路　由，通过Ｉｎｔｅｒｎｅｔ发往目的地。反之，接收　Ｉｎｔｅｍｅｔ传输过来的数据分组，并转往电话网　络系统。接入和转出电话网络系统可同时进　行，实现全双工即双向通话。　ＩＰ电话话音质量：话音质量基本取决于两　个因素：一是上网通信线路的速度；二是　Ｉｎｔｅｒｎｅｔ本身是否繁忙。ＩＰ电话话音质量与普　通电话话音质量相比主要有两个方面的差别：　是话音滞后，二有时略有失真现象。凡　是使用过ＩＰ电话的人，普遍认为话音质量比　想象的好，一般来讲介于普通电话与移动电话　一一是，与ＷＬＡＮ方式相比，无线城域网在标准规　范等方面还不成熟，它对市场的影响力要慢于　ＷＬＡＮ＋ＩＰ电话方式，因此，ＩＰ电话的移动化　将进一步冲击传统电信运营商，包括移动话音　运营商的市场空间。　４　ＩＰ电话与智能通信融合带来的发展　ＩＰ电话技术使得在分组网络（如ＩＰ网络）　上统一承载数据、语音和多媒体等多种媒体　业务成为可能；软交换技术的发展使得多种网　络上基于多种协议的实时呼叫的统一控制成　为可能；开放业务接口技术和分布式中间件技　术的发展使得多种网络业务层面的融合成为　可能，并进一步促进了电信领域与ＩＴ领域的　融合；各种宽带接入、综合接入和无线接入　技术（如ＷＬＡＮ、３Ｇ、Ｂｅｙｏｎｄ　３Ｇ）的发展　使得多种网络到核心分组传输网络的综合接　入成为可能。这些新技术促进了多种网络在　业务层面、控制层面、接入层面和传送层面的　融合，更促进了电信领域与ＩＴ领域的融合。　１　ＩＰ电话业务量增长迅猛　目前，国内电信运营市场ＩＰ电话业务量　增长趋势明显。在长途电话市场，目前国内　通话时长中ＩＰ电话与普通固话已经基本持平，　但ＩＰ电话业务增长率高于普通固话。预计ＩＰ　电话在长途通话市场所占份额在今后的几年　内将逐渐等于甚至超过普通固话及移动长途　业务的总和。　２　ＩＰ电话在企业中的应用优势突显　ＩＰ电话实现优势在于获得更低成本的传　统语音与话音服务，同时用户还将受益基于ＩＰ　电话的、具有突破性的新型服务，如基于　Ｗｅｂ的呼叫中心、远程通信交换以及可提高　个人效率的产品（如跟踪服务与统一消息处理）　等新型应用。　ＩＰ电话应用于企业市场得到迅速发展。　与个人用户市场相比，企业用户更看重的不是　低廉的资费，而是ＩＰ电话能够真正实现语音与　数据应用的融合，以此为基础，企业的信息化　５　ＩＰ电话与其他ＩＰ通信服务结合，将改变　通信服务的市场需求　目前ＩＰ电话以能满足企业对语音／数据　融合技术需求的姿态正推动通信系统与企业　商业流程的整合，从而推动终端用户通信应用　模式的改变，ＩＰ电话市场的成熟壮大，是这一　趋势发展的开端。不久的将来，企业融合智　能通信将覆盖语音通信、声音和视频会议、　即时通信、在线状态、联络中心、语音邮　件、数据协同、Ｅ—ｉｎａｉｌ等。　我国现有的ＩＰ电话业务，目前只允许电　信和网通在几个城市开展试点ＰＣ　ｔｏ　Ｐｈｏｎｅ　方式的网络电话业务，开展试点就说明相关部　门已经意识到ＰＣ　ｔｏ　Ｐｈｏｎｅ方式的ＩＰ电话　巨大的生命力。随着互联网技术突飞猛进的　发展，ＩＰ电话将焕发勃勃生机，引领新一代通　信的发展潮流。　真正融合到了企业内部的管理及业务流程中。　３　ＩＰ电话在移动通信领域的应用　移动通信的飞速发展日益模糊了ＰＤＡ和　手机的边界，在移动通信领域，ＰＣ和Ｐｈｏｎｅ可　以合二为一。３　Ｇ时代完全可以通过登陆　Ｓｋｙｐｅ实现手机到海外电话的ＩＰ电话，这种趋　势在目前的ｗＬＡＮ已经有所体现。　无线城域网和ＩＰ电话的结合会给目前的　移动话音通信服务市场造成较大影响。但　ＡＲＰ攻击程序一般都是从Ｉｎｔｅｒｎｅｔ下载到用　从而可以进行ＡＲＰ病毒的防御。　户终端，如果能够加强用户上网的访问控制，　就能极大的减少该问题的发生。　参考文献　在发生ＡＲＰ攻击时，及时找到病毒攻击　［１】戴英侠．计算机网络安全［Ｍ】．清华大学出　源头，并收集病毒信息，可以使用趋势科技的　版社，２０００６，５．　ＳＩＣ２．０，同时收集可疑的病毒样本文件，一起　［２】马树奇译．网络安全积极防御从入门到精　提交到趋势科技的ＴｒｅｎｄＬａｂｓ进行分析，　通［Ｍ】．电子工业出版社，２００５，４．　ＴｒｅｎｄＬａｂｓ将以最快的速度提供病毒码文件，　［３】刘东华．网络与通信安全技术［Ｍ】．人民邮　电出版社，２００６，２　科技咨询导报Ｓｃｉｅｎｃｅ　ａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ　Ｃｏｎｓｕｌｔｉｎｇ　Ｈｅｒａｌｄ　２７