天下网吧 >> 网吧天地 >> 网吧技术 >> 网吧安全 >> 正文

小知识:中了ARP-Cheat的典型症状

2008-2-18blog佚名

  无奈的又碰到了一次ARP欺骗,费了一个小时才搞定,写个流水账存档.

  一上班,就有报告说email没办法用的,过去一看,是台通过Wi-Fi上的笔记本,现象是打开Web登陆界面速度奇慢无比,因为手头还有别的事情,所以直接打开OE添加了个帐号,说先这样用吧,我那边去找找原因.
  
  接下来就开始有三三两两的说网络不正常的,包括web浏览、股票行情、视频直播,都出现问题,这下麻烦大了.在自己机器上开ping,外部网站、dns,都不正常,从30ms到丢包,不规律重复出现.
  查看非常缓慢的打开了的网站源代码,第一行有一个iframe,访问一个直接数字ip开头的vip.htm页面,但是那个页面打不开,这个应该就是所有网站打开缓慢的原因之一.
  打电话给isp,让他们反向ping回来,过了几分钟,反馈说一切ok,维持在1-2ms之间,isp嫌疑排除,继续.
  询问isp是否做广告推送(因为3),确认没有.
  带笔记本到机房,直接接到ForitGate上,一切ok,故障定位在下层交换机.
  怀疑arp欺骗(已经碰到过n次了),笔记本看一下网关,到别的地方看一下,果然不同,确定故障.
  到FortiGate的dhcp log里面查找那个问题mac,居然没有,想不通.
  先群发bqq消息,通知有问题的人下载antiARP安装,继续查.
  找一台有问题的机器,做全c段ip scan,然后arp –a,看到那个问题机器的mac对应的ip.
  问题ipd$,出现登录窗口,看到问题机器名,找到.
  将问题机器断网,杀毒,杀木马(有空的话再写个文章说,也比较有代表性),搞定.
  
  整个流程是这样:问题机器中木马,开始arp欺骗,其他机器收到arp广播,认为问题机器是网关,于是走这条路,问题机器将http请求开头加上那个iframe,目的是为了流量或者广告或者再传播.
  
  总结一下:
  
  现在基础网络,稳定性还是可以的,出现大面积问题,首先怀疑arp欺骗.
  有条件的,做双向ip-mac绑定,可以解决大部分此类问题.
  无条件的,建立机器-mac对应表,出现问题之后可以非常迅速的找到问题机器.
  尽量在每台机器上装杀毒软件(推荐kav和nod32)和杀木马软件(推荐avg和360safe),可以减少不少麻烦.
  http://www.iamcj.net/blog/2007/06/07/meet-arp-cheat-again/

欢迎访问最专业的网吧论坛,无盘论坛,网吧经营,网咖管理,网吧专业论坛https://bbs.txwb.com

关注天下网吧微信,了解网吧网咖经营管理,安装维护:


本文来源:blog 作者:佚名

声明
本文来源地址:0
声明:本站所发表的文章、评论及图片仅代表作者本人观点,与本站立场无关。若文章侵犯了您的相关权益,请及时与我们联系,我们会及时处理,感谢您对本站的支持!联系Email:support@txwb.com.,本站所有有注明来源为天下网吧或天下网吧论坛的原创作品,各位转载时请注明来源链接!
天下网吧·网吧天下
  • 本周热门
  • 本月热门
  • 阅读排行