La red en el dormitorio de la escuela está restringida, ¿cómo solucionarlo?
Solución al ataque de suplantación de ARP en LAN
Fenómeno de falla: cuando un host en la LAN ejecuta un programa troyano de suplantación de ARP, engañará a todos los hosts y puertas de enlace de seguridad en la LAN, permitiendo todo el tráfico de Internet debe pasar a través del host del virus. Otros usuarios que solían acceder a Internet directamente a través del gateway de seguridad ahora acceden a Internet a través del host de virus. Durante el cambio, el usuario se desconectará.
Después de cambiar al host del virus para acceder a Internet, si el usuario ha iniciado sesión en el servidor legendario, el host del virus a menudo fingirá la desconexión y el usuario tendrá que iniciar sesión en el servidor legendario. nuevamente, para que el host del virus pueda robar la cuenta.
Debido al hecho de que el programa troyano de suplantación de identidad ARP envía una gran cantidad de paquetes de datos cuando ocurre, causando congestión en la comunicación LAN y limitando sus propias capacidades de procesamiento, los usuarios sentirán que la velocidad de Internet es cada vez más lento. Cuando el programa troyano de suplantación de identidad ARP deja de ejecutarse, el usuario reanudará el acceso a Internet a través del portal de seguridad y se desconectará nuevamente durante el proceso de cambio.
Busque rápidamente en WebUIàEstado del sistemaàInformación del sistemaàHistorial del sistema y vea mucha de la siguiente información:
MAC SPOOF 192.168.16.200
MAC Old 00:01:6c: 36:d1:7f
MAC Nuevo 00:05:5d:60:c7:18
Este mensaje representa que la dirección MAC del usuario ha cambiado cuando el troyano de suplantación de ARP comienza a ejecutarse. , las direcciones MAC de todos los hosts en la LAN se actualizan a la dirección MAC del host del virus (es decir, la nueva dirección MAC de toda la información es consistente con la dirección MAC del host del virus).
Al mismo tiempo, puede ver que la información de la dirección MAC de todos los usuarios es la misma en la WebUI del gateway de seguridad à Configuración avanzada à Administración de usuarios à Leer tabla ARP, o puede ver las direcciones MAC de todos los usuarios en WebUI à Estado del sistema à Estadísticas de usuario La información es la misma.
Si ve una gran cantidad de direcciones MAC antiguas que son consistentes en WebUI à Estado del sistema à Información del sistema à Historial del sistema, significa que se ha producido una suplantación de ARP en la LAN (cuando el programa troyano de suplantación de ARP se detiene ejecutándose, el host recupera su dirección MAC real en la puerta de enlace de seguridad).
Ya conocemos la dirección MAC del host que utiliza troyanos de suplantación de identidad ARP, por lo que podemos utilizar la herramienta NBTSCAN (dirección de descarga:/upload/nbtscan.rar) para encontrarla rápidamente.
NBTSCAN puede obtener la dirección IP real y la dirección MAC de la PC. Si hay un "troyano legendario" que causa problemas, puede encontrar la dirección IP/MAC de la PC con el troyano instalado.
Comando: "nbtscan -r 192.168.16.0/24" (busca en todo el segmento de red 192.168.16.0/24, es decir, 192.168.16.1-192.168.16.254 o "nbtscan 192.168.16.25-); 137" busca el segmento de red 192.168.16.25-137, es decir, 192.168.16.25-192.168.16.137. La primera columna del resultado es la dirección IP y la última columna es la dirección MAC.
Ejemplo de uso de NBTSCAN:
Supongamos que desea encontrar un host de virus con una dirección MAC de "000d870d585f".
1) Descomprima nbtscan.exe y cygwin1.dll en el paquete comprimido y colóquelos en c:\.
2) Inicio à Ejecutar à Abrir en Windows, ingrese cmd (ingrese "comando" para Windows 98), ingrese en la ventana de DOS que aparece: C:\nbtscan -r 192.168.16.1/24 (Usted debe seguir las instrucciones aquí (el usuario ingresa el segmento de red real) y presione Entrar.
3) Al consultar la tabla de correspondencia IP-MAC, se encontró que la dirección IP del host del virus "000d870d585f" es "192.168.16.223".
Solución
Adopte un método de enlace bidireccional para resolver y prevenir la suplantación de ARP.
1. Vincule la dirección IP y MAC del gateway de seguridad en la PC:
1) Primero, obtenga la dirección MAC de la intranet del gateway de seguridad (por ejemplo, HiPER). dirección de puerta de enlace 192.168.16.254 La dirección MAC es 0022aa0022aa
2) Escribe un archivo por lotes rarp.bat con el siguiente contenido:
@echo off
arp -d
arp - s 192.168.16.254 00-22-aa-00-22-aa
Cambie la dirección IP y la dirección MAC de la puerta de enlace en el archivo a la dirección IP y la dirección MAC de la puerta de enlace reales.
Arrastre este software de procesamiento por lotes a "WindowsàStartàProgramsàStartup".
3) Si se trata de un cibercafé, puede utilizar un programa de servidor de software pago (pubwin o Wanxiang son aceptables) para enviar el archivo por lotes rarp.bat al directorio de inicio de todos los clientes. El directorio de inicio predeterminado de Windows 2000 es "C:\Documentos y configuraciones\Todos los usuarios Inicio del programa del menú Inicio
2. Vincule la dirección IP y MAC del host del usuario en la puerta de enlace de seguridad:
Vincula cada host en la LAN en WebUIàConfiguración avanzadaàGestión de usuarios