我的电脑遭受《ARP网关欺骗攻击》怎么解决？
1、先看下什么是ARP协议
ARP是地址转换协议（Address Resolution Protocol）的英文缩写，它是一个链路层协议，工作在OSI模型的第二层，在本层和硬件接口间进行联系，同时对上层（网络层）提供服务。我们知道二层的以太网交换设备并不能识别32位的IP地址，它们是以48位以太网地址（就是我们常说的MAC地址）传输以太网数据包的。也就是说IP数据包在局域网内部传输时并不是靠IP地址而是靠MAC地址来识别目标的，因此IP地址与MAC地址之间就必须存在一种对应关系，而ARP协议就是用来确定这种对应关系的
协议。ARP工作时，首先请求主机会发送出一个含有所希望到达的IP地址的以太网广播数据包，然后目标IP的所有者会以一个含有IP和MAC地址对的数据包应答请求主机。这样请求主机就能获得要到达的IP地址对应的MAC地址，同时请求主机会将这个地址对放入自己的ARP表缓存起来，以节约不必要的ARP通信。ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用（windows系统这个时间为2分钟，而Cisco路由器的这个时间为5分钟），就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。
2、ARP欺骗原理
在了解ARP协议后我们再来看看什么是ARP欺骗，它的目的又是什么？通过上面的例子我们知道了在以太局域网内数据包传输依靠的是MAC地址，IP地址与MAC对应的关系依靠ARP表，每台主机（包括网关）都有一个ARP缓存表。在正常情况下这个缓存表能够有效的保证数据传输的一对一性，也就是说主机A与主机C之间的通讯只通过网关1和网关1，象主机B之类的是无法截获A与C之间的通讯信息的。但是在ARP缓存表的实现机制中存在一个不完善的地方，当主机收到一个ARP的应答包后，它并不会去验证自己是否发送过这个ARP请求，而是直接将应答包里的MAC地址与IP对应的关系替换掉原有的ARP缓存表里的相应信息。
这就导致主机B截取主机A与主机C之间的数据通信成为可能。首先主机B向主机A发送一个ARP应答包说192.168.1.1的MAC地址是03-03-03-03-03-03，主机A收到这个包后并没有去验证包的真实性而是直接将自己ARP列表中的192.168.1.1的MAC地址替换成03-03-03-03-03-03，同时主机B向网关1发送一个ARP响应包说192.168.1.2的MAC是03-03-03-03-03-03，同样网关1也没有去验证这个包的真实性就把自己ARP表中的192.168.1.2的MAC地址替换成03-03-03-03-03-03。当主机A想要与主机C通讯时，它直接把应该发送给网关1(192.168.1.1)的数据包发送到03-03-03-03-03-03这个MAC地址，也就是发给了主机B，主机B在收到这个包后经过修改再转发给真正的网关1，当从主机C返回的数据包到达网关1后，网关1也使用自己ARP表中的MAC，将发往192.168.1.2这个IP地址的数据发往03-03-03-03-03-03这个MAC地址也就是主机B，主机B在收到这个包后再转发给主机A完成一次完整的数据通讯，这样就成功的实现了一次ARP欺骗攻击。因此简单点说ARP欺骗的目的就是为了实现全交换环境下的数据监听与篡改。到这里我们可以知道要完成一次有效的ARP欺骗的关键点就是双向欺骗，也就是说欺骗者必须同时对网关和主机进行欺骗
3、ARP欺骗的检测与控制办法
目前比较有效的检测ARP欺骗攻击的方法主要有两种，一种是在局域网内部使用抓包软件进行抓包分析、另一种是直接到到三层交换机上查询ARP表，这两种方法各有优缺点，具体分析如下：
1、抓包分析
方法--使用抓包软件（如windump、sniffer pro等）在局域网内抓ARP的reply包，以windump为例，使用windump -i 2 -n arp and host 192.168.0.1(192.168.0.1是您的网关地址）抓下来的包我们只分析包含有reply字符的，格式如下：
18:25:15.706335 arp reply 192.168.0.1 is-at 00:07:ec:e1:c8:c3
如果最后的mac不是您网关的真实mac的话，那就说明有ARP欺骗存在，而这个mac就是那台进行ARP欺骗主机的mac。
优点--简单易行，无需特别权限设置，所有用户都可以做，误判率较小！
缺点--必须在局域网内部（广播域内部）听包才有效。
2、三层交换机上查询ARP缓存表
方法--登陆局域网的上联三层交换机，并查看交换机的ARP缓存表（各种品牌的交换机命令有差异）如果在ARP表中存在一个MAC对应多个端口（请注意是一个MAC对应多个端口，而不是一个端口上存在多个MAC）的情况，那么就表明存在ARP欺骗攻击，而这个MAC就是欺骗主机的MAC。
优点--可以远程操作，无需到局域网内部，可以通过脚本来自动分析。
缺点--需要特殊权限，普通用户无法进行操作。
ARP欺骗的控制方法
1、主机静态绑定网关MAC
方法--使用arp命令静态绑定网关MAC，格式如下：
arp －s 网关IP 网关MAC
如果觉得每次手动输入比较复杂，您可以编写一个简单的批处理文件然后让它每次开机时自动运行，
批处理文件如下：
-----------------------------------
@echo off
echo 'arp set'
arp -d
arp －s 网关IP 网关MAC
exit
------------------------------------
优点--简单易行，普通用户都能操作
缺点--只能单向绑定。需要跟网关绑定MAC结合使用。
2、网关使用IP+MAC绑定模式
方法--交换机启用静态ARP绑定功能，将用户的IP与MAC进行静态绑定，防止ARP欺骗发生。
优点--效果明显
缺点--操作复杂，工作量巨大。无法保证主机端不被欺骗，需要与主机端绑定网关MAC结合使用。
3、使用ARP服务器
方法--在局域网内架设ARP服务器，替代主机应答ARP包。
优点--效果明显
缺点--配置复杂，需要改变客户端设置。成本高，需要大量的服务器。
4、使用防ARP攻击的软件
方法--下载和使用防ARP攻击的软件，如ARPFix或者是AntiARP等。
优点--简单易行
缺点--需要用户端都安装，无法保证网关不被欺骗。
总结：因为ARP欺骗利用的是ARP协议本身的缺陷，所以到目前为止，我们依然没有一个十分有效
的方法去控制这种攻击。目前难点主要集中在网关交换机上，我们还没有找到一个很有效
的方法来防范网关上的ARP列表不被欺骗修改。所以当前最有效的办法还是迅速阻断这种攻击的来源。
这就要求能够快速检测到攻击并定位出攻击主机位置后加以处理。
5、防范ARP欺骗的常用工具
ARP防火墙--ARPFix
这是我们CCERT为了解决ARP病毒所开发的一个小防火墙软件，当它被安装在正常主机上时，它能有效地防范自身被ARP欺骗并能检测出感染主机的MAC地址，如果它被安装在感染主机上时它可以阻断感染主机对外发起的ARP欺骗攻击。需要说明的是这只是一款防火墙软件，它不具备查
杀ARP病毒的能力，如果需要查杀ARP病毒，您还是需要专业杀毒软件。
windump软件--windump
tcpdump软件在windows系统下的版本，简单易用！需要winpcap的支持。
sniffer pro软件--sniffer
windows系统低下功能最强大的抓包分析软件。
趋势的ARP专杀工具--TSC_ARP
趋势提供的最新的ARP专杀工具，解压缩后直接运行TSC.exe即可。
AntiARP软件--AntiArp
网络上比较流行的防范ARP欺骗攻击的软件。软件的下载地址和详细信息请参见:
6、ARP欺骗病毒的最新状况
以往的ARP病毒使用ARP欺骗的目的绝大多数都是为了窃取用户的敏感信息，但是我们最近监测到ARP欺骗在病毒中又得到了新的应用，那就是作为传播网页木马病毒的传播手段，当一台主机感染带有这种ARP欺骗功能的病毒后，会在局域网内发动ARP欺骗，它会监听局域网内所有主机的数据包，一旦发现其它主机有访问WEB网页的行为后，就会通过修改相应的数据封包在你访问的网页代码里加入包含有木马程序的网页链接。从而导致局域网内其它主机不管访问什么网站都会被导引到含有木马病毒的网站上去的。当您访问任何网站您的杀毒软件都在报该网页有毒的话，很可能您的局域网内就存在这种攻击。
参考资料：
ARP欺骗攻击是什么意思？
ARP欺骗，或ARP攻击，是针对以太网地址解析协议（ARP）的一种攻击技术。
通过欺骗局域网内访问者PC的网关MAC地址，使访问者PC错以为攻击者更改后的MAC地址是网关的MAC，导致网络不通。此种攻击可让攻击者获取局域网上的数据包甚至可篡改数据包，且可让网上上特定计算机或所有计算机无法正常连线。
ARP欺骗的运作原理是由攻击者发送假的ARP数据包到网上，尤其是送到网关上。其目的是要让送至特定的IP地址的流量被错误送到攻击者所取代的地方。
扩展资料
防制方法：
最理想的防制方法是网上内的每台计算机的ARP一律改用静态的方式，不过这在大型的网上是不可行的，因为需要经常更新每台计算机的ARP表。
另外一种方法，例如DHCP snooping，网上设备可借由DHCP保留网上上各计算机的MAC地址，在伪造的ARP数据包发出时即可侦测到。此方式已在一些厂牌的网上设备产品所支持。
有一些软件可监听网上上的ARP回应，若侦测出有不正常变动时可发送邮箱通知管理者。例如UNIX平台的Arpwatch以及Windows上的XArp v2或一些网上设备的Dynamic ARP inspection功能。
怎么解决ARP欺骗攻击？
一般的话最终的解决办法就是把自己的IP地址和电脑的物理地址静态帮定，因为一块网卡有一个唯一的MAC地址。
如果是在windows下绑定IP，可以用arp命令。
举例：
要添加将
IP
地址
10.0.0.80
解析成物理地址
00-AA-00-4F-2A-9C
的静态
ARP
缓存项，可键入：
arp
-s
10.0.0.80
00-AA-00-4F-2A-9C
把上面的命令做成批处理命令，每次电脑启动时，均会自动运行。（把命令添加到c:\下的autoexec.bat文件中）
为什么老是受到网关欺骗攻击
这个问题很简单，你是用路由上网是吧，三个人共用一条网线，NDS欺骗攻击是来自局域网内部，这是360安全卫士的拦截提示．与你共用网线的同志用网络剪刀之类的软件在限制你的网速，是不是你上网时在进行一些特别挤占网络流量的活动？比如说,迅雷，电驴之类的下载工具，网络电视，在线电影等等。导致别人无法正常浏览网页或网络游戏．
解决这个问题很简单，1．既然是共用网线，大家共同分摊网费．那就要合理分配网络流量，所以，大家同时在线时，你不能挤占流量，开下载工具，在线电影，等等．你要看电影，可以在网络空闲时段下载下来．这是最和谐的方式．2．如果你只是正常浏览网页，没有挤占流量，那就是与你共用网线的哥们不厚道了，直接跟他们说，不要限速了．
上网突然掉线，我打开360ARP防火墙检测到网关欺骗攻击.是什么意思
网关欺骗攻击就是ARP攻击的意思呀，它的意思就是路由器下的一台电脑中了Arp病毒了，它会把那台中毒的电脑的网卡的mac地址变成与路由器LAN口的mac地址一样，本来路由器下所有电脑都通过路由器的LAN口进出数据包的，现在的情况是，很多电脑都迷路了，都把数据包发向那台中病毒的电脑的网卡上了，造成了很多电脑无法上网，呵呵，
你可以有几种方法来试试，比如：
一、你可以写一个批处理命令，就是新建一个记事本，打开它，然后在里面写一些东西，这个命令很少：
@echo off
arp -d
arp -s 192.168.1.1 00-3d-5b-23-12-6a
保存后，改后缀名，名称随意起，后缀为.bat ,比如叫 1.bat 就可以了，然后双击它，运行就可以了，如果你怕麻烦，你把它放在启动项里，
@echo off
arp -d 这个的意思是清除arp的缓存。
arp -s 192.168.1.1 00-3d-5b-23-12-6a 它的意思是强制认证网关与mac地址，不过，192.168.1.1是你路由器的LAN口的IP地址，后面的是你路由器lan口的mac地址，你可以进入到你路由器里看，你的路由器的lan口的mac地址。我上面的地址与mac地址是随意举例子的，你可不要照着我的写，我只是打个比方。
二、打开运行对话框 ，然后输入cmd命令，打开命令提示符，然后在你电脑还算能上网的时候，你跟踪一下路由，在界面里输入tracert -d
然后查看一下，第一跳是哪个，如果第一跳是192.168.1.1，就是你路由器的IP的话，那就是没有中毒，如果第一跳是另一个ip，比如是192.168.1.5，那么，就是那台电脑中了毒，你把你的电脑也配置成.1.5，与它IP冲突，就会找到它了，呵呵，然后好好的查查毒……
受到ARP网关欺骗攻击（有IP、MAC地址） 怎么办
这个好解决！ 你不是已经知道攻击这个ip地址与mac地址了吗？
1，登录交换机
en
#conf t
show ip int bri
如果你们使用的楼层 三层交换机直连
那就好办多了 show arp
看看 这个哥们 从那个端口 把数据发出来的
看的时候 只看他的对应 ip MAC 以及端口
比如是f0/6
那么 接着
int f0/6
shut
完事 那个二货 断网了 其他同志的网络也恢复了！
过一会你去问问大家网络好了没
其他人肯定说好了
只有那个二货网还是断的！
剩下的 不用说了 你懂得！
如果还有疑问 直接追问 或者发邮箱 djk245@vip.qq.com
专业网络工程师竭诚为您服务！
望采纳 给个最佳答案 谢谢！
0条大神的评论