这一篇是给予网管人员的查找及解决方案， 之前我曾经尝试过许多方法来查询中arp伪装的电脑，在这边我提出几种方式： 1.最土法炼钢的方法，利用arp -a及GW的连接比对mac address， 当你看见有两个不同的IP却拥有同一个mac address时， 代表这个mac address的拥有者就是中镖了。 2.查探DHCP伺服器的Log，当你见到DHCP的Log中， 有某台电脑常常无端跟你重新要IP，那台也是可能中镖的电脑。 3.最後一种方式，透过第三方软体，不过我个人感觉这种方式最有效率。 第一种软体：ethereal(现在叫wireshark) 第二种软体：Packetyzer 第一种不用介绍了，开放原码的封包探测软体。 我建议你在client端上装Packetyzer就够了，使用方式就是抓你那张网卡的封包， 然後去看看你电脑是不是一直收到arp封包。 例如你看到"同时间很多个" arp: who has 192.168.1.1? Tell 192.168.1.100 这代表192.168.1.100这台电脑中镖了，通常arp封包不会没事狂发， 会同时间发送很多个代表有问题了，通常下面会有加上.1.1的mac address， 比对一下就知道它是不是出问题了。 利用这个方法将中镖IP的电脑先实体断线，然後看arp封包是否正常。 解毒的方法我也try了蛮多次，发现它的传输途径不一，不过使用的东西都差不多 免疫档： http://evansariel.googlepages.com/arpsolution.zip 这边下载的档案解压缩的时候里面有个macosx的资料夹不用理会， 因为我用的是mac系统作封装，所以有那个资料夹。 解完有四个档案，将中镖的电脑断线後重新开启至安全模式（管理员权限）， 然後将三个dll档复制到windows/system32里（没中镖的电脑照理说没这些档案）， npf.sys那的档案复制到windows/system32/drivers里， 然後将这四个档案改成唯读，通常就能解决这台电脑伪装欺骗的问题了。 不过有电脑洁癖的人你就重灌吧！ 这四个档案是arp攻击的一些主程式，这四个档案已经测试过使用正常， 帮以前的公司跟某社区网路的网管人员解决过问题， 目前没听到有什麽问题，不过最後还是要靠你们自己确定喔！！ 不想到最後变成是我的问题QQ...我只是义务帮忙而已。 下一篇就讲网路架构的东西...不过有点懒就是了XD.... p.s. 请各位记住，如果你安装Packetyzer的话， 在你的windows/system32/drivers里就会多一个npf.sys， 这东西到底是什麽呢？听我慢慢道来～ 这东西其实是winpcap的驱动程式，主要用来抓取网路装置上的封包，原本是用来给予网路或程式人员检测探测封包之用，不过arp伪装攻击这东西也用到了它... 在免疫档里也有这个档案，如果你有装packetyzer的话，假设覆盖了它，会使得packetyzer无法正常使用，这点请记住。 其他dll档在没有中arp伪装的电脑上是不会存在的，如果存在的人你就自己解了它吧。 三个dll档包括： packet.dll，pthreadVC.dll，wpcap.dll 如果你有这三个档案就代表可能中镖了，你在cmd下面打arp -a看看， 你是否拥有整个网段的arp列表，如果有，而你又不是伺服器的话， 就代表你就是凶手～ -- http://sanature.blogspot.com/ --

※ 发信站: 批踢踢实业坊(ptt.cc) ◆ From: 118.169.1.225