关于校园网内防范ARP欺骗病毒攻击的重要通告

各校园网用户：

近期，很多校园网用户反映网络运行不稳定、频繁断网以及IE浏览器频繁出错等问题，经现教中心技术检测，发现我校校园网内ARP欺骗木马程序（病毒）传播情况严重，电脑中毒后会向同网段内所有计算机发ARP欺骗包，导致网络内其它电脑无法上网，极大地影响了网络用户的正常使用。为了使用户能正常使用网络，请广大校园网用户对自己的计算机进行检查，并采取防护措施。现将有关检测与防范措施通告如下：

一、判断本机是否受到ARP欺骗攻击

当用户计算机出现以下现象时，可能已经受到网内其他“ARP欺骗”病毒计算机的攻击：

1、用户频繁断网、上网时感觉网络经常掉线，重新开机或修复本地连接（或先停用再启用）后网络恢复正常，但几分钟后网络再次中断。

2、IE 浏览器在使用过程中频繁出错或自动关闭网页。

出现上述现象时，用户可以用以下方法进行确认：

1）点“开始”－>“运行”，输入cmd，回车，再输入arp －a，回车。

2）如条目“172.1*.*.25400-0a-8b-99-c8-0adynamic”（*：不同子网代表的数字不同，如中文系为172.17.10.254，行政楼为172.17.21.254）中间部分(MAC地址)非“00-0a-8b-99-c8-0a”，即可确认了。

确认后，请将MAC地址电告我中心（电话：8027606）。

二、ARP欺骗攻击的防护措施

1、用户端

为保护校园网用户电脑不受其它电脑发出的ARP病毒的攻击，请点击此处下载ARP防火墙 下载运行，输入网关地址后，点击“枚取MAC”，同时把软件设为“开机自动运行软件”，再点击“自动保护”，最后点击“最小化窗口”。当该软件的“欺骗数据详细记录”档出现记录时，请将记录档中的“欺骗机的MAC地址”与“欺骗机IP”记录下来，并电告我中心（电话：8027606）。

另外，也可通过在本机上绑定网关的IP和MAC地址进行防范，具体操作如下：

1）编写一个批处理文件anti_arp.bat内容如下：

@echo off

arp �d

arp -s 172.1*.*.25400-0a-8b-99-c8-0a

将文件中的网关IP地址更改为本机网关IP地址。

2）将这个批处理软件拖到“windows--开始--程序--启动”中。

2、网关端

我中心将会对受到ARP欺骗攻击的网段，在网关处进行IP和MAC地址绑定。

三、ARP欺骗病毒的查杀方法

为确认用户本机是否感染此病毒，请立即下载运行ARP病毒查杀工具，如发现已经中毒，则需要重新安装操作系统，并加强电脑的安全防护手段  。

ARP病毒专杀工具 ARP病毒专杀工具使用说明。

四、对中ARP病毒用户的处理流程

若用户未按上述要求采取查杀措施，导致个人计算机在校园网上发送大量的病毒数据包，影响校园网的安全，我中心将采取以下措施：

（1）立即暂停该用户上网资格，直至该用户重新安装操作系统并已经采取安全措施后再恢复其上网资格。

（2）如果该用户第二次被发现在校园网上攻击其他计算机，则取消该用户上网资格一个月。

（3）如果该用户第三次被发现在校园网上攻击其他计算机，则永久取消该用户上网资格。

五、特别提示

此次出现的病毒不仅会影响自己的上网和信息安全，还会波及所在网段内其他电脑，对网络运行和信息安全是一个严重的威胁。敬请各位用户高度重视，及时采取上述有关措施。

ARP病毒查杀工具

ARP防火墙单机版

趋势科技ARP病毒专杀工具使用说明

现代教育技术中心