数字图书馆网络防治ARP病毒的策略

摘要：本文介绍了目前在数字图书馆局域网内蔓延泛滥的ARP病毒的协议的工作原理及欺骗过程，结合实际工作分析了防治ARP病毒的思路。
关键词：ARP 数字图书馆 病毒防治
0 引言
  近来，数字图书馆局域网相继出现频繁掉线的现象，访问Internet时断时续，影响面积较大。通过检查，我们发现故障的发生与ARP欺骗病毒有关。该病毒导致网内其他主机的ARP缓存表中默认网关的MAC地址错误，使其他主机掉线，达到自身主机独享线路带宽的目的。本文首先介绍ARP协议和其欺骗的过程，然后对校园网中此类ARP欺骗的原理进行分析，最后结合实际给出了相应的解决办法。
1 ARP概述
1.1 ARP协议简介 在以太网(Ethernet)中，一个网络设备要和另一个网络设备进行直接通信，除了知道目标设备的网络层逻辑地址(正地址)外，还要知道目标设备的物理地址(MAC地址)。要知道目的MAC地址，就需要通过地址解析。所谓地址解析就是主机在发送帧前将目的正地址转换成目的MAC地址的过程。ARP协议(Address Resolution Protocol)的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。
1.2 ARP协议工作原理 在每台安装有TCP/IP协议的主机里都有一个ARP高速缓存表，ARP高速缓存是主机维护的一个IP地址到相应以太网地址的映射表，表里的IP地址与MAC地址是——对应的。
  如图1所示:以主机A(IP:192.168.0.1，MAC:AA-AA-AA-AA
-AA-AA）向主机B(IP:192.168.0.2，MAC:BB-BB-BB-BB-BB-
BB)发送数据为例。
当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标B的正地址。如果找到了，也就知道了B的MAC地址，于是直接把B的MAC地址写入帧里面发送就可以了;如果在ARP缓存表中没有找到相对应的IP地址，主机A就会在网络上发送一个广播包，其目标MAC地址是FF-FF-FF-FF-FF-FF，这表示向本网段内的所有主机发出这样的询问:“192.168.0.2的MAC地址是?”网络上其它主机并不响应这一ARP请求，只有主机B接收到这个帧时，才向主机A做出这样的响应:“192.168.0.2的MAC地址是BB-BB-BB-BB-BB-BB”。这样，主机A就知道了主机B的MAC地址，它就可以向主机B发送数据了。同时它还更新了自己的ARP缓存表，当下次再向主机B发送信息时，就直接从ARP缓存表里查找。ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。
1.3 ARP欺骗的过程 从影响网络连接通畅的角度来看，ARP欺骗分为二种:一种是对网关(路由器或三层交换机)的欺骗;另一种是对内网PC的欺骗。前者是通过伪造本网段内一系列正地址及对应的错误MAC地址，并按照一定的频率不断发给网关，使真实的地址信息无法通过刷新保存在网关AR卫列表中，结果网关的所有数据只能发送给错误的MAC地址，造成正常的主机无法收到信息而不能上网。后者的原理是欺骗者伪造网关，让被它欺骗的PC刷新其ARP缓存列表，从而截获该PC发给网关的信息。
1.3.1 欺骗网关 假如C要欺骗网关的话，它可以通过不断的发送伪造的应答包，如图2所示:
C不断向网关G发送伪造的ARP应答“192.168.0.1的MAC地址是DDDDDDDDDDDD”，“192.168.0.2的MAC地址是EEEEEEEEEEEE”。当G接收到C伪造的ARP应答时，都会更新自己本地的ARP缓存，这样主机A和B将无法收到来自网关G的信息，从而导致不能上网。
1.3.2 欺骗局域网中某台主机 如图3所示:假如A想和B通信，且A的缓存中没有B的信息，这时候A就发送一个广播包，询问192.168.0.2主机的MAC地址。
假设C是欺骗者，于是C向A发送一个自己伪造的ARP应答:“192.168.0.2的MAC地址是CCCCCCCCCCCC”。当A接收到C伪造的ARP应答，就会更新本地的ARP缓存(A并不知道被伪造了)。于是A以后向B发送的信息就会被C所截获。
　　[8]电大学习网.免费论文网[EB/OL]. /d/file/p/2024/0424/fontbr />2 ARP欺骗的防治
2.1 npptools.dll 是windows系统的一个动态库(network packet provider tools helper)常被ARP病毒利用，所以，禁止了npptools.dll将使此类病毒无法正常运行。具体方法是：在安全模式中，打开WINDOWS/SYSTEM32/NPPTOOLS.DLL文件。删除这个文件后，用零字节的文件替换。最后将nnptools.dll保存为只读文件。
2.2 制作IP绑定MAC地址的批处理文件 编写一个批处理文件arp.bat，内容如下:
@echo off
arp-d
arp-s网关IP地址 网关MAC地址
保存为:xxx.bat。运行批处理文件。即将这个批处理文件拖到开始菜单启动中，批处理文件可以在开机后设置一个静态的MAC、IP 对应表，并不让主机刷新。
2.3 对于只是感染ARP的机器可以通过手动来清除而不用重新安装系统。
2.3.1 结束ARP病毒进程vktserv.exe，删除系统中存在的下列文件:%windows%/system32/LOADHW.EXE。
%windows%/system32/driver/npf.sys
%windows%/system32/msitimit.dll
2.3.2 删除病毒的假驱动程序,打开注册表服务项:HKEY_LOCALMACHINE/SYSTEM/CurrentControlSet/Services/Npf,保存退出重新启动电脑。
2.4 经常更新杀毒软件（病毒库），安装并使用ARP防火墙软件，如奇虎360ARP防火墙。
2.5 MAC地址与IP地址的绑定是最简单有效的ARP攻击防御方法。这样在查找ARP中毒电脑时很方便。利用局域网查看工具（Lan See）可以很方便地收集同一网段内机器的IP地址、机器名、MAC地址。需要注意的是先关闭被收集信息的机器的Windows防火墙，才能收集到所需信息。
3 结束语
ARP病毒的泛滥对数字化图书馆的影响很大，网络总是掉线，导致了读者不能正常使用图书馆资源，工作人员不能顺畅的工作，带来了很多障碍。本文分析了ARP欺骗的原理提出了解决ARP欺骗的几种方法。解决ARP欺骗以及防范有关病毒的更多更好的方法，还有待于我们继续探讨。
参考文献:
[1]谢希仁.计算机网络[M].北京:电子工业出版社,2004.
[2][美]Douglas E C.用TCP/IP进行网际互联(第1卷):原理、协议与结构[M].4版.北京:电子工业出版社,2003:7.
[3]王奇.以太网中ARP欺骗原理与解决办法[J].网络安全,2007(2).
[4]陆余良,张永,刘克胜,等.ARP协议在局域网类型探测中的应用[J].计算机工程,2004,30(1):1952197.
　　[8]电大学习网.免费论文网[EB/OL]. /d/file/p/2024/0424/fontbr />