解析ＡＲＰ病毒攻击技术与防御策略

　　【摘 要】ARP病毒位列十大病毒排行榜第四位，而且目前ARP地址欺骗技术已经被越来越多的病毒所采用，成为病毒发展的一个新趋势。本文还较深入和直观地介绍了ARP协议的基本原理、基本工作过程、ARP欺骗技术以及其对策，
　　【关键词】arp协议 arp欺骗
　　
　　近年来，arp攻击十分频繁，ARP病毒位列十大病毒排行榜第四位，而且目前ARP地址欺骗技术已经被越来越多的病毒所采用，成为病毒发展的一个新趋势。如何防范arp攻击越来越受到了网管的重视。
　　
　　一、ARP协议工作原理
　　
　　在TCP/IP协议中，每一个网络结点是用IP地址标识的，IP地址是一个逻辑地址。而在以太网中数据包是靠48位MAC地址（物理地址）寻址的。因此，必须建立IP地址与MAC地址之间的对应（映射）关系，ARP协议就是为完成这个工作而设计的。
　　TCP/IP协议栈维护着一个ARP cache表，在构造网络数据包时，首先从ARP表中找目标IP对应的MAC地址，如果找不到，就发一个ARP request广播包，请求具有该IP地址的主机报告它的MAC地址，当收到目标IP所有者的ARP reply后，更新ARP cache.ARP cache有老化机制。
　　ARP协议是建立在信任局域网内所有结点的基础上的，它很高效，但却不安全。它是无状态的协议，不会检查自己是否发过请求包，也不管（其实也不知道）是否是合法的应答，只要收到目标MAC是自己的ARP reply包或arp广播包（包括ARP request和ARP reply），都会接受并缓存。这就为ARP欺骗提供了可能，恶意节点可以发布虚假的ARP报文从而影响网内结点的通信，甚至可以做“中间人”。
　　
　　二、ARP病毒分析
　　
　　当局域网内某台主机运行ARP欺骗的木马程序时，会欺骗局域网内所有主机和路由器，让所有上网的流量必须经过病毒主机。其他用户原来直接通过路由器上网现在转由通过病毒主机上网，切换的时候用户会断一次线。切换到病毒主机上网后，如果用户已经登陆了传奇服务器，那么病毒主机就会经常伪造断线的假像，那么用户就得重新登录传奇服务器，这样病毒主机就可以盗号了。
　　下面就BKDR_NPFECT.A病毒进行分析
　　1.病毒的组件
　　本文研究的病毒样本有三个组件构成：
　　%windows%\\SYSTEM32\\LOADHW.EXE(108，386 bytes)……病毒组件释放者”
　　%windows%\\System32\\drivers\\npf.sys(119，808 bytes)……“发ARP欺骗包的驱动程序”
　　%windows%\\System32\\msitinit.dll (39，952 bytes)……“命令驱动程序发ARP欺骗包的控制者”
　　2.病毒运作基理
　　LOADHW.EXE执行时会释放两个组件npf.sys和msitinit.dll。
　　LOADHW.EXE释放组件后即终止运行。
　　注意：病毒假冒成winPcap的驱动程序，并提供winPcap的功能。客户若原先装有winPcap，npf.sys将会被病毒文件覆盖掉。随后msitinit.dll将npf.sys注册(并监视)为内核级驱动设备：“NetGroup Packet Filter Driver”msitinit.dll还负责发送指令来操作驱动程序npf.sys (如发送APR欺骗包，抓包，过滤包等)以下从病毒代码中提取得服务相关值：BinaryPathName="system32\\drivers\\npf.sys"StartType= SERVICE_AUTO_STARTServiceType=SERVICE_KERNEL_DRIVERDesiredAccess= SERVICE_ALL_ACCESSDisplayName = "NetGroup Packet Filter Driver"ServiceName = "Npf"并将LOADHW.EXE注册为自启动程序：[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\\CurrentVersion\\RunOnce] dwMyTest =LOADHW.EXE注：由于该项位于RunOnce下，该注册表启动项在每次执行后，即会被系统自动删除。 　　三、查找ARP攻击源头
　　
　　定位ARP攻击源头
　　主动定位方式：因为所有的ARP攻击源都会有其特征——网卡会处于混杂模式，可以通过ARPKiller这样的工具扫描网内有哪台机器的网卡是处于混杂模式的，从而判断这台机器有可能就是“元凶”。