为什么我的电脑网速这么慢啊
清华大学李同学反映：我住在学校紫荆公寓5号楼，从4月份开始，宿舍网速就变得非常慢，而且电脑总出现死机现象。开始我以为是电脑出了问题，但后来发现舍友和其他宿舍同学的电脑都不同程度出现这种情况。因为网速慢，许多需要用邮件交作业的同学，都要跑到学校外面的网吧上网。我每次网上提交申请出国的手续都要反复许多次才能成功，耽误了不少时间。不知道学校校园网中的电脑病毒什么时候能够治愈？
记者核实：清华大学的校园BBS上，有多名同学抱怨学校宿舍网速太慢，并频频出现掉线现象。引起这种现象的是一种名为“ARP欺骗”的电脑病毒。从4月10日起，已经陆续有100多个宿舍网络端口被封闭，给学生们的正常上网带来了影响。
清华大学网管会服务组工作人员回复：一个物理端口受到“ARP病毒”攻击，整个IP地址段内的电脑都会无法上网，一个IP地址段最多有200多个用户，从4月份开始，学校累计已经超过万台电脑受到了影响，给学生生活和学习，以及教师的办公都带来了很大影响。
清华大学网络中心工作人员回复：这种病毒2006年首次在清华大学出现。到2006年年底，病毒已经演变成了十几个变种，不仅造成局域网的通信故障，还会截取局域网内所有的通讯数据。为防止病毒肆虐，去年寒假期间，对学校44栋学生宿舍楼进行了大规模的联合查杀，查杀之后，病毒消失了一段时间，但今年4月份开始又卷土重来。只要有一台电脑受到病毒感染，病毒就会通过网络的物理端口，感染给局域网内的其他电脑。现在只能是发现中毒端口便立即封闭，但这种封闭都有一定的期限，是为了防止病毒的蔓延，封闭期间这些宿舍学生不能上网。
而在金山毒霸工作人员铁军的博客里面，我们很快就看到了非常专业的分析：
又见ARP攻击会话劫持挂马的黑客程序
病毒详细信息
病毒全名:Win32.Hack.ArpSpoon.h
病毒长度:26112
威胁级别★★
病毒类型黑客程序
病毒简介
这是一个ARP欺骗病毒,它能向同网段所有计算机发送ARP欺骗数据包,挟持了该网段内的网关,使经过网关的每个数据包都经过受病毒感染的计算机,该计算机会寻找HTTP响应包,在包内加入挂马的代码.
技术细节
1:ARP欺骗
病毒会枚举本计算机所在的网段,并发送经过伪造的ARP(AddressResolutionProtocol)数据包,
挟持了本网段的网关地址,使本网段的所有的数据包都经过该计算机.
2:修改特定数据包
病毒会对所有的数据包进行分析,过滤出HTTP应答包,并在包里面插入一段代码，使用户看到的网页最前面被插入以上代码,该网页会利用ANI漏洞(MS07-017)下载并运行木马程序,建议用户及时补上计算机上已知的漏洞.
注：
利用ARP欺骗挂木马并没有真正的修改网页服务器上的页面内容,它是在数据包传输中非法修改里面的数据,强行插入病毒代码,而且影响范围相当的广,若一个空间服务商的一台服务器中毒,就会使得该服务器所在的网段的传输的数据包都被修改,很可能会影响到数以百计的网站空间.而且寻找ARP欺骗的源头并不容易查出,所以这种攻击方式具有极大的危害性.建议网络管理员使用静态的路由表来管理网络的MAC与IP地址.
金山毒霸的铁军还给出了相应的解决方案，很有参考价值哈：
现在局域网中感染ARP病毒的情况，由于此种现象目前非常普遍，清理和防范都比较困难，给不少的网络管理员造成了很多的困扰。下面就是处理这个病毒的一些参考方法，供大家参考：
ARP病毒的症状：
有时候无法正常上网，有时候有好了，包括访问网上邻居也是如此，拷贝文件无法完成，出现错误；局域网内的ARP包爆增，使用Arp查询的时候会发现不正常的Mac地址，或者是错误的Mac地址对应，还有就是一个Mac地址对应多个IP的情况也会有出现。
ARP攻击的原理：
ARP欺骗攻击的包一般有以下两个特点，满足之一可视为攻击包报警:第一以太网数据包头的源地址、目标地址和ARP数据包的协议地址不匹配。或者，ARP数据包的发送和目标地址不在自己网络网卡MAC数据库内，或者与自己网络MAC数据库MAC/IP不匹配。这些统统第一时间报警，查这些数据包(以太网数据包)的源地址(也有可能伪造)，就大致知道那台机器在发起攻击了。现在有网络管理工具比如网络执法官、P2P终结者也会使用同样的方式来伪装成网关，欺骗客户端对网关的访问，也就是会获取发到网关的流量，从而实现网络流量管理和网络监控等功能，同时也会对网络管理带来潜在的危害，就是可以很容易的获取用户的密码等相关信息。
处理办法：
通用的处理流程：
1.先保证网络正常运行
方法一：编辑个***.bat文件内容如下：
arp -s ***.***.***.***(网关的IP) **-**-**-**-**-**(网关的MAC地址)
让网络用户点击就可以了!
办法二：编辑一个注册表问题，键值如下：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"mac"="arp -s ***.***.***.***(网关的IP) **-**-**-**-**-**(网关的MAC地址)"
然后保存成Reg文件以后在每个客户端上点击导入注册表。
2找到感染ARP病毒的机器。
a：在电脑上ping一下网关的IP地址，然后使用ARP－a的命令看得到的网关对应的MAC地址是否与实际情况相符，如不符，可去查找与该MAC地址对应的电脑。
b：使用抓包工具，分析所得到的ARP数据报。有些ARP病毒是会把通往网关的路径指向自己，有些是发出虚假ARP回应包来混淆网络通信。第一种处理比较容易，第二种处理比较困难，如果杀毒软件不能正确识别病毒的话，往往需要手工查找感染病毒的电脑和手工处理病毒，比较困难。
c：使用mac地址扫描工具，nbtscan扫描全网段IP地址和MAC地址对应表，有助于判断感染ARP病毒对应MAC地址和IP地址。
预防措施：
1，及时升级客户端的操作系统和应用程式补丁；
2，安装和更新杀毒软件。
3，如果网络规模较少，尽量使用手动指定IP设置，而不是使用DHCP来分配IP地址。
4，如果交换机支持，在交换机上绑定MAC地址与IP地址。（不过这个实在不是好主意）
还有，使用金山毒霸的朋友要升级病毒库，可以很好的进行防范；此外也可以下载金山专杀工具，进行病毒的扫描查杀，效果也不错，最主要的工具是免费的，呵呵。
防患于未然，只要提高自己的安全上网意识，加强主动防范，还是可以很好的享受轻松愉快的上网体验的。
分享到：