根據ARP***的原理，以下介紹全面的防治解決方法，采用下面的解決方法二加方法三，效果就不錯了，當然交換機性能許可情況下，最好還是加上交換機綁定MAC地址、服務器端綁定IP? MAC。
　　本文是轉載網上的資料，在此感謝對技術無私分享的同仁們！ 先了解ARP變種病毒的特性吧：
　　一、破壞你的ARP雙向綁定批出理
　　二、中毒機器改變成代理服務器又叫代理路由
　　三、改變路由的網關MAC地址和internat網關的MAC地址一樣
　　病毒發(fā)作情況：現在的ARP變種 不是***客戶機的MAC地址***路由內網網關，改變了它的原理，這點實在佩服 ，直接***您的路由的什么地址你知道嗎？哈哈~~猜猜吧~~不賣關了~~新的變種ARP直接***您路由的MAC地址和外網網關 ，而且直接就把綁定IP　MAC的批處理文件禁用了。一會兒全掉線，一會兒是幾臺幾臺的掉線。而且 中了ARP的電腦會把那臺電腦轉變成內網的代理服務器進行盜號和發(fā)動***。如果大家發(fā)現中了ARP沒有掉線，那說明你中了最新的變種，你只要重啟了那臺中了ARP病毒的電腦，那么受到ARP***的機子就會全部掉線 ，內網的網關不掉包，而外網的IP和DNS狂掉，這點也是ARP變種的出現的情況，請大家留意。
在最后會公布解決的案例和相關補丁，請大家看完全文可能對你有幫助哦，不要急著下~呵呵~
　　該病毒發(fā)作時候的特征為，中毒的機器會偽造某臺電腦的MAC地址，如該偽造地址為網關服務器的地址，那么對整個網吧均會造成影響，用戶表現為上網經常瞬斷。
　　一、在任意客戶機上進入命令提示符(或MS-DOS方式)，用arp –a命令查看：
C:\WINNT\system32>arp -a Interface: 192.168.0.193 on Interface 0x1000003
Internet Address Physical Address Type
192.168.0.1 00-50-da-8a-62-2c dynamic
192.168.0.23 00-11-2f-43-81-8b dynamic
192.168.0.24 00-50-da-8a-62-2c dynamic
192.168.0.25 00-05-5d-ff-a8-87 dynamic
192.168.0.200 00-50-ba-fa-59-fe dynamic
可以看到有兩個機器的MAC地址相同，那么實際檢查結果為 00-50-da-8a-62-2c為192.168.0.24的MAC地址，192.168.0.1的實際MAC地址為00-02-ba-0b-04-32，我們可以判定192.168.0.24實際上為有病毒的機器，它偽造了192.168.0.1的MAC地址。
　　二、在192.168.0.24上進入命令提示符(或MS-DOS方式)，用arp –a命令查看：
C:\WINNT\system32>arp -a
Interface: 192.168.0.24 on Interface 0x1000003
Internet Address Physical Address Type
192.168.0.1 00-02-ba-0b-04-32 dynamic
192.168.0.23 00-11-2f-43-81-8b dynamic
192.168.0.25 00-05-5d-ff-a8-87 dynamic
192.168.0.193 00-11-2f-b2-9d-17 dynamic
192.168.0.200 00-50-ba-fa-59-fe dynamic
　　可以看到帶病毒的機器上顯示的MAC地址是正確的，而且該機運行速度緩慢，應該為所有流量在二層通過該機進行轉發(fā)而導致，該機重啟后網吧內所有電腦都不能上網，只有等arp刷新MAC地址后才正常，一般在2、3分鐘左右。
　　三、如果主機可以進入dos窗口，用arp –a命令可以看到類似下面的現象：
C:\WINNT\system32>arp -a
Interface: 192.168.0.1 on Interface 0x1000004
Internet Address Physical Address Type
192.168.0.23 00-50-da-8a-62-2c dynamic
192.168.0.24 00-50-da-8a-62-2c dynamic
192.168.0.25 00-50-da-8a-62-2c dynamic
192.168.0.193 00-50-da-8a-62-2c dynamic
192.168.0.200 00-50-da-8a-62-2c dynamic
　　該病毒不發(fā)作的時候，在代理服務器上看到的地址情況如下：
C:\WINNT\system32>arp -a
Interface: 192.168.0.1 on Interface 0x1000004
Internet Address Physical Address Type
192.168.0.23 00-11-2f-43-81-8b dynamic
192.168.0.24 00-50-da-8a-62-2c dynamic
192.168.0.25 00-05-5d-ff-a8-87 dynamic
192.168.0.193 00-11-2f-b2-9d-17 dynamic
192.168.0.200 00-50-ba-fa-59-fe dynamic 病毒發(fā)作的時候，可以看到所有的ip地址的mac地址被修改為00-50-da-8a-62-2c，正常的時候可以看到MAC地址均不會相同。 一步一步按步驟操作 解決辦法一：
　　一、采用客戶機及網關服務器上進行靜態(tài)ARP綁定的辦法來解決。
　　1． 在所有的客戶端機器上做網關服務器的ARP靜態(tài)綁定。
首先在網關服務器（代理主機）的電腦上查看本機MAC地址
C:\WINNT\system32>ipconfig /all
Ethernet adapter 本地連接 2:
Connection-specific DNS Suffix . :
Descript_ion . . . . . . . . . . . : Intel? PRO/100B PCI Adapter (TX)
Physical Address. . . . . . . . . : 00-02-ba-0b-04-32
Dhcp Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 192.168.0.1
Subnet Mask . . . . . . . . . . . : 255.255.255.0
然后在客戶機器的DOS命令下做ARP的靜態(tài)綁定
C:\WINNT\system32>arp –s 192.168.0.1 00-02-ba-0b-04-32
注：如有條件，建議在客戶機上做所有其他客戶機的IP和MAC地址綁定。 2． 在網關服務器（代理主機）的電腦上做客戶機器的ARP靜態(tài)綁定
首先在所有的客戶端機器上查看IP和MAC地址，命令如上。
然后在代理主機上做所有客戶端服務器的ARP靜態(tài)綁定。如：
C:\winnt\system32> arp –s 192.168.0.23 00-11-2f-43-81-8b
C:\winnt\system32> arp –s 192.168.0.24 00-50-da-8a-62-2c
C:\winnt\system32> arp –s 192.168.0.25 00-05-5d-ff-a8-87
　　3． 以上ARP的靜態(tài)綁定最后做成一個windows自啟動文件，讓電腦一啟動就執(zhí)行以上操作，保證配置不丟失。
　　二、有條件的網吧可以在交換機內進行IP地址與MAC地址綁定
　　三、IP和MAC進行綁定后，更換網卡需要重新綁定，因此建議在客戶機安裝殺毒軟件來解決此類問題。
解決方法二：
　　1：在網關路由上對客戶機使用靜態(tài)MAC綁定。ROUTE OS軟路由的用戶可以參照相關教程，或是在IP--->ARP列表中一一選中對應項目單擊右鍵選擇“MAKE STATIC”命令，創(chuàng)建靜態(tài)對應項。
用防火墻封堵常見病毒端口：134-139，445，500，6677，5800，5900，593，1025，1026，2745，3127，6129 以及P2P下載
　　2：在客戶機上進行網關IP及其MAC靜態(tài)綁定，并修改導入如下注冊表：
　（A）禁止ICMP重定向報文
ICMP的重定向報文控制著Windows是否會改變路由表從而響應網絡設備發(fā)送給它的ICMP重定向消息，這樣雖然方便了用戶，但是有時也會被他人利用來進行網絡***，這對于一個計算機網絡管理員來說是一件非常麻煩的事情。通過修改注冊表可禁止響應ICMP的重定向報文，從而使網絡更為安全。 修改的方法是：打開注冊表編輯器，找到或新建“HKEY_LOCAL_Machine\System\CurrentControlSet\Services\TCPIP\Paramters”分支，在右側窗口中將子鍵“EnableICMPRedirects”(REG_DWORD型)的值修改為0（0為禁止ICMP的重定向報文）即可。
　　（B）禁止響應ICMP路由通告報文
“ICMP路由公告”功能可以使他人的計算機的網絡連接異常、數據被竊聽、計算機被用于流量***等，因此建議關閉響應ICMP路由通告報文。 修改的方法是：打開注冊表編輯器，找到或新建“HKEY_LOCAL_Machine\System\CurrentControlSet\Services\TCPIP\Paramters\Interfaces”分支，在右側窗口中將子鍵“PerformRouterDiscovery”REG_DWORD型的值修改為0（0為禁止響應ICMP路由通告報文，2為允許響應ICMP路由通告報文）。修改完成后退出注冊表編輯器，重新啟動計算機即可。
　（C）設置arp緩存老化時間設置
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services:\Tcpip\Parameters
ArpCacheLife REG_DWORD 0-0xFFFFFFFF(秒數,默認值為120秒)
ArpCacheMinReferencedLife REG_DWORD 0-0xFFFFFFFF(秒數,默認值為600)
說明:如果ArpCacheLife大于或等于ArpCacheMinReferencedLife,則引用或未引用的ARP
緩存項在ArpCacheLife秒后到期.如果ArpCacheLife小于ArpCacheMinReferencedLife,
未引用項在ArpCacheLife秒后到期,而引用項在ArpCacheMinReferencedLife秒后到期.
每次將出站數據包發(fā)送到項的IP地址時,就會引用ARP緩存中的項。 曾經看見有人說過，只要保持IP-MAC緩存不被更新，就可以保持正確的ARP協(xié)議運行。關于此點，我想可不可以通過，修改注冊表相關鍵值達到： 默認情況下ARP緩存的超時時限是兩分鐘，你可以在注冊表中進行修改。可以修改的鍵值有兩個，都位于 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters 修改的鍵值： 鍵值1：ArpCacheLife，類型為Dword，單位為秒，默認值為120 鍵值2：ArpCacheMinReferencedLife，類型為Dword，單位為秒，默認值為600 注意：這些鍵值默認是不存在的，如果你想修改，必須自行創(chuàng)建；修改后重啟計算機后生效。 如果ArpCacheLife的值比ArpCacheMinReferencedLife的值大，那么ARP緩存的超時時間設置為ArpCacheLife的值；如果ArpCacheLife的值不存在或者比ArpCacheMinReferencedLife的值小，那么對于未使用的ARP緩存，超時時間設置為120秒；對于正在使用的ARP緩存，超時時間則設置為ArpCacheMinReferencedLife的值。
我們也許可以將上述鍵值設置為非常大，不被強制更新ARP緩存。為了防止病毒自己修改注冊表，可以對注冊表加以限制。
只要事先在沒遇到ARP***前，通過任意一個IP-MAC地址查看工具，紀錄所有機器的正確IP-MAC地址。等到受到***可以查看哪臺機器出現問題，然后通常是暴力解決，問題也許不是很嚴重。但是對于內網電腦數量過大，每臺機器都幫定所有IP-MAC地址，工作量非常巨大，必須通過專門軟件執(zhí)行。
解決辦法三：
　　安全模式下刪除system32\npptools.dll，我維護的網吧那里刪除了一個月了，從來沒中過ARP病毒，也無任何不良反映，ARP病毒缺少了npptools.dll這個文件根本不能運行，目前所發(fā)現的ARP病毒通通提示npptools.dll出錯，無法運行 暫時還沒發(fā)現可以自動生成npptools.dll的病毒，npptools.dll本身就40多K，病毒如果還要生成自己的運行庫的話，不是幾十K的大小就可以辦到的，再大一些的就不是病毒了 ，當然，還是要做ARP -S綁定，只綁定本機自身跟路由即可，可以在“一定程度上”減少ARP程序的破壞 ，刪除不了同志，麻煩您先關閉文件保護，最簡單的方法就是用XPLITE來關閉，網上一搜一大把的 另外再次聲明，這個方法只對ARP病毒生效，對惡意軟件只是小部分有效的 特別提醒一點：不要忘記了梆定外網網關和MAC，下面我舉個例子吧 IP：10.10.10.10 子網掩碼：255.255.255.255 網關：10.10.10.9[一定要綁定這個網關地址和MAC] DNS：222.222.222.222 備用DNS：222.222.221.221 個人推薦安全工具及補丁： 個人認為這點TP-LINK480T的路由做的非常好，具體請看本站的對于TP-LINK480T的路由介紹 小網吧使用TP-LINK480T的請升級最新版本，本站有下載 使用思科和華為的請綁定網關地址和MAC 推薦工具： AntiArpSniffer3最新版 補丁:mAC綁定程序 Vnd8.28防ARP補丁 ARP變種病毒微軟補丁 TP-LINK480T最新升級補丁
轉載地址：http://cwjcwj.blog.51cto.com/148050/101979

總結

以上是生活随笔為你收集整理的ARP防治攻略————服务器防护的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。