曾经遇到的arp病毒

mark_mark

以前遇到的，今天整理东西时发现的，贴在这和大家分享下。
环境：划分了vlan的局域网内，某个网段突然有丢包断线的情况，
网段内的用户使用其他网段的资源时断时续。
具体：问题vlan内的客户时而无法ping通该vlan的网关，大概5分钟左右
出现一次。
解决过程：
1检查了屋里线路和设备配置，都排除了物理线路和设备配置的问题；
2用ethereal抓包发现有大量的arp广播包；
图片如下：


从图上可以看出是00:10:5C:DA:FC:2B地址的微机中毒后向网络中发送错误的arp广播
导致其他ip在访问时网关变更为0.136.136.16，从而导致了网络的中断。
剩下的解决方法就是在交换机上查看mac地址表，查找00:10:5C:DA:FC:2B连接的端口，
3550#sh mac-address-table
！
    8    0010.5cba.055a    DYNAMIC    Fa0/2
   8    0010.5cbc.1738    DYNAMIC    Fa0/2
   8    0010.5cda.fc2b    DYNAMIC    Fa0/25   #重点是这一条信息
    8    0010.5ce6.e235    DYNAMIC    Fa0/2
   8    0010.dc02.f87e    DYNAMIC    Fa0/2

找到后断网杀毒，then，解决。

[ 本帖最后由 mark_mark 于 2008-7-17 15:55 编辑 ]

小松鼠

https://highot.us/thread-307981-1-1.html

我也遇到了.

断网杀毒

你哪什么杀的.我那里什么杀软件都不装.包括360之类一概不装.看来要注视一下.

mark_mark

现在防arp的工具多了，网上一把一把的啊，我那当时同事直接用ghost恢复了早期的备份。

小松鼠

临时性只能用arp -d

因为没有时间。查了相关资料，双绑定基本上可以搞定。

blackwhite

不错.我学习了.
我管理的网络里边,windows机器最容易受到影响.天天有人抱怨,我又没有权限管理switch,NND的.

whitehorse

学习了，有机会去试一试。

hpcex

写的很清楚，最快速度抓出源是关键。

msjcn

学习了。。。。谢谢

wang7914

源地址真的难找，找到的话，就好办多了