最新主題最新主題  行事曆行事曆  搜尋論壇搜尋  幫助幫助
自訂搜尋
  註冊註冊  登入登入
資訊安全、病毒防護
 心靈的交叉點 : 侑昌資訊/隆達資訊 : 資訊安全、病毒防護
>
主題: 【病毒】ARP 病毒原理及防治 回覆主題 發表新主題
作者 訊息
leader
管理階層
管理階層
頭像

註冊: 2006/十一月/15
發表: 338
引用 leader 回覆bullet 主題: 【病毒】ARP 病毒原理及防治
    發表於︰ 2008/三月/17 在 9:46pm

當網域中有一台電腦中了 161816 病毒之後,所有同網域中的電腦都會受到影響。此病毒為 ARP 病毒,會發出 ARP 封包「欺騙」網域中其他正常的電腦,說它自己就是 gateway。

假設網域中有一台中毒電腦,稱為 A。
其他未中毒的電腦,稱為 B。

A 會傳出欺騙封包廣播給其他電腦 (ARP broadcast),而 B 收到這個封包,就會認為 A 就是 B 的 gateway。

於是 B 上網的時候,比如說連到 yahoo,就自然透過 A 去要 HTTP 資料。而 A 也很盡責將 yahoo 的網頁內容回傳給 B。於是 B 當然也能看到 yahoo 正常的頁面。

但是 A 會在這個頁面中,用 iframe 插入一個網頁,也就是 www.161816.com。

所以 B 上網的時候,雖然看到 yahoo 的頁面,但是會發現瀏覽器下方的狀態列會顯示「正在連線到 www.161816.com」,稍有警覺性的人這時候應該就會發現不對了,但大多數人認為可以正常上網就好,管他的。

由於用 iframe 插入正常頁面中,所以有時候會看到正常網頁的右上角會出現一個空白的小框框(就是 frame)。

當 B 的 iframe 連上 161816 網站之後,原本正常的 B 就會執行網頁上的程式,於是 B 也中毒了。

就算 B 裝上防毒軟體好了它將會變得寸步難行。因為 B 一連上 yahoo,防毒軟體偵測到 yahoo 網頁中的 iframe 含有惡意程式碼,於是會禁止顯示網頁。所以 B 等於被斷線了。

換句話說,網域中有一台電腦中了 161816 病毒,等於其他的電腦就只剩兩個選擇:1. 不裝防毒軟體,由 iframe 導致中毒 2. 裝防毒軟體,網路被防毒軟體斷線。

 
 

治標(自保之道):

  • 使用 Firefox 搭配 NoScript 擴充套件。
    這個方法可以避免連上有毒網頁後,因執行 javascript 而中毒。總之可疑的網站一律不給執行 javascript。
  • 清除網頁暫存
    從瀏覽器中清空網頁暫存,以免又開啟有毒的 iframe,需與以下其他步驟配合。
  • 使用 static 的 ARP 綁定
    我們從開始功能表執行 cmd 可進入命令列模式,在命令列中輸入 arp -a 可以看到電腦中的 ARP table。類似這樣:「 172.16.0.254 00-30-80-04-3e-01 dynamic」,其中 172.16.0.254 是我的 gateway IP,而 00-30-80-04-3e-01 是我的 gateway MAC address,但若被中毒電腦干擾,這個 MAC address 會變成中毒電腦的網卡。
    接下來我們可以下指令 arp -d,就會刪除掉 ARP table 中的內容。
    再下指令 arp -s 172.16.0.254 00-30-80-04-3e-01
    就可以將 gateway 的 IP 與 MAC 進行 static 綁定。
    您也可以將上述 arp -d 與 -s 的過程寫成批次檔,並放到開始功能表「啟動」之中,以便每次開機時自動執行。
  • 使用 ARP firewall
    所謂的 ARP firewall 不過就是自動進行 arp -d 與 arp -s 的重設動作。所以各位如果手動進行了上一個步驟,就不需要這個東西了。

接下來談一下網管要處理的治本方式:

  • 用防火牆封鎖 161816 的整個網域
    我把 60.190.*.* 都封鎖起來,避免校內電腦無意中連上該網站。請參考這個網站下方所列的網址,可一併進行封鎖。
  • 找出中毒電腦的 MAC address 及 IP
    利用 arp -a 找出中毒電腦的 MAC address,再反推出該電腦的真實 IP,並找到本尊進行斷線或掃毒。如果一時沒辦法找到該電腦,可先用防火牆規則阻擋該中毒電腦上網。
    因為中毒電腦把自己當成了 gateway,誘導大家經由它連上網路,一旦切斷它的網路之後,網域中的其他正常電腦由於透過它連線,也會同時被斷線。
IP IP已記錄
回覆主題 發表新主題
列印預覽 列印預覽

論壇跳轉
不可以 在本版發表新主題
不可以 在本版回覆主題
不可以 在本版刪除您的發言
不可以 在本版編輯您的發言
不可以 在本版建立投票
不可以 在本版投票



頁面執行時間為 0.156 秒。
  
Page Rank Check
 服務地址:台中市北區梅川西路三段39巷18號五樓之十 服務電話:886-4-22927366
 電子郵件:yoursun@yoursun.com.tw 版權所有 © 2006 侑昌資訊股份有限公司