本文目录一览：

• 1、蜜罐技术的工作原理
• 2、通讯录被盗取怎么解决？
• 3、黑客怎么能让你的电脑断网
• 4、黑客常说的肉鸡指的是什么？
• 5、一般黑客进行入侵的是时候需要在虚拟的环境（虚拟机）下吗？
• 6、我是电信以太网用户，电脑总被黑客攻击，有解决办法吗

蜜罐技术的工作原理

蜜罐的主要原理包括以下几个方面:

第一,网络欺骗。

使入侵者相信存在有价值的、可利用的安全弱点,蜜罐的价值就是在其被探测、攻击或者攻陷的时候得以体现,网络欺骗技术是蜜罐技术体系中最为关键的核心技术,常见的有模拟服务端口、模拟系统漏洞和应用服务、流量仿真等。

第二,数据捕获。

一般分三层实现:最外层由防火墙来对出入蜜罐系统的网络连接进行日志记录;中间层由入侵检测系统(IDS)来完成,抓取蜜罐系统内所有的网络包;最里层的由蜜罐主机来完成,捕获蜜罐主机的所有系统日志、用户击键序列和屏幕显示。

第三,数据分析。

要从大量的网络数据中提取出攻击行为的特征和模型是相当困难的,数据分析是蜜罐技术中的难点,主要包括网络协议分析、网络行为分析、攻击特征分析和入侵报警等。数据分析对捕获的各种攻击数据进行融合与挖掘,分析黑客的工具、策略及动机,提取未知攻击的特征,或为研究或管理人员提供实时信息。

第四,数据控制。

数据控制是蜜罐的核心功能之一,用于保障蜜罐自身的安全。蜜罐作为网络攻击者的攻击目标,若被攻破将得不到任何有价值的信息,还可能被入侵者利用作为攻击其他系统的跳板。虽然允许所有对蜜罐的访问,但却要对从蜜罐外出的网络连接进行控制,使其不会成为入侵者的跳板危害其他系统。

首先我们要弄清楚一台蜜罐和一台没有任何防范措施的计算机的区别，虽然这两者都有可能被入侵破坏，但是本质却完全不同，蜜罐是网络管理员经过周密布置而设下的“黑匣子”，看似漏洞百出却尽在掌握之中，它收集的入侵数据十分有价值;而后者，根本就是送给入侵者的礼物，即使被入侵也不一定查得到痕迹……因此，蜜罐的定义是:“蜜罐是一个安全资源，它的价值在于被探测、攻击和损害。”

设计蜜罐的初衷就是让黑客入侵，借此收集证据，同时隐藏真实的服务器地址，因此我们要求一台合格的蜜罐拥有这些功能:发现攻击、产生警告、强大的记录能力、欺骗、协助调查。另外一个功能由管理员去完成，那就是在必要时候根据蜜罐收集的证据来起诉入侵者。

通讯录被盗取怎么解决？

通讯录被盗取如何解决，采取以下方法：

1、更换账号。

个人信息泄漏后，要第一时间换账号。由于现在网络十分发达，信息泄露之后如果不换账号，那么在这个账号下登陆的各种信息就会源源不断地流出。因此，一旦发现了泄露的源头，就要立刻终止使用这个账号，从源头切断泄漏源。

2、更改重要的密码。

现在的人离不开网络，一旦个人信息泄露，涉及面非常广。尤其对于喜欢网购的人来说，个人信息往往和银行账号、密码等重要的信息联系在一起。因此一旦个人信息泄露，应该马上更改重要的密码，避免造成经济损失。

3、报案。

个人信息一旦泄露，应该报警。报案的目的一来是保护自己的权益，二来也是可以备案。一旦有更多的人遇到和你类似的情况，就可以一起处理。这样不仅可以维护自己的隐私权，还可以避免更多的经济损失。

4、收集证据。

在信息泄露之后，很容易收到各种各种的邮件，接到天南海北的。这时候要留心，记下对方的或者是邮箱地址等有用的信息。可能这些信息很琐碎，但是一旦收集好这些信息不仅能帮助自己维权，而且还可能帮助更多的人。

5、律师起诉。

如果个人重要的信息丢失，而且知道怎么丢失的或者是有很多线索，那么就可以向专业的律师咨询相关的法律法规。如果律师给予肯定的答复，就可以利用法律的武器维护自己的权益。

提高信息安全意识

安全现状随着互联网应用的普及和人们对互联网的依赖，互联网的安全问题也日益凸显。恶意程序、各类钓鱼和欺诈继续保持高速增长，同时黑客攻击和大规模的个人信息泄露事件频发，与各种网络攻击大幅增长相伴的，是大量网民个人信息的泄露与财产损失的不断增加。

根据公开信息，2011年至今，已有11.27亿用户隐私信息被泄露。“这个数据意味着，几乎每一个上网的人，自己的信息都可能已经在不知不觉中被窃取甚至利用。”因此防护个人信息的外露，是每个网民应有的自我保护意识。

黑客怎么能让你的电脑断网

这种针对局域网的攻击 根据你的情况最有可能就是你的计算机被 网络执法官或者P2P终结者之类的软件攻击并限制了 看看你的dns有没有感便 最大的可能性就是ARP攻击 防范方法如下【故障原理】 在局域网中，通过ARP协议来完成IP地址转换为第二层物理地址（即MAC地址）的。ARP协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞。 在局域网中，两台网络设备要互相通信，必须要互相知道对方的物理地址，也就是MAC地址。IP地址和MAC地址的关系就像A和B两栋楼中的两处居民小李和小张的关系。假设小李住在A楼，小张住在B楼，小李要和小张隔着楼谈话，小李必须在A楼处大喊小张的名字（MAC地址）后，双方才能谈话。否则小李大喊B楼（IP地址），是无法进行谈话的。而小李和小张之间的在谈话之前的联系，就是通过ARP协议来完成。 ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。 每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的，如下表所示。 我们以主机A（192.168.16.1）向主机B（192.168.16.2）发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了，也就知道了目标MAC地址，直接把目标MAC地址写入帧里面发送就可以了；如果在ARP缓存表中没有找到相对应的IP地址，主机A就会在网络上发送一个广播，目标MAC地址是“FF.FF.FF.FF.FF.FF”，这表示向同一网段内的所有主机发出这样的询问：“192.168.16.2的MAC地址是什么？”网络上其他主机并不响应ARP询问，只有主机B接收到这个帧时，才向主机A做出这样的回应：“192.168.16.2的MAC地址是bb-bb-bb-bb-bb-bb”。这样，主机A就知道了主机B的MAC地址，它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表，下次再向主机B发送信息时，直接从ARP缓存表里查找就可以了。ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。 从上面可以看出，ARP协议的基础就是信任局域网内所有的人，那么就很容易实现在以太网上的ARP欺骗。对目标A进行欺骗，A去Ping主机C却发送到了DD-DD-DD-DD-DD-DD这个地址上。如果进行欺骗的时候，把C的MAC地址骗为DD-DD-DD-DD-DD-DD，于是A发送到C上的数据包都变成发送给D的了。这不正好是D能够接收到A发送的数据包了么，嗅探成功。 A对这个变化一点都没有意识到，但是接下来的事情就让A产生了怀疑。因为A和C连接不上了。D对接收到A发送给C的数据包可没有转交给C。 这是，如果在D上做“man in the middle”，进行ARP重定向。打开D的IP转发功能，A发送过来的数据包，转发给C，好比一个路由器一样。不过，假如D发送ICMP重定向的话就中断了整个计划。 D直接进行整个包的修改转发，捕获到A发送给C的数据包，全部进行修改后再转发给C，而C接收到的数据包完全认为是从A发送来的。不过，C发送的数据包又直接传递给A，倘若再次进行对C的ARP欺骗。现在D就完全成为A与C的中间桥梁了，对于A和C之间的通讯就可以了如指掌了。 【解决思路】 由于ARP协议的缺陷，导致任一台主机在收到ARP包时，没有任何验证就更新自己的ARP缓存，在ARP欺骗发生的时候，更是会发生随意更改自己的网关的IP+MAC的指向，从而导致了掉线的发生。 解决的思路就是，摒弃这种动态更新ARP缓存的方式，改用由管理员静态指定的方式。在一个局域网中要实现正常的上网行为，就必须要保证两个方面通信正常，（1）主机（电脑）上的指向本地网关的IP+MAC正确；（2）网关（通常是路由）上，指向本地电脑的IP+MAC正确。根据上面两个原则，我们就可以保证所有主机和路由器的通信正常，就可以防止被欺骗而引起掉线。解决方案就是要做双向绑定；在本地所有电脑上绑定路由器的IP+MAC地址；在网关（路由器）上绑定所有电脑的IP+MAC地址。 1、如何在路由器上绑定所有主机（电脑）的IP+MAC地址；通常的，在路由器上绑定所有的主机的IP+MAC地址比较简单，艾泰科技甚至提供出了一键绑定所有主机IP+MAC地址的功能，只需要点击“全部绑定”就可以一次性绑定所有电脑的IP+MAC地址，如下图： 2、如何在主机上绑定网关（路由器）的IP+MAC地址； 1）首先，获得路由器的内网的MAC地址（例如HiPER网关地址192.168.16.254的MAC地址为0022aa0022aa）。 2）打开记事本，编写一个批处理文件rarp.bat，保存后缀名为.bat，内容如下： @echo off arp -d arp -s 192.168.16.254 00-22-aa-00-22-aa 注意：将文件中的网关IP地址和MAC地址更改为您自己的网关IP地址和MAC地址。 3）将这个批处理软件拖到“windows--开始--程序--启动”中，保证Windows每次开机都可以执行这个批处理文件。 3、做完上面两个步骤后，双向绑定就已经完成了。但是在实际中发现，在电脑上绑定网关（路由器）的IP+MAC地址后，有一些变种的ARP欺骗病毒会将电脑上的绑定会删除掉，只删掉一台电脑的绑定后还无关紧要，但当这种病毒在局域网中开始蔓延，感染了大部分主机（电脑）的时候，上述做的双向绑定实质上已经失效了。此时在局域网中依旧会出现大面积的掉线情况，针对此种情况，我们推荐用户采用下面的方法对步骤2进行增强： 1）跳过上述步骤2 2）安装AntiARP防火墙单机版，下载地址： 。该软件为了防止主机（电脑）上的静态绑定被删除，会每隔一个时间段自动检查，如果发现被删除会重新进行绑定。 3）在网关的IP/MAC处，手动设置网关的IP地址和MAC地址，输入你局域网的网关的IP+MAC地址，确定，如下图： 4）保持该软件随电脑启动而启动，即可。 4、如何查看当前主机的静态绑定是否生效。 在命令行中输入arp –a，如果对应的静态绑定的类型（Type）为static，说明已经生效；如果类型（Type）为dynamic，则说明绑定没有生效。如下图： 【双向静态绑定的问题】 通过上述步骤的操作，可以完成在一个普通的局域网中应对ARP欺骗的防御体系。但是所有的主机（电脑）上绑定网关的IP+MAC地址就并非易事，假设在一个200台电脑的网络中，网络管理员就会不停的来回在200台电脑上奔波，费时费力，对网络管理员的忍耐力绝对是个考验。针对这种情况，艾泰科技提出了另外一种解决思路：网关（路由器）定时定向的向局域网广播正确的网关（路由器）IP+MAC信息，来防止局域网发生的欺骗。采用此种方法，网络管理员只需要做两个步骤，5分钟轻松搞定： 1） 网关（路由器）上一键绑定所有主机（电脑）的IP+MAC地址； 2） 开启网关（路由器）上的主动防御arp攻击的功能，如下图； 【网吧环境下的ARP欺骗解决思路】 1、一般网吧网络环境有以下几个特点： （1）、所有电脑的主机都是固定IP地址。 （2）、路由器上没有开启DHCP功能。 （3）、网吧主机的数量稳定性较高，不会出现像酒店环境下的新的主机不断带入和流出网络的情况。 2、艾泰科技网吧环境下解决ARP攻击的方法：方法一、做双向绑定（1） 一键绑定所有主机的IP+MAC地址； （2） 在主机（电脑）上绑定网关（路由器）的IP+MAC地址；安装AntiARP防火墙单机版，下载地址： 。在网关的IP/MAC处，手动设置网关的IP地址和MAC地址，输入你局域网的网关的IP+MAC地址。保持该软件随电脑启动而启动，即可。如下图： 方法二、 1） 网关（路由器）上一键绑定所有主机（电脑）的IP+MAC地址； 2） 开启网关（路由器）上的主动防御arp攻击的功能； 【中小企业环境下的ARP欺骗解决思路】 1、一般中小企业网络环境有以下几个特点： （1）、所有电脑的主机存在固定IP地址和动态DHCP分配IP地址的混杂情况。 （2）、路由器上开启了DHCP功能。 （3）、中小企业网络内的主机的数量稳定性较高，不会出现像酒店环境下的新的主机不断带入和流出网络的情况。 2、艾泰科技中小企业环境下解决ARP攻击的方法： 方法一、双向绑定 （1）、网关（路由器）上绑定动态主机的IP+MAC地址；针对DHCP动态分配IP地址的主机，网络管理员事先在网关（路由器）上做好DHCP绑定，如下图，绑定后，李晓明的电脑每次动态分配得到的IP地址都是192.168.1.100。 （2）、网关（路由器）上绑定固定IP地址主机的IP+MAC地址； （3）、主机（电脑）上绑定网关的IP+MAC地址 安装AntiARP防火墙单机版，下载地址： 。在网关的IP/MAC处，手动设置网关的IP地址和MAC地址，输入你局域网的网关的IP+MAC地址，确定。保持该软件随电脑启动而启动，即可。如下图： 方法二、采用艾泰科技的动态防御功能。 （1）、网关（路由器）上绑定动态主机的IP+MAC地址；针对DHCP动态分配IP地址的主机，网络管理员事先在网关（路由器）上做好DHCP绑定，如下图，绑定后，李晓明的电脑每次动态分配得到的IP地址都是192.168.1.100。 （2）、网关（路由器）上绑定固定IP地址主机的IP+MAC地址； （3）、开启网关（路由器）的ARP欺骗防御功能。 【酒店环境下的ARP欺骗解决思路】 1、一般酒店网络环境有以下几个特点： （1）、所有电脑的主机都是动态DHCP分配。 （2）、路由器上开启了DHCP功能。 （3）、酒店网络内的主机的数量稳定性非常差，新的主机不断带入和原有的主机不断的流出网络的情况。 2、酒店环境下解决ARP欺骗的难度： （1）、所有电脑的主机都是动态DHCP分配，且不断的有主机流进和流出。 （2）、流进的新主机（电脑），网关（路由器）要能自动识别并进行绑定； （3）、流出的主机（电脑），网关（路由器）要能自动识别并自动删除已经做的静态绑定； 3、艾泰科技酒店环境下解决ARP攻击的方法： 方法：采用艾泰科技独有的酒店环境下ARP解决方案。 思路： （1）、对流进的新主机（电脑），艾泰路由器自动识别并进行绑定； （2）、流出的主机（电脑），艾泰路由器自动识别并自动删除已经做的静态绑定； 4、实施： （1）、打开艾泰路由器的DHCP自动识别新主机（电脑）进行IP+MAC绑定和离线主机DHCP绑定自动删除的功能； （2）、开启网关（路由器）的ARP欺骗防御功能。1

黑客常说的肉鸡指的是什么？

以下是转贴：

肉鸡就是你可以控制的一台电脑！无论通过什么方式！

对于肉鸡！我建议大家先学习4899的肉鸡！先介绍一下4899！4899是一种国外的远程控制软件所开的默认端口！（那端口是什么呢？我的理解是端口的作用就是把好多计算机向你发来的信息分别从不同的管道给你！每个管道就是一个端口！并有标号！并且有的标号和一类信息是对应的！比如：从25的管道（端口）传来的信息就对应着邮件类！从80管道传来的信息就是网页信息！还有的就没有的不常用的信息，就临时开一个任意（在大于1024端口！1024之前是是一些一一对应的管道！）管道来接受信息！所以端口的作用就是通过不同的端口接受不同的来接受数据包！不知道大家明白没有！还不明白就自己查资料啊！如果我说的有错误！请尽快和我说啊！）该软件叫Radmin！分两部分！控制端和服务端！有很多服务功能！如：通过远程图形控制！（就象操作自己的计算机一样操作对方的计算机！）Telnet功能，telnet是的远程登陆等功能！是在命令下实现的！你可以简单认为是远程操作对方的dos窗口！（其实我就是这么认为的！呵呵）上传下载文件的功能！这个功能大家很明白！就是可以在你和对方计算机之间互相传送文件！还有其他功能，等等！我做了个动画！其实这个软件不是大家所认为的木马！（之所以不是木马！因为其功能都不符合木马的要求！）只是一个普通的远程控制的工具！一些用户用该软件远程管理自己的机器！可以从公司的电脑直接到加里的电脑取文件！或者放文件！管理机器等等！但是不知道为什么！有的用户却不知道为什么不给客户端设置密码！这样我们就有了可乘之机！我们可以用特定工具扫描开4899的机器！（4899这个是Radmin的特征！呵呵！）然后用客户端进行连接！该软件唯一确认你身份的东西就是连接时需要密码！而有的用户却没有设置！所以！我们就可以进入其计算机，并做软件所提供的功能操作！（就是我上面所说的！和一些没有说的！）关于4899的肉鸡，从扫描--到利用，我做了个动画！（动画在菜鸟帝国里有下载！叫:4899的应用,地址:还有毛毛做的4899的动画也要看看!站上也有的!自己艘艘把!）大家可以看看！然后自己再照着画瓢！

说完了4899在说说20168，这个是一种叫爱情病毒所开的超级后门端口！如果你中了该病毒，病毒就会在你的机器里开一个20168的端口，使其他人可以通过telnet服务，用命令telnet 你的机器的ip 20168（所有所所的命令都是在dos中键入的！win98的是dos而2000的是命令提示符！）来连接上你的电脑，并且连接后权限很大！可以进行任何级别的命令操作！所以，如果你的机器开了这个端口请你赶快用杀毒软件把他杀掉！不然遇到可恶的入侵者，你的机器可就遭殃了！而从入侵的角度来看！我们就可以用端口扫描工具（如：Port Ready）去扫开20168的机器！然后telnet上去！就可以轻松得到一台机器的shell（shell：简单认为就是一个可以操作远程计算机的dos命令窗口！）并可以进行一切权限的操作！大家可以试试！不过该病毒是个老病毒了！所以可能扫描现在不到了，而且病毒作者只允许利用该端口一次！所以...........但是大家要知道！有很多病毒我们是可以利用的！比如：益出！一场大范围的病毒侵袭后，一般会有高手根据病毒写出相应的益出程序！（什么是益出呢？我那缓冲区益出给大家举例！如果你向一个只能容纳20毫升的杯子里倒入30毫升的牛奶会出现什么情况呢？呵呵！一定就会有10毫升流出了杯子！把这个例子用在缓冲区益出里就是你向计算机“倒入”“30毫升”的数据！而缓冲区只能处理“20毫升”那“10毫升”到那里去了呢？呵呵！可不是象牛奶一样浪费了！，而是把一些别的合法数据给覆盖了！这样如果这“10毫升”数据是一些病毒代码，或者黑客程序，呵呵！后果就可想而知了.............）使我们这些菜鸟可以通过这些程序轻而易举的拿到对中病毒计算机的shell！当然不仅病毒可以益出！微软的很多漏洞都是可以的！所以大家要关注微软的漏洞报告！以便得到新鲜的肉鸡！呵呵！

上面说的一些简单的获得肉鸡的方法！有4899空密码的！病毒开的后门的20168！还有利用漏洞益出的！等等！大家还可能说你怎么不说3389啊！呵呵！是要说说！其实3389是微软提供的远程桌面的服务，英文名字叫“Term Server”所开的端口（端口可以更改）。通过客户端（连接软件），用户帐号来进行图形操作远程的计算机！是windows自带的服务！但不是每个操作系统都有的！win2000的server和2003版本的有还有xp系统的有！而win2000个人板是没有该服务的！通常所说的3389肉鸡是对方开了此服务！并且你有对方的登陆帐号！（注意：帐号权限必须是adm权限！）可以登陆对方计算机进行操作的！所以只要扫开3389端口的机器就可以基本判断哪个计算机开了该服务！然后获得登陆帐号就可以了！但是！！！帐号你怎么获得呢？这是个大问题！但也不是不能！首先你可以利用输入法漏洞！通过这个漏洞你可以直接进入计算机，不用帐号！（具体利用自己找！）但是这个漏洞也是很早的了！现在用户都已经打上了补丁！（但也不是一定没有次漏洞的！）当然你可以用x-scan扫nt弱口令获得对方的登陆帐号！但是个人认为也不是很好！因为现在也很少能扫到若口令的3389的肉鸡了！那么直接获得3389肉鸡是希望不大了！可是3389的肉鸡毕竟是肉鸡中的精品！好处多多的！那怎么获得呢？呵呵！其实3389的获得都是通过别的漏洞入侵了肉鸡后，自己开的3389（远程桌面服务），所以，大家还是先学习别的漏洞的入侵！在学习3389！当然这里涉及到怎么开肉鸡的3389服务！大家就要自己找资料了！

前面提到了x-scan！这个是安全焦点出的一个漏洞扫描分析工具！用在我们手里就是扫描肉鸡的工具！（其实我还不会用！）这里不建议新人使用！因为x-scan确实是大名鼎鼎，很多新人一接触黑客就知道了他！并用他扫啊扫！扫了半天没有任何信息！终于扫到东西了！呵呵！却不知道怎么利用！这也就是为什么我不建议新人用的原因！就是扫到了漏洞不知道该怎么利用！还有流光，也是一样！功能强大！（但是我到今天还摸不到他是怎么用！连怎么添ip都不知道！（本人愚顿！））但比较复杂！当然你如果学习到了一定水平，（知道了里面的 漏洞的利用！）是一定要用这些扫描软件的！现在推荐大家还是去看动画！学习专门的漏洞入侵！用专门的漏洞扫描工具！

最后说几句！大家在找肉鸡时要灵活运用！比如：你扫了很多4899的肉鸡！（一般是些个人用户！但也有服务器！）那么要想找其中是服务器的怎么办呢？呵呵！你可以用scaner！他经过设置后可以扫描已有ip的端口！现在知道怎么做了把！呵呵！一般服务器为了方便管理都会开3389端口的！我们就可以利用这个特征，扫描4899肉鸡中开3389端口的机器！这样.........呵呵！我就不细说了！关于scaner的应用！大家自己找资料吧！还有啊！有的后门是没有密码的！如winshell（后面会介绍到！）他默认的端口是5277！而有的粗心的黑客不设置直接生成后门！所以！就回留下特征！呵呵！不用我说大家一定知道了！应该扫描开5277端口的机器！然后用相应的连接方法进行连接！就可以获得“同行”“送”你的肉鸡！呵呵！类似的方法还有很多！希望大家能灵活运用！轻松找到多多的肉鸡！

一般黑客进行入侵的是时候需要在虚拟的环境（虚拟机）下吗？

虚拟机一样会被入侵.

你的意思是当虚拟机系统受到入侵后,断开连接,真实的系统会不会也受到入侵.

一般情况下,真实系统是不会受到入侵的,但有一些高手黑客是可以通过虚拟机进行局域网入侵到你的真实系统.只要你能做好虚拟和真实系统之间的安全防范应该是没有问题的.

即使安全防范问题做的不太完善,一般的"黑客"想要入侵真实系统还是有一定难度的.所以用虚拟机上网,风险会大大降低.

我是电信以太网用户，电脑总被黑客攻击，有解决办法吗

这种针对局域网的攻击 根据你的情况最有可能就是你的计算机被 网络执法官或者P2P终结者之类的软件攻击并限制了 看看你的dns有没有感便

最大的可能性就是ARP攻击 防范方法如下

【故障原理】

在局域网中，通过ARP协议来完成IP地址转换为第二层物理地址（即MAC地址）的。ARP协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞。

在局域网中，两台网络设备要互相通信，必须要互相知道对方的物理地址，也就是MAC地址。IP地址和MAC地址的关系就像A和B两栋楼中的两处居民小李和小张的关系。假设小李住在A楼，小张住在B楼，小李要和小张隔着楼谈话，小李必须在A楼处大喊小张的名字（MAC地址）后，双方才能谈话。否则小李大喊B楼（IP地址），是无法进行谈话的。而小李和小张之间的在谈话之前的联系，就是通过ARP协议来完成。

ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。

每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的，如下表所示。

我们以主机A（192.168.16.1）向主机B（192.168.16.2）发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了，也就知道了目标MAC地址，直接把目标MAC地址写入帧里面发送就可以了；如果在ARP缓存表中没有找到相对应的IP地址，主机A就会在网络上发送一个广播，目标MAC地址是“FF.FF.FF.FF.FF.FF”，这表示向同一网段内的所有主机发出这样的询问：“192.168.16.2的MAC地址是什么？”网络上其他主机并不响应ARP询问，只有主机B接收到这个帧时，才向主机A做出这样的回应：“192.168.16.2的MAC地址是bb-bb-bb-bb-bb-bb”。这样，主机A就知道了主机B的MAC地址，它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表，下次再向主机B发送信息时，直接从ARP缓存表里查找就可以了。ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。

从上面可以看出，ARP协议的基础就是信任局域网内所有的人，那么就很容易实现在以太网上的ARP欺骗。对目标A进行欺骗，A去Ping主机C却发送到了DD-DD-DD-DD-DD-DD这个地址上。如果进行欺骗的时候，把C的MAC地址骗为DD-DD-DD-DD-DD-DD，于是A发送到C上的数据包都变成发送给D的了。这不正好是D能够接收到A发送的数据包了么，嗅探成功。

A对这个变化一点都没有意识到，但是接下来的事情就让A产生了怀疑。因为A和C连接不上了。D对接收到A发送给C的数据包可没有转交给C。

这是，如果在D上做“man in the middle”，进行ARP重定向。打开D的IP转发功能，A发送过来的数据包，转发给C，好比一个路由器一样。不过，假如D发送ICMP重定向的话就中断了整个计划。

D直接进行整个包的修改转发，捕获到A发送给C的数据包，全部进行修改后再转发给C，而C接收到的数据包完全认为是从A发送来的。不过，C发送的数据包又直接传递给A，倘若再次进行对C的ARP欺骗。现在D就完全成为A与C的中间桥梁了，对于A和C之间的通讯就可以了如指掌了。

【解决思路】

由于ARP协议的缺陷，导致任一台主机在收到ARP包时，没有任何验证就更新自己的ARP缓存，在ARP欺骗发生的时候，更是会发生随意更改自己的网关的IP+MAC的指向，从而导致了掉线的发生。

解决的思路就是，摒弃这种动态更新ARP缓存的方式，改用由管理员静态指定的方式。在一个局域网中要实现正常的上网行为，就必须要保证两个方面通信正常，（1）主机（电脑）上的指向本地网关的IP+MAC正确；（2）网关（通常是路由）上，指向本地电脑的IP+MAC正确。根据上面两个原则，我们就可以保证所有主机和路由器的通信正常，就可以防止被欺骗而引起掉线。解决方案就是要做双向绑定；在本地所有电脑上绑定路由器的IP+MAC地址；在网关（路由器）上绑定所有电脑的IP+MAC地址。

1、如何在路由器上绑定所有主机（电脑）的IP+MAC地址；通常的，在路由器上绑定所有的主机的IP+MAC地址比较简单，艾泰科技甚至提供出了一键绑定所有主机IP+MAC地址的功能，只需要点击“全部绑定”就可以一次性绑定所有电脑的IP+MAC地址，如下图：

2、如何在主机上绑定网关（路由器）的IP+MAC地址；

1）首先，获得路由器的内网的MAC地址（例如HiPER网关地址192.168.16.254的MAC地址为0022aa0022aa）。

2）打开记事本，编写一个批处理文件rarp.bat，保存后缀名为.bat，内容如下：

@echo off

arp -d

arp -s 192.168.16.254 00-22-aa-00-22-aa

注意：将文件中的网关IP地址和MAC地址更改为您自己的网关IP地址和MAC地址。

3）将这个批处理软件拖到“windows--开始--程序--启动”中，保证Windows每次开机都可以执行这个批处理文件。

3、做完上面两个步骤后，双向绑定就已经完成了。但是在实际中发现，在电脑上绑定网关（路由器）的IP+MAC地址后，有一些变种的ARP欺骗病毒会将电脑上的绑定会删除掉，只删掉一台电脑的绑定后还无关紧要，但当这种病毒在局域网中开始蔓延，感染了大部分主机（电脑）的时候，上述做的双向绑定实质上已经失效了。此时在局域网中依旧会出现大面积的掉线情况，针对此种情况，我们推荐用户采用下面的方法对步骤2进行增强：

1）跳过上述步骤2

2）安装AntiARP防火墙单机版，下载地址： 。该软件为了防止主机（电脑）上的静态绑定被删除，会每隔一个时间段自动检查，如果发现被删除会重新进行绑定。

3）在网关的IP/MAC处，手动设置网关的IP地址和MAC地址，输入你局域网的网关的IP+MAC地址，确定，如下图：

4）保持该软件随电脑启动而启动，即可。

4、如何查看当前主机的静态绑定是否生效。

在命令行中输入arp –a，如果对应的静态绑定的类型（Type）为static，说明已经生效；如果类型（Type）为dynamic，则说明绑定没有生效。如下图：

【双向静态绑定的问题】

通过上述步骤的操作，可以完成在一个普通的局域网中应对ARP欺骗的防御体系。但是所有的主机（电脑）上绑定网关的IP+MAC地址就并非易事，假设在一个200台电脑的网络中，网络管理员就会不停的来回在200台电脑上奔波，费时费力，对网络管理员的忍耐力绝对是个考验。针对这种情况，艾泰科技提出了另外一种解决思路：网关（路由器）定时定向的向局域网广播正确的网关（路由器）IP+MAC信息，来防止局域网发生的欺骗。采用此种方法，网络管理员只需要做两个步骤，5分钟轻松搞定：

1） 网关（路由器）上一键绑定所有主机（电脑）的IP+MAC地址；

2） 开启网关（路由器）上的主动防御arp攻击的功能，如下图；

【网吧环境下的ARP欺骗解决思路】

1、一般网吧网络环境有以下几个特点：

（1）、所有电脑的主机都是固定IP地址。

（2）、路由器上没有开启DHCP功能。

（3）、网吧主机的数量稳定性较高，不会出现像酒店环境下的新的主机不断带入和流出网络的情况。

2、艾泰科技网吧环境下解决ARP攻击的方法：

方法一、做双向绑定

（1） 一键绑定所有主机的IP+MAC地址；

（2） 在主机（电脑）上绑定网关（路由器）的IP+MAC地址；

安装AntiARP防火墙单机版，下载地址： 。在网关的IP/MAC处，手动设置网关的IP地址和MAC地址，输入你局域网的网关的IP+MAC地址。保持该软件随电脑启动而启动，即可。如下图：

方法二、

1） 网关（路由器）上一键绑定所有主机（电脑）的IP+MAC地址；

2） 开启网关（路由器）上的主动防御arp攻击的功能；

【中小企业环境下的ARP欺骗解决思路】

1、一般中小企业网络环境有以下几个特点：

（1）、所有电脑的主机存在固定IP地址和动态DHCP分配IP地址的混杂情况。

（2）、路由器上开启了DHCP功能。

（3）、中小企业网络内的主机的数量稳定性较高，不会出现像酒店环境下的新的主机不断带入和流出网络的情况。

2、艾泰科技中小企业环境下解决ARP攻击的方法：

方法一、双向绑定

（1）、网关（路由器）上绑定动态主机的IP+MAC地址；针对DHCP动态分配IP地址的主机，网络管理员事先在网关（路由器）上做好DHCP绑定，如下图，绑定后，李晓明的电脑每次动态分配得到的IP地址都是192.168.1.100。

（2）、网关（路由器）上绑定固定IP地址主机的IP+MAC地址；

（3）、主机（电脑）上绑定网关的IP+MAC地址

安装AntiARP防火墙单机版，下载地址： 。在网关的IP/MAC处，手动设置网关的IP地址和MAC地址，输入你局域网的网关的IP+MAC地址，确定。保持该软件随电脑启动而启动，即可。如下图：

方法二、采用艾泰科技的动态防御功能。

（1）、网关（路由器）上绑定动态主机的IP+MAC地址；针对DHCP动态分配IP地址的主机，网络管理员事先在网关（路由器）上做好DHCP绑定，如下图，绑定后，李晓明的电脑每次动态分配得到的IP地址都是192.168.1.100。

（2）、网关（路由器）上绑定固定IP地址主机的IP+MAC地址；

（3）、开启网关（路由器）的ARP欺骗防御功能。

【酒店环境下的ARP欺骗解决思路】

1、一般酒店网络环境有以下几个特点：

（1）、所有电脑的主机都是动态DHCP分配。

（2）、路由器上开启了DHCP功能。

（3）、酒店网络内的主机的数量稳定性非常差，新的主机不断带入和原有的主机不断的流出网络的情况。

2、酒店环境下解决ARP欺骗的难度：

（1）、所有电脑的主机都是动态DHCP分配，且不断的有主机流进和流出。

（2）、流进的新主机（电脑），网关（路由器）要能自动识别并进行绑定；

（3）、流出的主机（电脑），网关（路由器）要能自动识别并自动删除已经做的静态绑定；

3、艾泰科技酒店环境下解决ARP攻击的方法：

方法：采用艾泰科技独有的酒店环境下ARP解决方案。

思路：

（1）、对流进的新主机（电脑），艾泰路由器自动识别并进行绑定；

（2）、流出的主机（电脑），艾泰路由器自动识别并自动删除已经做的静态绑定；

4、实施：

（1）、打开艾泰路由器的DHCP自动识别新主机（电脑）进行IP+MAC绑定和离线主机DHCP绑定自动删除的功能；

（2）、开启网关（路由器）的ARP欺骗防御功能。