局域网arp病毒症状 arp病毒攻击有哪些典型现象(2)

局域网arp病毒症状

原因：攻击者伪造ARP报文，发送源IP地址为网关IP地址，源MAC地址为伪造的MAC地址的ARP报文给被攻击的主机，使这些主机更新自身ARP表中网关IP地址与MAC地址的对应关系。这样一来，主机访问网关的流量，被重定向到一个错误的MAC地址，导致该用户无法正常访问外网。这样，如果某台PC机的ARP表被攻击者修改，它就无法正常上网了。

而且，攻击者还可能使用第三方PC机的MAC作为伪造MAC。这样即使在被攻击者PC机上查到了伪造MAC地址，也很难定位哪台PC是真正的攻击者。

“ARP病毒仿冒网关”攻击示意图

通俗地理解：老总和三个员工（张三、李四、王五），每个人的电话簿都记录了其他人的号码。王五这次没升经理，心里不平衡，修改所有人电话簿中老总的电话号码，张三、李四等都无法向老总汇报工作。甚至，王五把张三电话簿中老总的号码修改为李四的，让张三还误认为是李四干的。造成公司内疑神疑鬼，员工不合，极大地影响了工作氛围。

二、所有PC机无法和网关通信（欺骗网关攻击）

ARP病毒现象：网络中PC逐台掉线，甚至全网内PC都无法上网。查看路由器ARP表项，发现很多错误地址。重启路由器后恢复正常，但过一段时间PC又开始掉线，导致很多用户怀疑是路由器故障。正如下图所示，网关路由器的ARP表中各台PC机的MAC地址已不正确，这些PC机无法再同网关通信，无法上网。

原因：攻击者伪造ARP报文，发送源IP地址为同网段内某一合法用户的IP地址，源MAC地址为伪造的MAC地址的ARP报文给网关；使网关更新自身ARP表中原合法用户的IP地址与MAC地址的对应关系。这样一来，网关发给该用户的所有数据全部重定向到一个错误的MAC地址，导致该用户无法正常访问外网。