电脑遭到TCP数据包攻击怎么办(二)

解决办法(一)：应该把你的网络安全信任关系建立在IP+MAC地址基础上，设置静态的MAC-地址->IP对应表，不要让主机刷新你设定好的转换表。

具体步骤：编写一个批处理文件arp.bat内容如下(假设192.168.1.2的mac地址是00-22-aa-00-22-aa)：

@echo off

arp -d

arp -s 192.168.1.2 00-22-aa-00-22-aa

.

.

.

arp -s 192.168.1.254 00-99-cc-00-99-cc

(所有的IP与相应MAC地址都按上面的格式写好) ，将文件中的IP地址和MAC地址更改为您自己的网络IP地址和MAC地址即可。

将这个批处理软件拖到每一台主机的“windows--开始--程序--启动”中。这样每次开机时，都会刷新ARP表。

解决办法(二)：

下载防ARP攻击补丁安装!

解决办法(三)

局域网ARP攻击免疫器

这个在2000，xp 1,xp 2,2003下面都正常使用，不会对系统或游戏有任何影响。98的确没有测试过。

98下面，这个“局域网ARP攻击免疫器”packet.dll pthreadVC.dll wpcap.dll要解压缩到c:/windows/system里面才有效,另外一个npf.sys还是解压到system32/drivers里面就可以了。

我可以很负责的告诉你们!

用了以后网络执法官是不可以用了!

可是用了带arp病毒的外挂还是会掉的!!

本人再次详细申明一下：这个东东可以在2000，XP，2003下面正常使用，不会对系统.游戏有任何影响。对与98，需要使用DOS命令来实现这几个文件的免修改属性。可以屏蔽网络执法官.网络终结者之类的软件对网吧进行毁灭性打击。至于由于病毒造成的危害，就无能为力了。没有一个东西是万能滴。。。

他的原理就是不让WinPcap安装成功，以上的程序只是随便找个sys 和dll文件代替WinPcap的安装文件,并把这几个文件只读,至于win98下如何用,原理也一样,自己先安装WinPcap然后再其卸载程序当中看到WinPcap在system里面写了什么文件,再便找个sys 和dll文件代替其中关键的三个wpcap.dll、packet.dll、npf.sys，在win98当中可能是两个。至于这种方法安全吗？我认为一般，首先arp病毒不能防止，并且能容易把它破掉

1、ARP攻击

针对ARP的攻击主要有两种，一种是DOS,一种是Spoof。

ARP欺骗往往应用于一个内部网络，我们可以用它来扩大一个已经存在的网络安全漏洞。

如果你可以入侵一个子网内的机器，其它的机器安全也将受到ARP欺骗的威胁。同样，利用APR的DOS甚至能使整个子网瘫痪。

2、对ARP攻击的防护

防止ARP攻击是比较困难的,修改协议也是不大可能。但是有一些工作是可以提高本地网络的安全性。

首先，你要知道，如果一个错误的记录被插入ARP或者IP route表，可以用两种方式来删除。

a. 使用arp –d host_entry

b. 自动过期，由系统删除

局域终结者,网络执法官,网络剪刀手

1。将这里面3个dll文件复制到windows/system32 里面，将npf.sys 这个文件复制到 windows/system32/drivers 里面。

2。将这4个文件在安全属性里改成只读。也就是不允许任何人修改

三、

1.建立DHCP服务器(建议建在网关上，因为DHCP不占用多少CPU，而且ARP欺骗攻击一般总是先攻击网关，我们就是要让他先攻击网关，因为网关这里有监控程序的，网关地址建议选择192.168.10.2 ，把192.168.10.1留空，如果犯罪程序愚蠢的话让他去攻击空地址吧)，另外所有客户机的IP地址及其相关主机信息，只能由网关这里取得，网关这里开通DHCP服务，但是要给每个网卡，绑定固定唯一IP地址。一定要保持网内的机器IP/MAC一一对应的关系。这样客户机虽然是DHCP取地址，但每次开机的IP地址都是一样的。

2.建立MAC数据库，把网吧内所有网卡的MAC地址记录下来，每个MAC和IP、地理位置统统装入数据库，以便及时查询备案。

3.网关机器关闭ARP动态刷新的过程，使用静态路邮，这样的话，即使犯罪嫌疑人使用ARP欺骗攻击网关的话，这样对网关也是没有用的，确保主机安全。

网关建立静态IP/MAC捆绑的方法是：建立/etc/ethers文件，其中包含正确的IP/MAC对应关系，格式如下：

192.168.2.32 08:00:4E:B0:24:47

然后再/etc/rc.d/rc.local最后添加：

arp -f 生效即可

4.网关监听网络安全。网关上面使用TCPDUMP程序截取每个ARP程序包，弄一个脚本分析软件分析这些ARP协议。ARP欺骗攻击的包一般有以下两个特点，满足之一可视为攻击包报警：第一以太网数据包头的源地址、目标地址和ARP数据包的协议地址不匹配。或者，ARP数据包的发送和目标地址不在自己网络网卡MAC数据库内，或者与自己网络MAC数据库 MAC/IP 不匹配。这些统统第一时间报警，查这些数据包（以太网数据包）的源地址(也有可能伪造)，就大致知道那台机器在发起攻击了。