痛定思痛 高手教你做ARP双向绑定

　　2007年对于反病毒战线来说，绝对不是个安宁的一年，网络病毒的大规模发作，给全国的网民带来的，绝不仅仅是中毒后重做系统这么简单，重要数据丢失，网上银行被窃，网游帐号装备被偷等等，网络病毒的危害性，已经远远超过了人们的想象，而做为绝大多数网民的上网场所，网吧以及企业的局域网络，则首当其冲成为了网络病毒的重灾区。

　　网络病毒之所以能以惊人的速度传播，是因为它们都有极强的利用漏洞攻击网络上其他机器的能力，而局域网ARP漏洞攻击，则是目前暴发流行的各种网络病毒最常用的招数，包括目前正在大规模暴发的“机器狗”，也正是利用ARP漏洞在局域网中传染开去。

　　ARP（Address Resolution Protocol）又被称为地址转换协议，是用来实现 IP 地址与本地网络认识的物理地址（以太网 MAC 地址）之间的映射。在以太网络中有一张表格，通常称为 ARP 缓冲（ARP cache），来维持每个 MAC 地址与其相应的 IP 地址之间的对应关系。ARP 提供一种形成该对应关系的规则以及提供双向地址转换。ARP协议很像一个思想不坚定容易被骗的人，就像一个快递员，要送信给"张三"，只在马路上问"张三住那儿？"，并投递给最近和他说"我就是！"或"张三住那间！"，来决定如何投递一样。在一个人人诚实的地方，快递员的工作还是能正常进行；但若是旁人看快递物品值钱，想要欺骗取得的话，快递员这种工作方式就会带来混乱了。

　　常见ARP攻击对象有两种，一是网络网关，二是局域网上的计算机。攻击网络网关就好比发送错误的地址信息给快递员，让快递员失去正确目标，所有信件无法正常送达；而攻击一般计算机就是直接和人谎称自己就是快递员，让用户把需要传送的物品传送给发动攻击的计算机。由于一般的计算机及路由器的ARP协议的意志都不坚定，因此只要有恶意计算机在局域网持续发出错误的ARP讯息，就会让计算机及路由器信以为真，作出错误的传送网络包动作。一般的ARP欺骗攻击就是以这样的方式，造成网络运作不正常，达到盗取用户密码或破坏网络运作的目的。而要从根本上彻底解决这种欺骗攻击，唯一的办法就是对局域网中的每台机器包括网关在内进行ARP地址双向绑定。

　　首先说网关的绑定，这个比较简单，一般的网关路由器或者代理软件均有ARP绑定功能，以笔者使用的路由器为例，绑定的界面简单直观

　　选择静态ARP绑定设置后出现表单

　　在此填入需要绑定的IP地址和MAC地址，然后保存即可。

　　若需要对成批的地址进行绑定，也可以选择ARP映射表，会列出局域网中所有正在使用的机器的IP和MAC，方便我们成批的添加绑定

　　点取“全部导入”，然后切换回“静态地址绑定”页面，将要绑定的地址勾中即可

　　在此特别提请注意的是：网关自己的IP和MAC地址也需要在这里做好绑定。

　　至此网关部分的ARP绑定工作已经完成，然而只在网关做绑定，防护是不完整的，我们还需要对局域网中的每一台客户机进行单独的绑定。

　　客户机的绑定工作分成两部分，一部分是绑定网关，另一部分是绑定自己。

　　绑定网关的操作比较简单，以WINXP为例，绑定的命令是：

　　Arp –s (ip) (mac)

　　比如：arp –s 192.168.0.1 00-14-2A-5F-99-E1

　　192.168.0.1 为网关路由器的IP地址，00-14-2A-5F-99-E1 为路由器的MAC地址。

　　建议将这条命令做成批处理放在启动组里，方便系统启动时自动运行。

　　接下来需要绑定的是客户机自己的IP和MAC，从原理上讲和绑定路由器是一样的操作，不过考虑到局域网中的客户机一般很多，要一台一台的查IP和MAC工作量很繁重，所以我们利用一个批处理来自动完成对每一台客户机的绑定：

　　@echo off

　　if exist ipconfig.txt del ipconfig.txt

　　ipconfig /all >ipconfig.txt

　　if exist phyaddr.txt del phyaddr.txt

　　find "Physical Address" ipconfig.txt >phyaddr.txt

　　for /f "skip=2 tokens=12" %%M in (phyaddr.txt) do set Mac=%%M

　　if exist IPAddr.txt del IPaddr.txt

　　find "IP Address" ipconfig.txt >IPAddr.txt

　　for /f "skip=2 tokens=15" %%I in (IPAddr.txt) do set IP=%%I

　　arp -s %IP% %Mac%

　　del ipaddr.txt

　　del ipconfig.txt

　　del phyaddr.txt

　　exit

　　同样也建议将这个批处理放在系统的启动组里，方便系统启动时自动运行。

　　接下来可以检查下我们的工作成果，在CMD命令行下打 arp –a ，提示如下：

　　Internet Address Physical Address Type

　　192.168.0.1 00-14-2A-5F-99-E1 static

　　192.168.0.9 00-0a-eb-4e-6f-67 static

　　绑定状态为“STATIC”说明绑定成功为静态，至此大功告成！

　　其实网络病毒并不可怕，只要我们做好防护工作，打好系统补丁，即使有一天“狼”真的来了，我们也能将它拒之门外，确保一方网络平安。