作者Mahoutsukai (魔法使い)
看板AntiVirus
标题[问题] 如何有效防共用网路的ARP攻击?
时间Mon Mar 15 21:39:13 2010
住处有人狂用P2P 同时兼具ARP攻防能力 疑是懂得使用 DNS欺骗 及 TCP劫持
房东不懂电脑 对於开IE有网页就断定OK 殊不知大家已被限速至56K等级
以下切入正题
之前用XP: 卡巴隐形模式 + COMODO防火墙 + 360ARP防火墙 + NetFree(自由上网)
+ 绑定Gate + TCP Filter
状况: 绑定GATE及自己的IP&MAC成为静态 NetFree开三个增强模式持续绑定
COMODO防火墙挡住部分不合规定的封包(含部分ARP及ICMP封包)
360ARP防火发现对方伪装成192.168.1.1 快速变换MAC发动伪造ARP封包
由ARP table发现正式GATE会暂时消失(是否被成功伪装及取代?)
由扫封包发现许多TCP ACK封包遗失(大约4/5) TELNET及FTP亦然 只有UDP正常
故只有UDP软体能正常运作 疑似TCP劫持 但使用TCP filter状况似乎没改善
与中华电信及hinet沟通过 路由正常 并将DNS绑定在指定的DNS伺服 亦无改善
尝试取代该攻击电脑IP&MAC(有时360会发现ARP攻击源)
也许是P2POver、网路执法官或聚生网管
但对方似乎有使用"防IP冲突"功能 不但挤不进去且GATE可能也是假的(正的不定时消失)
目前听说新版聚生网管新版有突破ARP防火墙能力 且可主动诱导
是否有适当的反制方法?
另外请问 在Win7 64bit下 怎样的防护软体组合 可以抵挡上述攻击?
先谢谢各为先进!
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 118.169.75.55
1F：推 HNoMokou:怎麽觉得这不像是中毒而像是网路道德问题啊...= =a 03/15 22:14
2F：推 striving:一模一样的状况我也碰到 对方快速变换MAC 不断挟持路由 03/15 22:59
3F：→ striving:arp任何防火墙都没办法完全挡住 对方会吃掉你的封包 03/15 23:00
4F：→ striving:上网就变极慢极慢!!! 03/15 23:00
5F：推 striving:这问题真的极烦 我去搞了一个反p2pover 也没什麽鬼用 03/15 23:02
6F：推 Tequila7211:通常就是在switch做MＡＣ与ＰＯＲＴ的锁定 03/15 23:13
7F：→ Tequila7211: cisco 的一定有这种功能 其余的则要看牌子 锁上後 03/15 23:14
8F：→ Tequila7211:对方变换MAC就无法上网 也可以设定好限速功能 03/15 23:15
9F：→ Tequila7211:从网路硬体下手是最快的解决之道 03/15 23:15
10F：推 darkroad:这没办法在端点处理, 只能用防止ARP Poisoning的Switch 03/16 12:14
11F：推 junorn:处理ARP攻击根本方式是带着折凳去找发送攻击的人才是.. 03/16 12:38
12F：→ y3k:推拿折凳 03/16 13:17