ARP带来的烦恼

   
    之前和大家聊过arp病毒，说了arp病毒的原理和防御方法。可最近的arp病毒着实让人头疼！

    现在的病毒在不断的更新而杀毒软件脚步确慢了点，据我所知现在网上没有可以真正查杀arp病毒的杀毒软件或专杀软件。网上有的也是防御的工具根本起不了治本的效果。杀毒厂商好像只有趋势推出一款专杀工具(tsc)我也用过不过不顶用。难到arp病毒比其他病毒难杀吗？真不知道杀毒厂商在做什么，找一个arp病毒深入分析，找出它的特征和规律，再制定相应的杀毒方法就那么难吗？

    相反arp病毒确在不段的进化，现在的arp病毒想查杀真的很困扰，最新的arp病毒它们虚拟出来的MAC都是假的MAC或根本不存在的MAC这样即使你知道受到攻击也没办法，唯一的方法就是几台几台的排除最后定位中毒机器，这在采用多台交换机的环境下还比较好做。如果只有一台交换机，你不可能让一半的人断网，看一下是否还受到攻击，定位病毒到底在哪一半机器上啊。或者是非工作时间来做，这一来可害苦了我们这些网络维护人员。

    最后还是希望杀毒厂商尽早推出好的杀毒方法或专杀工具，来减轻我们这些网络维护人员的压力。未了给出一些手工杀毒方法，从网上下载的不知道管不管用，大家可以试试：

1、删除 ”病毒组件释放者”程序：
“%windows%\System32\LOADHW.EXE” （window xp 系统目录为：“C:\WINDOWS\System32\LOADHW.EXE” ）

2、删除 ”发ARP欺骗包的驱动程序” (兼 “病毒守护程序”)：
“%windows%\System32\drivers\npf.sys” （window xp 系统目录为：“C:\WINDOWS\System32\drivers\npf.sys” ）
a. 在设备管理器中, 单击”查看”-->”显示隐藏的设备”
b. 在设备树结构中,打开”非即插即用….”
c. 找到 “NetGroup Packet Filter Driver” 或 “NetGroup Packet Filter” ,若没找到,请先刷新设备列表
d. 右键点击 “NetGroup Packet Filter Driver” 或 “NetGroup Packet Filter” 菜单,并选择”卸载”
e. 重启windows系统
f. 删除“%windows%\System32\drivers\npf.sys” （window xp系统目录为：“C:WINDOWS\System32\drivers\npf.sys” ）

3、删除 ”命令驱动程序发ARP欺骗包的控制者”
“%windows%\System32\msitinit.dll”  （window xp 系统目录为：“C:WINDOWS\System32\msitinit.dll”  ）

4、删除以下”病毒的假驱动程序”的注册表服务项:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Npf

最后重起电脑就可以了~

    大家如果有什么好的杀毒方法或想法也可以给我来信：new.et@163.com