POPPUR爱换

标题: D-link 624+A 做二次路由时被ARP攻击求助 [打印本页]

作者: beepnow 时间: 2008-2-10 22:15
标题: D-link 624+A 做二次路由时被ARP攻击求助
小区固定IP地址的宽带接入。
现在把原来的网线接入624+A的WAN口，一台台式机和笔记本分别通过LAN口和无线接入。
不幸的是小区其他机器中了磁碟机病毒，疯狂进行ARP攻击，又是在网页插入QQ的广告，又是下载劫持的，防不胜防。
原来一台台式机时可以用金山ARP防火墙顶住，现在用了624+A，怎么办啊？

作者: beepnow 时间: 2008-2-10 22:22
顺路诅咒一下这个病毒的作者，太无耻了。

以下病毒行为引用自欣子慧的博客
http://xzhsoft.blog.sohu.com/70855600.html

<1>感染文件。经研究，会感染U盘上和本地磁盘上的应用程序，而且会感染压缩包里的应用程序。因此造成难以清除！
<2>在系统目录下生成文件。病毒会在C:WINDOWSsystem32Com目录下生成netcfg.dll、smss.exe、lsass.exe、netcfg.000以及一个bak文件夹（该文件夹主要是用于病毒感染压缩包时的临时文件夹），以及在C:WINDOWSsystem32目录下生成dnsq.dll和在C:WINDOWSsystem32drivers目录下生成alg.exe文件。
<3>在每个磁盘根目录下生成文件。病毒会在每个磁盘根目录下生成Autorun.inf以及pagefile.pif文件，并且开启系统的自动播放功能。如果用户双击打开磁盘即又感染。
<4>通过注册表隐蔽自动启动。使用一般的开机启动项查看工具根本无法发现其痕迹。
<5>破坏安全模式，使用户无法进入安全模式进行系统修复，并且删除注册表大量键。
<6>修改文件夹选项，使用户无法查看隐藏的病毒文件，进入文件夹选项，会发现“ 隐藏受保护的操作系统文件(推荐)”项目不见了，病毒还可能会对换“不显示隐藏的文件和文件夹”和“显示所有文件和文件夹”的功能。
<7>劫持下载功能，当我们下载东西时，其实下载了病毒文件，双击又再度感染！清除完病毒后建议安装arp防火墙，以免再度感染！
<8>关闭一些杀毒软件，使无法杀毒。dnsq.dll会插入进程，导致即使同时结束smss.exe、lsass.exe进程，这两个进程还会再生。
<9>病毒还可能会盗取我们的个人隐私以及还可能存在一些未知的风险！

以下是我的补充
病毒在ARP网关劫持成功后，会在部分网页插入Q币广告，劫持.EXE的下载，甚至最新的病毒版本在发现用户浏览上面的博客地址时关闭用户的连接

作者: newshore 时间: 2008-2-11 13:32
好专业的问题哟，不知道如何解决，帮你顶顶。。。

作者: echoiu 时间: 2008-2-11 13:50
这个和用不用路由没有什么关系吧。
找出路由的有线和无线的MAC地址在台式机和笔记本上面分别和路由的IP地址绑起来就可以了吧。

作者: beepnow 时间: 2008-2-12 17:40
可能我没说清楚
无线路由器是作为二次路由，
即在无线路由器的WAN口接的是另一个有网关的固定IP的局域网，ARP攻击即来自于那个局域网，局域网的网关被ARP病毒感染的机器劫持了，我自己两台机器没有病毒

作者: fs_francis 时间: 2008-2-13 23:34
:sleeping: 那应该向ISP投诉吧？

作者: biner 时间: 2008-2-14 02:21
:huh: 貌似CISCO的路由器有专门对付ARP的命令，但是其他用户中毒，你是受害者，只能替你默哀3分钟了。

作者: beepnow 时间: 2008-2-15 11:55

原帖由 mvp3 于 2008-2-13 23:00 发表
保修阿，搞什么:huh:

老兄，别搞笑了，东西又没问题，怎么保修

作者: beepnow 时间: 2008-2-15 11:57
我要是找得到网管，还用到这发帖问吗，这个网络是单位的小区统一搞的，网管还没我懂网络

作者: swrstd 时间: 2008-2-15 17:46

原帖由 beepnow 于 2008-2-15 11:57 发表
我要是找得到网管，还用到这发帖问吗，这个网络是单位的小区统一搞的，网管还没我懂网络

单为你这句话,虽然没有解决办法,但还是要替你顶顶

欢迎光临 POPPUR爱换 (https://we.poppur.com/)