局域网arp病毒机排查

最近局域网内arp病毒肆虐， 只要一打开抓包工具， 满屏都是arp包。 就想查一下， 看看哪些电脑中毒了。

试了一下金山防火墙， 发现这个东东和很多它的同类产品一样， 只能在有网关的网络内有效， 而对于我们这样不用网关的网络， 就算网内arp流量大上天去， 它也无动于衷， 根本无法用于我们的中毒机器排查。

在网上找了一下， 发现国外一个共享软件XArp比较有用， 它是一个专业的Arp攻击检测软件， 可以不同的策略对局域网内的Arp流量进行检测分析， 并标记出可疑计算机Mac和IP等信息。

它有两个工作显示视图， 一个普通视图可以显示局域网内所有计算机ARP相关流量， 计算机MAC， IP， 主机名等信息， 当IP地址对应的MAC地址发生变化时， 会做出标记和提示， 如果你提高安全等级的设置， 还可以看到子网过滤的告警信息提示（由于我们的内网是无网关+固定ip的形式， 凡是在子网内发这种不存在的子网广播包的计算机， 都应是病毒计算机）。

另一个高级视图， 可以显示本机网络信息， 检测到的arp告警等。

在高级视图点击"copy to clipboard"按钮， 可以将下面的告警信息拷贝到text,excel等文件便于处理， 比如拷贝到excel文件之后， 删除掉无关的行和列， 再另存为csv文件， 以数据库文件的方式在access中打开这个csv文件， 转换成数据表， 再利用sql语句查询一下， 可以轻易得到可疑计算机的mac地址， 或者mac地址使用过的ip地址列表：

有了这些信息以后， 你就可以有根有据， 有商有量地和各个机主交涉了：）

另外， 最近发现， 我的抓包工具wireshark（就是以前的ethreal， .......什么？没听过， 当我没说...）在抓住本机发出的包时， 总是两个两个一起的重复显示（接收方那边并没有什么问题）， 就连arp包也是如此， 最初以为中毒或系统问题， 后来wireshark论坛发现也有人有这个现象， 开发组说可能是系统或网卡镜像等原因造成， 不过以前没有这个问题啊， 所以肯定还是有什么原因导致， 暂时这个问题还没有解决， 如果有达人知道原因， 请不吝赐教。

……