[转帖]网吧频繁掉线（ARP)与解决方法

海豚

<div style="ADDING-RIGHT: 0px; MARGIN-TOP: 10px; FONT-SIZE: 9pt; OVERFLOW-X: hidden; WIDTH: 97%; WORD-BREAK: break-all; TEXT-INDENT: 0px; LINE-HEIGHT: normal; HEIGHT: 200px; WORD-WRAP: break-word" onload="this&#46;style&#46;overflowX='auto';"><font color="#000d43">现在频繁掉线的网吧很多&#46;但为何掉线&#46;许多网管朋友&#46;不是很清楚&#46;网吧掉线的原因很多&#46;现在我给大家讲一下现在很流行的一种木马&#46;&lt;传奇网吧杀手&gt;&#46;基本上东北地区的网吧都被这一木马弄的身心疲惫&#46;但是现在有解决的方法了&#46;<br />中病毒特征: 网吧不定时的掉线&#46;(重启路由后正常),网吧局域网内有个别机器掉线&#46;木马分析 : 传奇杀手木马,是通过ARP欺骗,来或取局域网内发往外网的数据&#46;从而截获局域内一些网游的用户名和密码&#46;<br />木马解析:中木马的机器能虚拟出一个路由器的MAC地址和路由器的IP&#46;当病毒发作时,局域网内就会多出一个路由器的MAC地址&#46;内网在发往外网的数据时,误认为中木马的机器是路由器,从而把这些数据发给了虚拟的路由器&#46;真正路由器的MAC地址被占用&#46;内网的数据发出不去&#46;所以就掉线了&#46;<br />解决办法:守先你下载一个网络执法官,他可以监控局域网内所有机器的MAC地址和局域网内的IP地址&#46;在设置网络执法官时&#46;你必须将网络执法官的IP段设置和你内网的IP段一样&#46;比如说:你的内网IP是192&#46;168&#46;1&#46;1------192&#46;168&#46;1&#46;254你的设置时也要设置192&#46;168&#46;1&#46;1------192&#46;168&#46;1&#46;254&#46;设置完后,你就会看到你的内网中的MAC地址和IP地址&#46;从而可以看出哪台机器中了木马&#46;(在多出的路由器MAC地址和IP地址和内网机器的IP地址,MAC地址一样的说明中了传奇网吧杀手)要是不知道路由器的MAC地址,在路由器的设置界面可以看到&#46;发现木马后&#46;你还要下载瑞星2006最新版的杀病毒软件(3月15日之后的病毒库)&#46;在下载完之后必须在安全模式下查杀(这是瑞星反病毒专家的见意)反复查杀(一般在四次就可以了)注意查完后杀病毒软件不要卸载掉&#46;观查几天(这是我个人的经验&#46;在卸后第三天病毒还会死灰复燃,我想可能是注册表里还有他的隐藏文件&#46;在观查几天后正常就可以卸载掉了&#46;<br />注:还原精灵和冰点对网吧传奇杀手木马不起做用&#46;(传奇杀手木马不会感染局域网&#46;不要用硬盘对克,对克跟本不起任何做用&#46;而且还会感染到母盘上&#46;切记!)<br />最好主机安装上网络执法官,这样可以时时监控局域网内的动态,发现木马后可以及时做出对策)<br />下面是传奇网吧杀手木马的文件:<br />文件名：      文件路径：                 病毒名：<br />a&#46;exe&gt;&gt;b&#46;exe   c:\windows\system32       Trojan&#46;psw&#46;lmir&#46;jbg<br />235780&#46;dll     c:\windows\               Trojan&#46;psw&#46;lmir&#46;aji<br />kb2357801&#46;log  c:\windows\               Trojan&#46;psw&#46;lmir&#46;jhe<br />Q98882&#46;log     c:\windows\               Trojan&#46;psw&#46;lmir&#46;jhe<br />kb2357802&#46;log  c:\windows\               Trojan&#46;psw&#46;lmir&#46;jbg<br />Q90979&#46;log     c:\windows\               Trojan&#46;psw&#46;lmir&#46;jhe<br />Q99418&#46;log     c:\windows\               Trojan&#46;psw&#46;lmir&#46;jbg<br />ZT&#46;exe         c:\windows\program Files\浩方对战平台 病毒名：Trojan&#46;dL&#46;agent&#46;eqv<br />a[1]&#46;exe&gt;&gt;b&#46;exec:\documents and sttings\sicent\local settings\Temporary Internet Files\content&#46;IE5\Q5g5g3uj<br />病毒名:Trojan&#46;psw&#46;lmir&#46;jbg<br />有需要瑞星2006 18&#46;18&#46;22(3月15日的版本)和网络执法官2&#46;75注册版的软件请把邮箱留下&#46;<br />(各位朋友&#46;瑞星杀毒软件文件过大邮箱发送不了&#46;请大家下载瑞星个人18&#46;18&#46;20版杀毒软件我现在给大家提供注册码&#46;希望大家原谅&#46;)<br />SN=P5V6EH-61FHJK-9G0SS7-C4D200<br />ID=5B3C5BJ4Y125<br />（网络执法官可以批量MAC捆绑，到执法官的局域网MAC界面，全选后单击右键会出现批量MAC捆绑．做完捆绑以后，ARP要是在次攻击时他会报警，出现的假MAC是为非法．网络执法官会终止他的一切操作．）这样可以解决ARP在次攻击．<br /></font>________________________________________________________________________________<br /><font color="#0300cd">硬件造成网速慢或掉线的解决方法<br />引起网吧频繁和网速慢的原因很多,50楼的朋友问了一个问题&#46;这个问题非常典型,一些网管朋友找不出原因&#46; 给你们看一个实例，此例只做见意) 一个网吧用的是10M网通光纤 网络频繁掉线(非ARP和病毒攻击)或网速达不到要求而且非常慢&#46;换过路由器和交器机,网线也测式过没有问题&#46;在网通机房测式结果是每秒1&#46;2M,已经达到10M光纤的速度,可到网吧的终端后网速只达到200K或达不到200K&#46;一些网管朋友找不出原因&#46;(一般出现这样的原因出现在光纤收发器上)<br />见意你:在光纤收发器(俗称:光纤猫)分流下直接插到机器上,正确的设置完参数后直接测式网速,看一下网速能达到多少&#46;要是达到1M左右说明网通机房分流到光纤收发器这一段是正常的&#46;反过来说要是达到不要求说明,从网通机房分流到光纤收发器这段距离出现问题&#46;一般情况下应该是光纤收发器出的问题&#46;光纤收发器可以到网通公司更换,要是测式完后正常在从光纤收发器连接到路由器上&#46;在从路由器的LAN接口上分流下连接一台机器测式网速是多少&#46;要是达不到要求说明问题出现在路由器上．要是能达到相对应的速度说明正常．然后在从路由器到交换机&#46;以此论推．这种方法非常实用．相信要是硬件问题应该能解决．（看过的朋友帮忙顶一下&#46;让中此类木马的朋友能够看到&#46;谢谢合作&#46;）</font><font color="#0300cd">有朋友想认识我．请加16742481　进入时请说鹰王介绍的就可以了．这是一个计算机群．</font></div>