毕业设计（论文） 校园网网络安全设计方案

2010 2011 学年第 二 学期 毕业设计（论文） 课题 校园网网络安全设计方案 姓名 系部 电子与计算机系 专业 计算机网络技术 班级 计算机网络（1）班 学号 指导教师 武汉交通职业学院教务处制 1 摘要 随着信息化进程的深入和互联网的快速发展，网络化已经成为校园信息化 的发展大趋势，信息资源也得到最大程度的共享。但是，紧随信息化发展而来 的网络安全问题日渐凸出，网络安全问题已成为信息时代人类共同面临的挑战， 网络信息安全问题成为当务之急，如果不很好地解决这个问题，必将阻碍信息 化发展的进程。 校园网网络的安全十分重要，它承载着学校的教务、行政、后勤、图书资 料、对外联络等方面的事务处理。 安全性是指可靠性、保密性和数据一致性。网络安全是任何计算机网络建 设必须解决的重要问题，校园网建设应把网络管理与安全放在突出地位。 关键词：校园网，网络安全，入侵检测，病毒检测，防火墙 2 目录 摘要 .1 第 1 章 绪论 .3 1.1 前言 .3 1.2 校园网 .3 1.3 网络安全 .3 第 2 章 校园网不安全因素 .4 第 3 章 校园网不安全的主要问题 .5 3.1 IP 盗用问题 .6 3.2 防火墙攻击 .6 3.3 EMAIL 及非法 URL 的访问问题 .6 3.4 邮箱攻击.6 3.4.1 电子邮件的攻击.6 3.4.2 挑战邮件容量的攻击 .7 3.4.2 利用软件攻击.7 3.5 服务器和网络设备的扫描和攻击 .7 3.6 病毒防护 .10 3.7 什么是 ARP 协议 .8 3.7.1 ARP 欺骗 .8 3.7.2 遭受 ARP 攻击后现象 .9 3.7.3 快速查找 ARP 攻击（MAC 地址攻击）的方法 .10 第 4 章 校园网安全主要问题的解决方案 .12 4.1 IP 盗用问题防范 .12 4.2 垃圾邮件防范 .12 4.2.1 拒绝垃圾邮件 .13 4.2.2 拒绝巨型邮件 .13 4.3 ARP 防范措施 .14 4.4 蠕虫病毒防范 .18 结束语 .19 致谢 .20 参考文献 .21 3 第一章 绪论 1.1 前言 校 园 网 是 为 学 校 开 展 教 学 、 科 研 、 管 理 和 服 务 等 工 作 而 建 立 的 计 算 机 信 息 网 络 ， 是 学 校 信 息 化 建 设 的 基 础 性 平 台 。 其 目 的 是 利 用 先 进 的 计 算 机 技 术 和 网 络 通 信 技 术 ， 实 现 校 内 计 算 机 互 连 、 计 算 机 局 域 网 互 连 ， 并 通 过 中 国 教 育 和 科 研 计 算 机 网 （ CERNET） 与 因 特 网 （ INTERNET） 互 连 ， 实 现 信 息 的 快 捷 沟 通 和 资 源 共 享 ， 直 接 服 务 于 全 校 各 单 位 和 广 大 师 生 。 1.2 校园网 校 园 网 是 为 学 校 师 生 提 供 教 学 、 科 研 和 综 合 信 息 服 务 的 宽 带 多 媒 体 网 络 首 先 ， 校 园 网 应 为 学 校 教 学 、 科 研 提 供 先 进 的 信 息 化 教 学 环 境 。 这 就 要 求 ： 校 园 网 是 一 个 宽 带 、 具 有 交 互 功 能 和 专 业 性 很 强 的 局 域 网 络 。 多 媒 体 教 学 软 件 开 发 平 台 、 多 媒 体 演 示 教 室 、 教 师 备 课 系 统 、 电 子 阅 览 室 以 及 教 学 、 考 试 资 料 库 等 ， 都 可 以 在 该 网 络 上 运 行 。 如 果 一 所 学 校 包 括 多 个 专 业 学 科 (或 多 个 系 )， 也 可 以 形 成 多 个 局 域 网 络 ， 并 通 过 有 线 或 无 线 方 式 连 接 起 来 。 其 次 ， 校 园 网 应 具 有 教 务 、 行 政 和 总 务 管 理 功 能 。 1.3 网络安全 网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶 然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行， 网络服务不中断。 网络安全从其本质上来讲就是网络上的信息安全。从广义来 说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相 关技术和理论都是网络安全的研究领域。网络安全是一门涉及计算机科学、网 络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多 种学科的综合性学科。 4 第二章 校园网不安全因素 1、 校 园 网 面 临 的 威 胁 大 体 可 分 为 对 网 络 设 备 的 危 害 和 对 网 络 中 数 据 信 息 的 破 坏 ， 具 体 包 括 ： 包 括 各 类 计 算 机 、 网 络 通 信 设 备 、 存 放 数 据 的 媒 体 、 传 输 线 路 等 。 这 些 设 备 无 论 哪 一 个 出 现 问 题 ， 都 会 给 整 个 网 络 带 来 灾 难 性 的 后 果 。 2、人为的因素，包括人为的无意失误和恶意攻击。人为无意的失误主要是 操作员安全配置不当或用户安全意识淡薄口令过于简单网络操作失误等。人为 的恶意攻击是网络安全所面临的最大威胁此类攻击又分两类一类是主动攻击它 以各种方式有选择地破坏信息的有效性和完整性另一类是被动攻击它是在不影 响网络正常工作的前提下进行截获窃取破译以获得重要机密信息。 3、计算机病毒的泛滥与黑客的攻击。计算机病毒将导致计算机系统瘫痪， 程序和数据严重破坏，使网络的效率和作用大大降低，使许多功能无法使用或 不敢使用。现在的蠕虫病毒和黑客技术结合在一起，常常导致拒绝服务攻击 （DOS） ，可以导致整个校园瘫痪。 4、非法使用网络资源。非法用户登录进入系统使用网络资源，造成网络资 源的消耗，损害合法用户的利益。 5、操作系统及软件本身的问题。网络软件不可能是百分之百的无缺陷和无 漏洞的，这些漏洞和缺陷恰恰是黑客进行攻击的首选目标。 6、大量的非法内容。因特网上这些良莠不齐的网络资源不但会占有流量资 源，导致网络堵塞、上网速度慢等问题，而且不良内容将危害学生的身心健康， 造成严重后果。 5 第 3 章 校园网安全的主要问题 3.1 IP 盗用问题 校园网内部连接有几千台电脑，一部分电脑通过正常的申请途径申请得到 合法的 IP 地址，另一部分则不然。当某些没有 IP 地址的用户，冒用他人的合 法 IP 地址时，就会造成网络内部地址的冲突，严重阻碍了合法用户的正常使用。 3.2 防火墙攻击 防火墙系统相关技术的发展已经比较成熟，防火墙系统很坚固，但这只是 对于对外的防护而已，它对于内部的防护则几乎不起什么作用。然而不幸的是， 一般情况下有 70%的攻击是来自局域网的内部人员。所以怎样防止来自内部的 攻击是当前校园网建设中的一个非常重要的方面。 防火墙技术包含动态的包过滤、应用代理服务器、用户认证、网络地址转 换、预警模块、日志及计费分析等功能。可以有效地将内部网与外部网隔离开， 保护校园网络不被未授权的第三方入侵。 我们可以通过很多网络工具，设备和策略来保护不可信任的网络。其中防 火墙是运用非常广泛和效果最好的选择。它可以防御网络中的各种威胁，并且 做出及时的响应，将那些危险的连接和攻击行为隔绝在外。从而降低网络的整 体风险。 防火墙的基本功能是对网络通信进行筛选屏蔽以防止未授权的访问进出计 算机网络，简单的概括就是，对网络进行访问控制。绝大部分的防火墙都是放 置在可信任网络（Internal）和不可信任网络（Internet）之间。 防火墙一般有三个特性： A所有的通信都经过防火墙 B防火墙只放行经过授权的网络流量 C防火墙能经受的住对其本身的攻击 我们可以看成防火墙是在可信任网络和不可信任网络之间的一个缓冲，防 火墙可以是一台有访问控制策略的路由器（Route+ACL），一台多个网络接口的 6 计算机，服务器等，被配置成保护指定网络，使其免受来自于非信任网络区域 的某些协议与服务的影响。所以一般情况下防火墙都位于网络的边界，例如保 护企业网络的防火墙，将部署在内部网络到外部网络的核心区域上。 防火墙成为了与不可信任网络进行联络的唯一纽带，我们通过部署防火墙， 就可以通过关注防火墙的安全来保护其内部的网络安全。并且所有的通信流量 都通过防火墙进行审记和保存，对于网络安全犯罪的调查取证提供了依据。总 之，防火墙减轻了网络和系统被用于非法和恶意目的的风险。 3.3 Email 及非法 URL 的访问问题 由于用户安全观念的淡薄以及网上某些人的别有用心，会给校园网的 Email 用户发一些不良内容的信件，有时还会携带各种各样的病毒。因此，怎 样防止有问题的信件进入校园网的 Email 系统也是一个待解决的问题。 解决方法：在校园网的 WWW 服务器、Email 服务器等各种服务器中使用 网络安全监测系统，实时跟踪、监视网络，截获 Internet 网上传输的内容，并 将其还原成完整的 WWW、Email 、FTP 、Telnet 应用的内容，建立保存相应记 录的数据库。及时发现在网络上传输的非法内容，及时向上级安全网络中心报 告，采取措施。并利用专门的日志分析工具对保存在数据库中的访问日志进行 统计并绘制统计图，可以对访问地址和流量进行分析，对于明显的攻击便可一 目了然了。 3.4 邮箱攻击 3.4.1 电子邮件的攻击 电子邮箱攻击有很多种，如、使用工具窃取密码、电子邮件欺骗、电子邮 箱轰炸等，其中一电子邮箱轰炸最为流行。 通过发送邮件可以实现病毒和有害程序的传播。由于电子邮件是二进制文 件，它可以是许多有害攻击的载体。邮件炸弹是一个简单有效的侵扰工具，炸 弹的攻击只是由反复传给目标接收者相同信息组成。它并不是很神秘的侵扰， 而只是用信息垃圾充满个人的邮箱。从技术上讲，如果被攻击者缺少存储空间， 邮箱会被充满，因此阻止了其它消息进入邮箱，所以所电子邮件炸弹也具有很 大的危害性。 某一天，当你打开自己的电子邮箱，发现里面有一封陌生人发来的邮件， 7 发信人 ID 看起来也没有任何规律可言。好奇心驱使你打开了邮件，但是你并没 有发现任何有价值的内容。接下来的情况让你有些措手不及，因为你的邮箱很 快被塞满了陌生人的邮件。于是你想收到的邮件却不知道被塞到了哪个地方。 必惊慌。这其实就是信息时代的商战中经常见到的电子邮件攻击。电子邮 件攻击是目前商业应用最多的一种商业攻击，它还有一个比较形象的名字叫做 “邮件炸弹” 。 3.4.2 挑战邮件容量的攻击 这其实是最原始也是比较简易的电子邮件攻击。攻击者申请一个邮箱，并 且开启匿名功能。使用一些邮箱工具（像 FOXMAIL、OUTLOOK 等）发送一个大容 量的附件，启动邮箱工具中的切分发送，再进行发送。 针对此类攻击的防范也比较简单。用户登录到邮箱，邮箱系统设置中设置 可以接受的邮件的最大容量。只需简单的设置用户就可以将大于此设置的邮件 拒之门外。 目前网上有很多邮件炸弹软件，虽然操作不尽相同，成功率也不能保证， 但是它们可以将攻击者很好地隐藏而不被发现，是比较安全的一种攻击方式。 其实邮件炸弹的原理很简单，与 DDos 攻击有所相似，就是针对某一个或者 多个电子邮箱发送大量的邮件，突然加大网络的负担，增加网络流量以占用更 多的处理器资源，消耗系统资源，使得正常的电子邮件无法到达邮箱，进而造 成系统瘫痪。 3.4.3 利用软件攻击 利用软件进行的攻击 邮箱终结者是邮件炸弹软件中的佼佼者。在要进行“轰炸的邮箱”里输入 目标地址，并且设置邮箱的服务器（多为 SMTP 服务器） ，填写邮件相关内容， 在邮箱下面设置发送量和发送邮箱的线程数。单击“攻击” ，一场新的攻击就会 立刻开始。 现在一般的邮箱都会有一个“可信任人”的项目，将正常的用户添加进去， 这样只有被添加用户发来的邮件才能被正常接收，其他人的邮箱则会被拒绝。 8 3.5 服务器和设备的扫描和攻击问题 有时会有一些用户对校园网的服务器和网络设备进行扫描和攻击，造成网 络负载过重，致使服务器拒绝提供服务，或造成校园网不能提供正常的服务。 3.6 病毒防护 互联网迅猛发展使得网络运营成为社会时尚，但同时也为病毒感染和快速 传播提供了途径。病毒从网络之间传递，并在计算机没有任何防护措施的情况 下运行，从而导致系统崩溃，网络瘫痪，对网络服务构成严重威胁，造成巨大 损失。因此，如何让校园网更安全，防止网络遭受病毒的侵袭，已成为校园网 迫切需要解决的问题 具体事例 3.7 什么是 ARP 协议 ARP 协议是“Address Resolution Protocol”（地址解析协议）的缩写。 在局域网中，网络中实际传输的是“帧” ，帧里面是有目标主机的 MAC 地址的。 在以太网中，一个主机机和另一个主机进行直接通信，必须要知道目标主机的 MAC 地址。但这个目标 MAC 地址是如何获得的呢？它就是通过地址解析协议获 得的。所谓“地址解析”就是主机在发送帧前将目标 IP 地址转换成目标 MAC 地 址的过程。ARP 协议的基本功能就是通过目标设备的 IP 地址，查询目标设备的 MAC 地址，以保证通信的顺利进行。 3.7.1 ARP 欺骗 其实，此起彼伏的瞬间掉线或大面积的断网大都是 ARP 欺骗在作怪。ARP 欺骗攻击已经成了破坏网吧经营的罪魁祸首，是网吧老板和网管员的心腹大患。 从影响网络连接通畅的方式来看，ARP 欺骗分为二种，一种是对路由器 ARP 表的欺骗；另一种是对内网 PC 的网关欺骗。 第一种 ARP 欺骗的原理是截获网关数据。它通知路由器一系列错误的 内网 MAC 地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新 保存在路由器中，结果路由器的所有数据只能发送给错误的 MAC 地址，造成正 常 PC 无法收到信息。第二种 ARP 欺骗的原理是伪造网关。它的原理是建立 假网关，让被它欺骗的 PC 向假网关发数据，而不是通过正常的路由器途径上网。 9 在 PC 看来，就是上不了网了， “网络掉线了” 。 一般来说，ARP 欺骗攻击的后果非常严重，大多数情况下会造成大面积掉 线。有些网管员对此不甚了解，出现故障时，认为 PC 没有问题，交换机没掉线 的“本事” ，电信也不承认宽带故障。而且如果第一种 ARP 欺骗发生时，只要重 启路由器，网络就能全面恢复，那问题一定是在路由器了。为此，宽带路由器 背了不少“黑锅” 。 作为网吧路由器的厂家，对防范 ARP 欺骗不得已做了不少份内、份外的工 作。一、在宽带路由器中把所有 PC 的 IP-MAC 输入到一个静态表中，这叫路由 器 IP-MAC 绑定。二、力劝网管员在内网所有 PC 上设置网关的静态 ARP 信息， 这叫 PC 机 IP-MAC 绑定。一般厂家要求两个工作都要做，称其为 IP-MAC 双向绑 定。 显示和修改“地址解析协议”(ARP) 所使用的到以太网的 IP 或令牌环物 理地址翻译表。该命令只有在安装了 TCP/IP 协议之后才可用。 arp -a inet_addr -N if_addr arp -d inet_addr if_addr arp -s inet_addr ether_addr if_addr 参数 -a 通过询问 TCP/IP 显示当前 ARP 项。如果指定了 inet_addr，则只显示指 定计算机的 IP 和物理地址。 -g 与 -a 相同。 inet_addr 以加点的十进制标记指定 IP 地址。 -N 显示由 if_addr 指定的网络界面 ARP 项。 if_addr 指定需要修改其地址转换表接口的 IP 地址（如果有的话） 。如果不存在， 将使用第一个可适用的接口。 -d 删除由 inet_addr 指定的项。 -s 在 ARP 缓存中添加项，将 IP 地址 inet_addr 和物理地址 ether_addr 关联。物理地址由以连字符分隔的 6 个十六进制字节给定。使用带点的十进制 10 标记指定 IP 地址。项是永久性的，即在超时到期后项自动从缓存删除。 ether_addr 指定物理地址。 3.7.2 遭受 ARP 攻击后现象 ARP 欺骗木马的中毒现象表现为：使用局域网时会突然掉线，过一段时间 后又会恢复正常。比如客户端状态频频变红，用户频繁断网，IE 浏览器频繁出 错，以及一些常用软件出现故障等。如果局域网中是通过身份认证上网的，会 突然出现可认证，但不能上网的现象（无法 ping 通网关） ，重启机器或在 MS- DOS 窗口下运行命令 arp -d 后，又可恢复上网。 ARP 欺骗木马只需成功感染一台电脑，就可能导致整个局域网都无法上网，严 重的甚至可能带来整个网络的瘫痪。该木马发作时除了会导致同一局域网内的 其他用户上网出现时断时续的现象外，还会窃取用户密码。如盗取 QQ 密码、盗 取各种网络游戏密码和账号去做金钱交易，盗窃网上银行账号来做非法交易活 动等，这是木马的惯用伎俩，给用户造成了很大的不便和巨大的经济损失。 3.7.3 快速查找 ARP 攻击（MAC 地址攻击）的方法 用环境： ROS 路由 症状： 无法 PING 到网关地址 192.168.127.1 在 ROS 里的 ARP 显示 192.168.127.34 00:E0:4C:90:1A:70 192.168.127.35 00:E0:4C:90:1A:70 192.168.127.36 00:E0:4C:90:1A:70 192.168.127.37 00:E0:4C:90:1A:70 192.168.127.41 00:E0:4C:90:1A:70 192.168.127.45 00:E0:4C:90:1A:70 192.168.127.47 00:E0:4C:90:1A:70 192.168.127.39 00:E0:4C:90:1A:70 先决条件： ROS 有两块网卡 一块连接 192.168.127.X 段的 IP。 病发后，通过 ROS 的另一块网卡，使用 WINBOX 登录。 最好是单机连接 解决方法： 现在快速查找中毒的电脑 ，请使用本站提供的 IP 扫描工具，在扫描工具 的 Options 的 Select column 中将 Mac address 列移至右边，保存 （看图 4） 。 11 图 3-1 接着可以找到 只有 192.168.127.34 使用的 MAC 地址中 00:E0:4C:90:1A:70 图 3-2 由此可以判断 192.168.127.34 这台是中病毒的发起主机。 这样的情况比较少，万一出现也是比较刺手的问题 12 第四章 校园网安全问题的解决方案 4.1 ip 盗用防范 IP 盗用问题的解决方法：在路由器上捆绑 IP 和 MAC 地址。当某个 IP 通过 路由器访问 Internet 时，路由器要检查发出这个 IP 广播包的工作站的 MAC 是 否与路由器上的 MAC 地址表相符，如果相符就放行。否则不允许通过路由器， 同时给发出这个 IP 广播包的工作站返回一个警告信息。 4.2 垃圾邮件防范 邮箱炸弹一般都表现为发送垃圾邮件和巨型邮件这两种形式。下面就以这 两种表现方法为例来进行一些介绍。 4.2.1 拒绝垃圾邮件 在垃圾邮件发送者们摆出一副“将垃圾发送到底” 架势的今天，互联网上垃 圾邮件满天飞。网友们收到的如果是广告，删掉也就罢了；如果是病毒或者“炸 弹”，一个不慎重那就有损失惨重的可能。垃圾邮件屡清不绝，让人不堪其烦。 (1) 如果不是必需，在网上不要在留言簿等公共场所留下自己的电子邮件 地址。不要在那些名不见经传更没有隐私保障的小网站注册自己的任何个人信 息。 (2) 如果经常收到某一特定的主题词邮件或某一特定的邮件地址寄来的垃 圾邮件时，可以使用软件的过滤功能，如大家熟悉的等都能够 设置对有某些特征的邮件进行过滤的功能；方式的邮箱现在也基本都有 这项功能。 (3) 有很多的垃圾邮件都是通过邮件列表寄来，在邮件列表申请地址的主 页上一般都会有退订的窗口，填上自己的地址即可实现退订，有的还会有拒收 的回复地址，这时按要求向回复地址发送回复邮件就可以了。 (4) 慎用自动回复的功能。虽然自动回复的功能可以给我们带来很大的方 便，但如果对方刚好也使用了自动回复的功能，那就将造成一个互发回复邮件 的循环直到两个邮箱被塞满为止。 (5) 学会使用远程邮箱管理功能，直接从邮箱里删除那些垃圾，而不用每 次把一大堆邮件下载到自己的本地邮箱后再来删除。例如 （： 13 ）这款远程邮箱监视软件，能够定时检查远程邮箱。当检 查结束，它会显示出寄信人、主题、日期、文件大小等信息，可以根据这些信 息准确地判断出哪些是您需要的邮件、哪些是垃圾。只要使用它的快速删除功 能就能非常快捷地删除远程邮箱中的垃圾邮件。 (6) 安装一些软件专门帮助你对付垃圾邮件，例如用 （： ）来给垃圾邮件发送者回一封信，告诉他所发送的信箱并不存在，以免受 垃圾邮件发送者的重复骚扰。 另外，上了网的电脑就需要作好防护措施，装上病毒防火墙，并经常对防 病毒软件进行升级，这样就算是收到骚扰性的垃圾邮件基本上也没有什么大的 危险了。 4.2.2 拒绝巨型邮件 拒绝巨型邮件的方法有许多，这里主要讲以下在 OE 中如何拒绝巨型邮件。 为了防止邮箱被炸，应该像设置垃圾邮件的过滤一样，提前在 Outlk Express 中设置好防范项目。打开“工具”菜单，选择“邮件规则” ，再选“邮 件”命令，打开“新建邮件规则”对话框。点击“添加” ，在“选择规则留言” 列表中，选择“若邮件长度大于指定大小” ，在“选择规则操作”列表中选择 “从服务器上删除” ，然后在“规则说明”列表中点击带下划线的词句，在新打 开的对话框中选择 2000，表示信息容量为 2M，单击 “确定” 如下图： 图 4-2 最后输入此邮件的规则名称“delbig”单击“确定 ”完成设置。 14 如下： 图 4-3 这样只要你的邮件服务器体积超过 2M 的大邮件时，都会自动进行删除， 从而保证了邮箱的安全。 4.3 ARP 防范措施 清空 ARP 缓存: 大家可能都曾经有过使用 ARP 的指令法解决过 ARP 欺骗问 题，该方法是针对 ARP 欺骗原理进行解决的。一般来说 ARP 欺骗都是通过发送 虚假的 MAC 地址与 IP 地址的对应 ARP 数据包来迷惑网络设备，用虚假的或错误 的 MAC 地址与 IP 地址对应关系取代正确的对应关系。若是一些初级的 ARP 欺骗， 可以通过 ARP 的指令来清空本机的 ARP 缓存对应关系，让网络设备从网络中重 新获得正确的对应关系，具体解决过程如下： 通过点击桌面上任务栏的“开始”-“运行” ，然后输入 cmd 后回车，进入 cmd(黑色背景)命令行模式； 在命令行模式下输入 arp -a 命令来查看当前本机储存在本地系统 ARP 缓存 中 IP 和 MAC 对应关系的信息； 15 使用 arp -d 命令，将储存在本机系统中的 ARP 缓存信息清空，这样错误的 ARP 缓存信息就被删除了，本机将重新从网络中获得正确的 ARP 信息，达到局 域网机器间互访和正常上网的目的。如果是遇到使用 ARP 欺骗工具来进行攻击 的情况，使用上述的方法完全可以解决。但如果是感染 ARP 欺骗病毒，病毒每 隔一段时间自动发送 ARP 欺骗数据包，这时使用清空 ARP 缓存的方法将无能为 力了。下面将接收另外一种，可以解决感染 ARP 欺骗病毒的方法。 指定 ARP 对应关系：其实该方法就是强制指定 ARP 对应关系。由于绝大部 分 ARP 欺骗病毒都是针对网关 MAC 地址进行攻击的，使本机上 ARP 缓存中存储 的网关设备的信息出现紊乱，这样当机器要上网发送数据包给网关时就会因为 地址错误而失败，造成计算机无法上网。 (1) 我们假设网关地址的 MAC 信息为 00-14-78-a7-77-5c，对应的 IP 地址 为 192.168.2.1。指定 ARP 对应关系就是指这些地址。在感染了病毒的机器上， 点击桌面-任务栏的“开始”-“运行” ，输入 cmd 后回车，进入 cmd 命令行模 式； (2) 使用 arp -s 命令来添加一条 ARP 地址对应关系， 例如 arp -s 192.168.2.1 00-14-78-a7-77-5c 命令。这样就将网关地址的 IP 与正确的 MAC 地址绑定好了，本机网络连接将恢复正常了； 16 (3) 因为每次重新启动计算机的时候，ARP 缓存信息都会被全部清除。所 以我们应该把这个 ARP 静态地址添加指令写到一个批处理文件（例如：bat）中， 然后将这个文件放到系统的启动项中。当程序随系统的启动而加载的话，就可 以免除因为 ARP 静态映射信息丢失的困扰了。 添加路由信息应对 ARP 欺骗： 一般的 ARP 欺骗都是针对网关的，那么我们是否可以通过给本机添加 路由来解决此问题呢。只要添加了路由，那么上网时都通过此路由出去即可， 自 然也不会被 ARP 欺骗数据包干扰了。第一步：先通过点击桌面上任务栏的 “开始”-“运行” ，然后输入 cmd 后回车，进入 cmd(黑色背景)命令行模式； 手动添加路由，详细的命令如下：删除默认的路由: route delete 0.0.0.0;添加路由: route add -p 0.0.0.0 mask 0.0.0.0 192.168.1.254 metric 1;确认修改: route change 此方法对网关固定的情况比较适合，如果将来更改了网关， 那么就需要更改所有的客户端的路由配置了。 1、立即升级操作系统中的防病毒软件和防火墙，同时打开“实时监控”功 能，实时地拦截来自局域网络上的各种 ARP 病毒变种。 2、立即根据自己的操作系统版本下载微软 MS06- 014（http:/ 014.mspx）和 MS07- 17 017（http:/ 017.mspx）两个系统漏洞补丁程序，将补丁程序安装到局域网络中存在这两个 漏洞的计算机系统中，防止病毒变种的感染和传播。 3、检查是否已经中毒： a. 在设备管理器中, 单击“查看显示隐藏的设备” b. 在设备树结构中,打开“非即插即用设备” c. 查找是否存在：“NetGroup Packet Filter Driver” 或 “NetGroup Packet Filter”，如果存在，就表明已经中毒。 4、对没有中毒机器，可以下载软件 Anti ARP Sniffer，填入网关，启用 自动防护，保护自己的 ip 地址以及网关地址，保证正常上网。 5、对已经中毒电脑可以用以下方法手动清除病毒： (1)删除:%windows%System32LOADHW.EXE (有些电脑可能没有) (2)a. 在设备管理器中, 单击“查看显示隐藏的设备” b. 在设备树结构中,打开“非即插即用设备” c. 找到 “NetGroup Packet Filter Driver” 或 “NetGroup Packet Filter” d. 右点击， ”卸载” e. 重启系统 (3)删除:%windows%System32driversnpf.sys (4)删除%windows%System32msitinit.dll(有些电脑可能没有) (5)删除注册表服务项:开始运行regedit打开，进入注册表，全注册 表搜索 npf.sys，把文件所在文件夹 Npf 整个删除.(应该有 2 个).至此 arp 病 毒清除. (6)根据经验,该病毒会下载大量病毒,木马及恶意软件,并修改 winsocks, 导致不能打开网页,不能打开 netmeeting 等,为此还需要做下面几步工作: a.用清理助手,360 等软件清理恶意软件,木马. b.检查并删除下列文件并相关启动项: 1)%windows%System32nwizwmgjs.exe(一般*? 2)%windows%System32nwizwmgjs.dll(一般*? 3)%windows%System32ravzt.exe(一般*? 4)%windows%System32ravzt.dat 3)%windows%System32googleon.exe c.重置 winsocks(可以用兔子等软件修复,下面介绍一个比较简单的办法): 开始运行CMD,进入命令提示符,输入 cd.回车,一直退出至 c 盘根目录, 18 在 C:下输入 netsh winsock reset 回车,然后按提示重启计算机 4.4、蠕虫病毒 检查是否被感染的方法： 如果系统中存在以下特征就表明您已被 W32.Sasser 蠕虫感染了： * 系统进程中存在名为 avserve.exe 的进程 * 系统目录中存在 avserve.exe 文件 * 注册表中 HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun 项 中存在avserve.exe=%Windir%avserve.exe 值 蠕虫在传播过程中如果失败，会导致系统产生异常错误重起，如果您的系 统发现这种情况，请尽快安装相应的补丁程序。 19 结束语 感谢我的导师老师们，他们严谨细致、一丝不苟的作风一直是我工作、学 习中的榜样；他们循循善诱的教导和不拘一格的思路给予我无尽的启迪。 感谢我的指导老师沈卫文老师，这篇论文的每个实验细节和每个数据，都 离不开你的细心指导。而你开开朗的个性和宽容的态度，帮助我能够很快的融 入我们这个新的实验室。在这份毕业论文即将完成之际，我的心情无法平静， 从开始进入课题到论文的顺利完成，有多少可敬的师长、同学、朋友给了我无 言的帮助，在这里请接受我诚挚的谢意！ 20 致谢 不积跬步何以至千里，本设计能够顺利的完成，也归功于各位任课老师的 认真负责，使我能够很好的掌握和运用专业知识，并在设计中得以体现。正是 有了他们的悉心帮助和支持，才使我的毕业论文工作顺利完成，在此向武汉交 通职业学院，电子信息工程系的全体老师表示由衷的谢意。感谢他们三年来的 辛勤栽培。 21 参考文献 1 马春光防火墙 入侵检测与 VPN北京邮电大学 2 黎连业 张维防火墙及其应用技术清华大学出版社2007 年 7 月 3 Steve Shah Linux 管理员指南机械工业出版社2009 年 7 月 4 Evi NemethLinux 系统管理技术手册人民邮电出版社 5 刘殊，尤国君Linux 服务器配置与应用人民邮电出版社2009 年 1 月