发现利用
ARP攻击来进行会话劫持的病毒越来越多，局域网中如果有某台主机被此类病毒入侵，
病毒会在网络中发送大量ARP欺骗的数据包，劫持
网络中其它主机的会话。
4 ~3 T( q" e# b) R( V- \5 z4 v, e0 w' O& ^! r7 }9 I) m& {+ O# w# z
此类病毒入侵后的一个主要特点是网络不稳定，时通时断。访问很多站点时杀毒
软件会报告发现病毒，甚至会被误认为正在访问的网站被挂马。
9 h3 a g" q& s+ F+ Z& o; t2 ^, l6 E
检测和清除ARP欺骗的主机，还是相当
麻烦的，大大 增加了网管的劳动。这里把珠海
毒霸一兄弟的
作品拿出来分享给大家，这个
工具还非常简陋。请各位网友考察效果，也好让这位兄弟改进。
2 J) z6 B+ s7 M1 G
) B* H4 k9 n" q7 i' [. D3 ~% G
请将附件中的
文件解压到任意位置，执行ARP Detect，选择要检测的网卡，设定检测范围（建议一次不要太多，避免影响网络，并且花时间较长，可以一段一段的来检测），如果检测到不存在的MAC，或几台主机的MAC相同，就可能是
危险主机。另外，点击主机信息，如果发现网卡工作在混杂模式，也需要网管重点关注一下。请见下面两张图的结果：
- L- A6 t+ {$ r7 o& `& A3 c, b3 S
[attach]16017211[/attach]
. N/ u" h5 @' U# {8 N) W5 ]
[attach]16017212[/attach]
( ]7 V$ b9 _" ~- A
$ U6 d8 e+ \* T另附后几个与此相关的文档，供参考：
8 J% F; I$ P, W) U
ARP欺骗相关的
解决方案：
http://hi.baidu.com/litiejun/blog/item/9e3ff0092e837a82d1581ba1.html/cmtid/0054a6443193544d510ffeb0#0054a6443193544d510ffeb09 v& Q# }* Q0 K2 L# H, [% I
网站挂马的解释：
http://hi.baidu.com/litiejun/blog/item/049d703d4f64ffef3c6d9738.html
