近期，一種新型的“ ARP 欺騙”木馬病毒正在校園網中擴散，嚴重影響了校園網的正常運行。感染此木馬的計算機試圖通過“ ARP 欺騙”手段截獲所在網絡內其它計算機的通信信息，并因此造成網內其它計算機的通信故障。ARP欺騙木馬的中毒現象表現為：使用校園網時會突然掉線，過一段時間后又會恢復正常。比如客戶端狀態頻頻變紅，用戶頻繁斷網，IE瀏覽器頻繁出錯，以及一些常用軟件出現故障等。

　　如果校園網是通過身份認證上網的，會突然出現可認證，但不能上網的現象(無法ping通網關)，重啟機器或在MS-DOS窗口下運行命令arp -d后，又可恢復上網。ARP欺騙木馬十分猖狂，危害也特別大，各大學校園網、小區網、公司網和網吧等局域網都出現了不同程度的災情，帶來了網絡大面積癱瘓的嚴重后果。ARP欺騙木馬只需成功感染一臺電腦，就可能導致整個局域網都無法上網，嚴重的甚至可能帶來整個網絡的癱瘓。

　　該木馬發作時除了會導致同一局域網內的其他用戶上網出現時斷時續的現象外，還會竊取用戶密碼。如盜取QQ密碼、盜取各種網絡游戲密碼和賬號去做金錢交易，盜竊網上銀行賬號來做非法交易活動等，這是木馬的慣用伎倆，給用戶造成了很大的不便和巨大的經濟損失。大家可能會有疑問什么是ARP欺騙?

　　ARP(Address Resolution Protocol，地址解析協議)是一個位于TCP/IP協議棧中的低層協議，負責將某個IP地址解析成對應的MAC地址。

　　什么是ARP欺騙?

　　ARP(Address Resolution Protocol，地址解析協議)是一個位于TCP/IP協議棧中的低層協議，負責將某個IP地址解析成對應的MAC地址。

　　從影響網絡連接通暢的方式來看，ARP欺騙分為二種，一種是對路由器ARP表的欺騙;另一種是對內網PC的網關欺騙。

　　第一種ARP欺騙的原理是——截獲網關數據。它通知路由器一系列錯誤的內網MAC地址，并按照一定的頻率不斷進行，使真實的地址信息無法通過更新保存在路由器中，結果路由器的所有數據只能發送給錯誤的MAC地址，造成正常PC無法收到信息。第二種ARP欺騙的原理是——偽造網關。它的原理是建立假網關，讓被它欺騙的PC向假網關發數據，而不是通過正常的路由器途徑上網。在PC看來，就是上不了網了，“網絡掉線了”。

　　如何檢查和處理“ ARP 欺騙”木馬的方法

　　1 .檢查本機的“ ARP 欺騙”木馬染毒進程

　　同時按住鍵盤上的“ CTRL ”和“ ALT ”鍵再按“ DEL ”鍵，選擇“任務管理器”，點選“進程”標簽。察看其中是否有一個名為“ MIR0.dat ”的進程。如果有，則說明已經中毒。右鍵點擊此進程后選擇“結束進程”。參見右圖。

　　2 .檢查網內感染“ ARP 欺騙”木馬染毒的計算機

　　在“開始” - “程序” - “附件”菜單下調出“命令提示符”。輸入并執行以下命令：

　　ipconfig

　　記錄網關 IP 地址，即“ Default Gateway ”對應的值，例如“ 59.66.36.1 ”。再輸入并執行以下命令：

　　arp –a

　　在“ Internet Address ”下找到上步記錄的網關 IP 地址，記錄其對應的物理地址，即“ Physical Address ”值，例如“ 00-01-e8-1f-35-54 ”。在網絡正常時這就是網關的正確物理地址，在網絡受“ ARP 欺騙”木馬影響而不正常時，它就是木馬所在計算機的網卡物理地址。

　　也可以掃描本子網內的全部 IP 地址，然后再查 ARP 表。如果有一個 IP 對應的物理地址與網關的相同，那么這個 IP 地址和物理地址就是中毒計算機的 IP 地址和網卡物理地址。