如何能夠快速檢測定位出局域網中的ARP病毒電腦？

　　面對著局域網中成百臺電腦， 一個一個地檢測顯然不是好辦法。 其實我們只要利用ARP病毒的基本原理：發送偽造的ARP欺騙廣播， 中毒電腦自身偽裝成網關的特性， 就可以快速鎖定中毒電腦。 可以設想用程序來實現以下功能：在網絡正常的時候， 牢牢記住正確網關的IP地址和MAC地址， 并且實時監控著來自全網的ARP數據包， 當發現有某個ARP數據包廣播， 其IP地址是正確網關的IP地址， 但是其MAC地址竟然是其它電腦的MAC地址的時候， 這時， 無疑是發生了ARP欺騙。 對此可疑MAC地址報警， 在根據網絡正常時候的IP－MAC地址對照表查詢該電腦， 定位出其IP地址， 這樣就定位出中毒電腦了。 下面詳細說一下如何利用命令行方式檢測ARP中毒電腦的方法。

　　命令行法

　　這種方法比較簡便， 不利用第三方工具， 利用系統自帶的ARP命令即可完成。 當局域網中發生ARP欺騙的時候， ARP病毒電腦會向全網不停地發送ARP欺騙廣播， 這時局域網中的其它電腦就會動態更新自身的ARP緩存表， 將網關的MAC地址記錄成ARP病毒電腦的MAC地址， 這時候我們只要在其它受影響的電腦中查詢一下當前網關的MAC地址， 就知道中毒電腦的MAC地址了， 查詢命令為 ARP －a， 需要在cmd命令提示行下輸入。 輸入后的返回信息如下：

　　Internet Address Physical Address Type

　　192.168.0.1 00-50-56-e6-49-56 dynamic

　　這時， 由于這個電腦的ARP表是錯誤的記錄， 因此， 該MAC地址不是真正網關的MAC地址， 而是中毒電腦的MAC地址！這時， 再根據網絡正常時， 全網的IP—MAC地址對照表， 查找中毒電腦的IP地址就可以了。 由此可見， 在網絡正常的時候， 保存一個全網電腦的IP—MAC地址對照表是多么的重要。 可以使用nbtscan工具掃描全網段的IP地址和MAC地址， 保存下來， 以備后用。