提防局域网内的“窃听”

2007-07-07

今天，我的电脑出现了很奇怪的现象(如下)，研究之后发现：即使自己的电脑没有中毒，而局域网里的其他电脑中毒了，那自己的密码也很有可能被盗取。
1. 首先是发现无法上网
2. 尝试ping网关，发现无法ping不通，于是修改自己的IP地址，结果能上网了
3. 再尝试ping网关，发现速度很慢，反应的时间居然要几百到几千ms，正常应该是time<1ms
4. 继续ping网关，又完全ping不通了，而且也上不了网了
5. 再修改自己的IP址址，可以上网，但几分钟后又出现上面的问题，结果只能不断修改IP才能上网，并且发现使用过的IP不能再用
6. 尝试打开网页的时候，无意间看到cc. wzxqy. com的地址，在几分钟的上网时间里查了一下，原来是跟病毒有关的网址

查找问题过程：
看上去应该是中了病毒，但是我的kv2007一点动静都没有，查也查不到，于是又下载了瑞星2007，也查不到，再去下载NOD32，也没查到。最后只能把拿出半年前备份好的ghost，把系统恢复到半年前刚装好的状态，结果问题还是没有解决。

仔细想想，应该是自己的IP被封了，而不是我的电脑的问题。难道是路由被别人hack了，于是拿牙签把路由reset了，reset完之后发现马上就能ping通了，看来真的不是我的电脑的问题。但很快，问题又回来了，看来也不是路由被hack。

剩下的可能只有是局域网里那两台经常上网玩游戏的电脑。于是问他们今天有没有安装什么特别的软件，答案是没有，而且他们除了会玩电脑和上网，其它的基本上不会，看来是他们的电脑里的病毒的问题。

于是尝试把他们的网线从路由上拔掉，再修改自己的IP，结果问题全部没有了，而且感觉上网的速度好像还快了很多，ping网关的时间也正常<1ms。问题的根源找到了，正是他们电脑里的病毒在作恶。

结果：
上网搜索“局域网IP被封”，发现有病毒可以通过“ARP欺骗”盗取网游、QQ密码。

“ARP欺骗”的原理简单点说，就是在你发请求给网关的时候，病毒所在的电脑冒充网关，截获你的请求内容（里面可能包含密码），病毒检查完你的请求内容后，才把请求发给网关。而当网关想把信息回复给你的时候，病毒所在的电脑又冒充成你的电脑，截获回复的内容，病毒检查完你的请求内容后，才把回复的内容再发给你的电脑。

情况就是你的电脑和网关之间，多了一个间谍在查看你的通信，所以会发现在ping网关的时候，反应的时候不是1ms，而是几百ms。由于所有与网关之间的通信都要经过病毒所在的电脑，而那台电脑的负荷过大，结果无法及时完成信息传递的功能，导致你的电脑收不到信息而无法上网。修改IP之后，病毒需要一点时间来重新发现你的电脑，然后再冒充你的电脑，所以有几分钟可以上网的时间。

结论：
可见，电脑和网关之间的通信，全部被病毒查看过，如果里面包含了病毒“看得懂”的密码，那么病毒就会把密码发送到病毒发布者的手里了。

也就是说，即使自己的电脑没有中毒，而局域网里的其他电脑中毒了，那自己的密码也很有可能被盗取。

解决方法：
1. 杀毒
2. 在你自己的电脑上，设定网关的IP里址和MAC地址的对应关系：
建一个ip_mac.bat文件，内容如下，把它放个“开始”->”程序”->”启动”里面，以便每次开机的时候都会运行
@echo off arp -d arp -s 192.168.1.1 00-11-22-33-44-55
把上面的IP地址换成你的网关的IP地址，把00-11-22-33-44-55换成你的路由的MAC地址
3. 在路由器上设置IP地址与MAC址址绑定，但不是每台路由都有，一般的家用路由似乎都没有这个功能，我的HG520s也没有这个功能

相关文章