![4c4c16fcf873eb2824b391da3e930e95.png](https://i-blog.csdnimg.cn/blog_migrate/545cad459671b9a4023a8b2a32fb7893.jpeg)
0x00 前言
ARP病毒并不是某一种病毒的名称,而是对利用arp协议的漏洞进行传播的一类病毒的总称,目前在局域网中较为常见。发作的时候会向全网发送伪造的ARP数据包,严重干扰全网的正常运行,其危害甚至比一些蠕虫病毒还要严重得多。
0x01 应急场景
某天早上,小伙伴给我发了一个微信,说192.168.64.76 CPU现在负载很高,在日志分析平台查看了一下这台服务器的相关日志,流量在某个时间点暴涨,发现大量137端口的UDP攻击。
![afdb61f0f8381802cda45e40b92f461e.png](https://i-blog.csdnimg.cn/blog_migrate/b8a38152cb51c787c7957372a0704674.jpeg)
![90e9e5a84315e01cfc25b7ee6d909934.png](https://i-blog.csdnimg.cn/blog_migrate/7503f1012356a22094fee87e22d58254.jpeg)
0x02 分析过程
登录服务器,首先查看137端口对应的进程,进程ID为4对应的进程是SYSTEM,于是使用杀毒软件进行全盘查杀。
![b864c1af30c89803d66b889b7309cc79.png](https://i-blog.csdnimg.cn/blog_migrate/8a62c4782ef6756d0970bc0a374d45a0.jpeg)
卡巴斯基绿色版:http://devbuilds.kaspersky-labs.com/devbuilds/KVRT/latest/full/KVRT.exe
卡巴斯基、360杀毒、McAfee查杀无果,手工将启动项、计划任务、服务项都翻了一遍,并未发现异常。 本地下载了IpTool抓包工具,筛选条件: 协议 UDP 端口 137
![f44217b768fe4078e956d3fec9e84d6c.png](https://i-blog.csdnimg.cn/blog_migrate/9534638d1c6938dcd7d6d3e6cc32b8ae.jpeg)
可以明显的看出192.168.64.76发送的数据包是异常的,192.168.64.76的数据包目的地址,一直在变,目的MAC是不变的,而这个MAC地址就是网关的MAC。
端口137的udp包是netbios的广播包,猜测:可能是ARP病毒,由本机对外的ARP攻击。
采用措施:通过借助一些安全软件来实现局域网ARP检测及防御功能。
服务器安全狗Windows版下载:http://free.safedog.cn/server_safedog.html
网络防火墙--攻击防护--ARP防火墙:
![d3aaeb3aaa8a11287031a25833501d2f.png](https://i-blog.csdnimg.cn/blog_migrate/b9370e459c2a6a6c990f96f1eaf39b72.jpeg)
虽然有拦截了部分ARP请求,但流量出口还是有一些137 UDF的数据包。
看来还是得下狠招,关闭137端口:禁用TCP/IP上的NetBIOS。
1)、禁用Server服务
![4b405125c9d53ff2a814777e41e86001.png](https://i-blog.csdnimg.cn/blog_migrate/52637fc293b0c3a33a4a1fc052240981.jpeg)
2)、禁用 TCP/IP 上的 NetBIOS
![484ecaf10e88976c7b90c56a4c06a00a.png](https://i-blog.csdnimg.cn/blog_migrate/88bcb5599ab0ae04923cdbce5078cbc3.jpeg)
设置完,不用重启即可生效,137端口关闭,观察了一会,对外发起的请求已消失,CPU和网络带宽恢复正常。
0x04 防护措施
局域网安全防护依然是一项很艰巨的任务,网络的安全策略,个人/服务器的防毒机制,可以在一定程度上防止病毒入侵。另外不管是个人PC还是服务器,总还是需要做一些基本的安全防护:
1、关闭135/137/138/139/445等端口 2、更新系统补丁