整理了一下思路，然后找了一台客户机(客户机全是windows)，先ping一下网关，发现居然ping不通，ping网内的另外一台机器则正常，重启网关再用客户机ping 网关则正常，毫无疑问，网络中了ARP欺骗病毒了。进系统目录，发现c:下有几个异常的文件，该名某个文件，居然不让操作，运行命令 arp –a 发现多行arp请求，看来是病毒引起的网络堵塞故障。不能把所有的机器都与网络段掉，当务之急是先找出当前正在作崇的主机然后隔离处理。

    问题解决：

    怎么辨别是网络中那台主机中毒厉害呢?网上已经有很多不错的办法。有人建议用抓包工具，然后分析抓到的包信息来确认中毒的主机，然而我手里没有任何抓包工具，看来只好自己想招了。经过摸索，总结了下面一些行之有效的办法，供大家参考!

    在客户机运行路由跟踪命令如 tracert –d www.163.com,马上就发现第一条不是网关机的内网ip，而是本网段内的另外一台机器的IP，再下一跳才是网关的内网IP;正常情况是路由跟踪执行后的输出第一条应该是默认网关地址，由此判定第一跳的那个非网关IP 地址的主机就是罪魁祸首。

    问题又出来了，由于网内的主机IP地址是通过DHCP自动获取来的，怎么找出这个主机又是一个难题，几十个机器，挨个用 ipconfig/all查非累死不可，怎么办?得走捷径才行。突然之间冒出一个念头:设置一个与查出来的中毒主机相同的IP地址，然后……，接下来，找一台客户端机器，查一下其自动获取的IP地址，没有那么幸运——这台机器不是要揪出来的那个IP，然后把这个主机的“自动获取IP地址”取消，手动设置机器的IP与有病毒的那个IP相同，设置生效后就听见一个妹妹嚷道:“我的IP地址怎么跟别人冲突了呢?”殊不知，我要找的就是你呢!把此妹妹的主机隔离网络，其他的机器上网立即恢复正常。

   查找出局域网的内鬼之后，问题自然就好解决了。

  

转截请注明:文章来自 pc捍卫者 http://www.pchwz.com 本站发布此文为传递更多信息之目的,不表明pc捍卫者赞同其观点