3、ARP攻击造成的问题

　　所谓ARP攻击就是内网某台主机伪装成网关，欺骗内网其他主机将所有发往网关的信息发到这台主机上。一般来说，ARP攻击有两种情况，一种是将自己伪装成网关，让所有发往网关的信息发往自己，然后不做处理，导致用户发出去的信息有去无回，属于恶做剧类型。另一种则是将欺骗来的信息，继续发往网关，再将网关返回的信息转发给用户，自己做一次中继。但是由于此台主机的数据处理转发能力远远低于网关，所以就会导致大量信息堵塞，网速越来越慢，甚至造成网络瘫痪，这样做的目的就是为了截取用户的信息，盗取诸如网络游戏帐号，QQ密码等用户信息。

　　当局域网内某台主机运行ARP欺骗的木马程序时，其他用户原来直接通过路由器上网现在转由通过病毒主机上网，切换的时候用户会断一次线。当ARP欺骗的木马程序停止运行时，用户会恢复从路由器上网，切换过程中用户会再断一次线。在路由器的“历史系统记录”中，可以看到大量如下信息：
　　MAC Chged 10.128.103.124
　　MAC Old 00:01:6c:36:d1:7f
　　MAC New 00:05:5d:60:c7:18
　　这个消息代表了用户的MAC地址发生了变化，在ARP欺骗木马开始运行的时候，局域网所有主机的MAC地址更新为病毒主机的MAC地址。既然我们已经知道了使用ARP欺骗木马的主机的MAC地址，那么我们就可以使用NBTSCAN工具来快速查找它。NBTSCAN可以取到PC的真实IP地址和MAC地址，如果有”传奇木马”在做怪，可以找到装有木马的PC的IP和MAC地址。当然，如果用HiPER对内网的用户实施IP/MAC绑定的话，用户就不能随便改变自己的MAC地址，也就可以避免ARP攻击这样的事情了。

　　当然，随着网络技术的不断发展，给内网管理也不断提出新的问题与挑战，因此，对于内网的管理也要本着与时俱进的态度，不断的完善与发展。