OSII七层参考模型
┌─────┐
│ 应用层 │←第七层
├─────┤
│ 表示层 │
├─────┤
│ 会话层 │
├─────┤
│ 传输层 │
├─────┤
│ 网络层 │
├─────┤
│数据链路层│
├─────┤
│ 物理层 │←第一层
└─────┘
- 数据链路层组成：
介质存取控制(MAC)
逻辑链路控制(LLC)
域是在数据链路层定义的。
- 网络层：
连接、寻址、流量控制、错误检查、IP路由器。
- 传输层：
端到端间的数据流服务。包括：流控、多点传输、虚电路建立、维护、终止的管理、差错及恢复。
- 会话层：
建立、管理、终止、表示层与实体之间的通信会话。
- 表示层：
提供多种功能用于应用层数据编码及转化，以确保应用层间通信可互相识别。表示层的编码与转化包括：公用数据表示格式、性能转化表示格式（ASCII编码）、公用数据压缩模式和公用数据加密模式。
比喻：
* 7 应用层：老板
* 6 表示层：相当于公司中简报老板、替老板写信的助理
* 5 会话层：相当于公司中收寄信、写信封与拆信封的秘书
* 4 传输层：相当于公司中跑邮局的送信职员
* 3 网络层：相当于邮局中的排序工人
* 2 数据链路层：相当于邮局中的装拆箱工人
* 1 物理层：相当于邮局中的搬运工人
TCP/IP四层参考模型
┌────────┐┌─┬─┬─┬─┬─┬─┬─┬─┬─┬─┬─┐
│ ││Ｄ│Ｆ│Ｗ│Ｆ│Ｈ│Ｇ│Ｔ│Ｉ│Ｓ│Ｕ│ │
│ ││Ｎ│Ｉ│Ｈ│Ｔ│Ｔ│Ｏ│Ｅ│Ｒ│Ｍ│Ｓ│其│
│第四层，应用层 ││Ｓ│Ｎ│Ｏ│Ｐ│Ｔ│Ｐ│Ｌ│Ｃ│Ｔ│Ｅ│ │
│ ││ │Ｇ│Ｉ│ │Ｐ│Ｈ│Ｎ│ │Ｐ│Ｎ│ │
│ ││ │Ｅ│Ｓ│ │ │Ｅ│Ｅ│ │ │Ｅ│它│
│ ││ │Ｒ│ │ │ │Ｒ│Ｔ│ │ │Ｔ│ │
└────────┘└─┴─┴─┴─┴─┴─┴─┴─┴─┴─┴─┘
┌────────┐┌─────────┬───────────┐
│第三层，传输层 ││ ＴＣＰ │ ＵＤＰ │
└────────┘└─────────┴───────────┘
┌────────┐┌─────┬────┬──────────┐
│ ││ │ＩＣＭＰ│ │
│第二层，网间层 ││ └────┘ │
│ ││ ＩＰ │
└────────┘└─────────────────────┘
┌────────┐┌─────────┬───────────┐
│第一层，网络接口││ＡＲＰ／ＲＡＲＰ │ 其它 │
└────────┘└─────────┴───────────┘
在XP下可以在cmd下输入netstat -nao,然后到任务管理器中看看是哪个进程把指定的端口给打开使用的.
命令中的最后一列是打开端口的PID号,如果任务管理器中看不到PID,则在菜单上的”查看”-”选择列…”,在打开的对话框中选中”PID(进程标识符)”.
一、U盘病毒简述：
U盘(自动运行)类病毒(auto病毒)近来非常常见，并且具有一定程度危害，它的机理是依赖Windows的自动运行功能，使得我们在点击打开磁盘的时候，自动执行相关的文件。目前我们使用U盘都十分频繁，当我们享受U盘所带来的方便时，U盘病毒也在悄悄利用系统的自动运行功能肆意传播，目前流行的 U盘病毒文件大家甚至耳熟能详了，比如经常有网友问的SSS.EXE SXS.EXE如何查杀这类的，下面我们将对U盘病毒极其特性和防范办法进行分析总结。
二、特性分析：
所谓的自动运行功能是指Windows系统一种方便特性，使当光盘、U盘插入到机器自动运行，而这种特性的实现就是通过磁盘跟目录下的 autorun.inf文件进行。这个文件保存在驱动器的根目录下(一般会是一个隐藏属性的系统文件)，它保存着一些简单的命令，告知系统新插入的光盘或 U盘应该自动启动什么程序等。
常见的Autorun.inf文件格式大致如下：
[AutoRun] //表示AutoRun部分开始，必须输入
icon=C:\C.ico //指定给C盘一个个性化的盘符图标C.ico
open=C:\1.exe //指定要运行程序的路径和名称，只要在此放入病毒程序就可自动运行；
在Windows系统有允许和阻止自动运行的键值的方法：
在注册表中找到如下键：
键路径：[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Exploer]
在右侧窗格中有 "NoDriveTypeAutoRun"这个键决定了是否执行Autorun功能.其中每一位代表一个设备,不同设备用以下数值表示:
设备名称 第几位 值 设备用如下数值表示 设备名称含义
DRIVE_UNKNOWN 0 1 01h 不能识别的类型设备
DRIVE_NO_ROOT_DIR 1 0 02h 没有根目录的驱动器
DRIVE_REMOVABLE 2 1 04h 可移动驱动器
DRIVE_FIXED 3 0 08h 固定的驱动器
DRIVE_REMOTE 4 1 10h 网络驱动器
DRIVE_CDROM 5 0 20h 光驱
DRIVE_RAMDISK 6 0 40h RAM磁盘
其中： 保留 7 1 80h 未指定的驱动器类型
以上值"0"表示设备运行，"1"表示设备不运行。
从上面可以看出，对应的DRIVE_NO_ROOT_DIR、DRIVE_FIXED、DRIVE_CDROM、DRIVE_RAMDISK是可以自动运行的。所以要禁止硬盘自动运行AutoRun.inf文件，就必须将DRIVE_FIXED这些键的值设为1，由于DRIVE_FIXED代表固定的驱动器(即硬盘)。如果仅想禁止软件光盘的AutoRun功能，但又保留对CD音频碟的自动播放能力，这时只需将“NoDriveTypeAutoRun”的键值改为：BD,00,00,00即可。
U盘病毒就是利用这种系统特性，一般在感染后会修改系统的注册表，将显示所有文件的选项设置为禁止。甚至修改磁盘关联，杀毒软件一般会只把病毒文件清除， 但对残余的文件不会处理。这也是常见的杀毒软件为什么常常无法清除干净，或者清除后双击无法打开磁盘的原因。
三、解决方案：
①根据上面的原理，自己修改注册表禁止磁盘的自动运行特性。
②把文件夹选项中隐藏受保护的操作系统文件钩掉，选中显示所有文件和文件夹，点击确定。这样可以在感染病毒的移动存储设备中会看到几个文件(包括autorun.inf和病毒文件)，删除后，病毒就清除了。
第一步，搜索攻击目标打开搜索引擎，搜索“Pragram by Dlog”，可以找到许多博客页面，这些博客都是使用“Dlog破废墟修改版”建立的。我们要找的叶面是存在暴库漏洞的1.2版本。许多用户都忽视了这个版本中内嵌的eWebEditor在线编辑数据库的安全性，致使黑客可以使用默认的路径进行下载。
第二步，获取管理员密码
在搜索结果列表中挑一个攻击目标：http://s*.8888.com/blog/，用浏览器打开这个地址，在后面加上eWebEditor/db/e/eWebEditor.mdb并回车，下载数据库。
打开这个数据库，在数据库的“eWebEditor_system”列中可以看到管理员的用户名和密码。由于密码都是经过MD5加密的，因此找一个MD5 密码暴力破解器计算机分钟或几天，就可得到密码。不过据经验，只要能下载这个数据库，就说明管理员极有可能没有更改默认的登陆密码，如果看到MD5密码为 “7a57a5a743894a0e”，那么密码就是默认的“admin”。现在，我们可以进入eWebEditor后台在线编辑页面了。
第三步，控制服务器
在博客的地址后加上“eWebEditor/admin_login.asp”即可打开eWebEditor后台在线编辑页面。输入默认的用户名和密码“admin”即可顺利登陆博客的后台管理页面。
新添加一个博客样式，返回样式管理页面。在样式列表中找到刚才添加的样式，并点击样式名后的“设置”按钮，就可使用新的博客样式。
退出管理页面后进行注册并登陆博客，然后发一篇帖子并选择上传文件，此时我们可以上传ASP木马以便控制整个服务器。
漏洞二：文件上传漏洞
第一步，搜索存在漏洞的博客
找到任意一个目标后，首先要测试博客管理员是否将上传网页程序文件删除了，如果用户有一些安全意识，有可能会将默认的上传网页文件删除掉，这时就不行了。
我们选“http://www.88888.net/workingbird” ,在地址后添加“/upfile.asp”后回车，如果看到的提示信息为“Microsoft VBScript运行时错误 错误‘800a01b6’”之类的信息，表示该博客网站存在着文件上传漏洞。
第二步，展开攻击
运行“网站上传利用工具”，在“提交地址”中输入upfile.asp上传文件的所在地址，然后在“上传路径”中指定上传木马文件后的保存路径，我们一般将它保存在网站根目录下。“路径字段”和“文件字段”使用默认的设置就可以了，在“允许类型”中输入博客系统允许上传的图片类型。在“本地文件”后点击 “浏览”选择本地的一个ASP木马，可以选择海洋顶端网木马。
现在点击“提交”按钮，即可上传木马，如果看到信息“1 file had been uploaded!”，则表示文件上传成功。接下来，我们就可以连接上传后的ASP木马进一步渗透攻击，达到控制整个网站服务器的目的。
漏洞三：SQL注入漏洞
第一步，扫描博客中的注入漏洞
以博客“http://202.112.*.***/dlog/”作为目标。可以使用工具（如NBSI 2 SQL自动注入攻击器）进行SQL注入。运行程序，点击工具栏中的“网站扫描”，在“网站地址”中输入博客网址，勾选“全面扫描”项，点击“扫描”后，就可以对博客网站中存在的所有注入漏洞进行扫描。
第二步，开始攻击
在扫描结果列表中任意选一个目标“http://202.112.*.***/dlog/showlog.asp?log_id=402”，然后点击界面下方的“注入分析”进入“注入攻击”页面。点击“检测”按钮，结果显示“赞为监测到注入漏洞”！
不要紧，我们用1=1检测法。在注入浏览器地址栏中的末尾分别加上“and 1=1”和“and 2=2”，查看两者返回页面的信息中有什么不同。并记下在“and 1=1”页面中出现过，但是在“and 2=2”中未出现过的字符串，并将其输入NBSI 2界面的“特征字符串”。
现在点击“再检测”，很快就可看到注入检测的结果。由于数据库是Access数据库，所以程序会自动猜解数据库中的表名和列名，点击窗口中的“自动猜解”，即可猜测可能存在的数据库表名，默认的表名为“user_mdb”。再利用自动猜解得到表中的列名等数据信息。然后自动猜解表中的用户数据，从而得到管理员的MD5加秘密码。最后使用MD5密码破解工具暴力破解，登陆后台管理页面，成功入侵。
漏洞四：cookies欺骗漏洞
第一步，搜索目标
搜索关键词“Powered by L-Blog”，选择“http://***.*****.***/blog”作为攻击目标。
第二步，查询cookies信息
这里要用到一款可以修改cookies信息的工具。打开程序，输入博客网站的地址并登陆，查看当前的cookies信息，其中包含了我们的登陆用户名和密码等信息。
第三步，“欺骗”攻击
现在要对cookies信息进行修改，欺骗博客程序，使它以为登陆用户的身份是管理员。此时可直接对cookies信息进行修改。
我们只修改“menStatus=SupAdmin”，其它内容保留，然后继续保持工具栏中的“锁”为按下状态。现在，退出当前的用户登陆状态，重新打开该博客首页。此时会显示我们没有登陆，然而我们已经拥有了管理员的权限。
用国内IP从第一次打开后就一直无法直接访问 Planet Firefox Fan – Greater China , VeryCd 最近也常打开困难，google 搜索的一些小站也时常返回解析错误。
“无力的”OpenDNS
当 Genthelvite 换用国外IP后，上述所有“问题网站”都彻底正常了。可见
OpenDNS 解析出来的Blog的地址和国内的不一样或者
无法正常解析，还需要做更多测试进一步验证。
某坛子中的热点话题，Genthelivte 说两句，并不是想争论什么谁对谁错的，而是想从多重角度去思考。
kiki911 《说读书无用的绝对是弱智！》
我看说读书无用的都是小孩子，很少有超过30岁还说读书无用的。
我只说大概率事件，不说小概率时间。
先说业务员。年轻的时候你无所谓学历，因为你是一张白纸。但低学历的业务员不太可能接触到客户的高层，你的见识和人脉档次都会有所限制。等30岁，你的精力，体力都不如比你更年轻的低学历者的时候，你就会被淘汰。
再说大面上的。低学历者，起步一般不会很高。这意味着必须比高学历者付出更多的努力才会获得一定成绩。即便你有本科学历，在公司干到中层干部之后，竞聘高层领导职位的时候，硕士以上学位会成为你不可逾越的障碍。你要知道，天下和你能力一样的人，学历比你高的人大有人在。
此外，学历的高低直接关系到你的见识、谈吐、修养和人脉。最重要的是人脉。无论你是做业务，还是做研发，还是做其他工作，学历高低都会影响到你的人脉圈子的含金量。
为什么很多名校本科毕业的人，做到中高层领导之后还要进修MBA，EMBA，是因为他们在学识上遇到了瓶颈，管理知识和商务眼光出现了瓶颈。此外，很多这样的人聚在一起，本身就是人脉的积累。现在流行在学习中结交商务上的伙伴和朋友。
所以，说学历无用论纯属扯JB蛋。人这辈子，比买房买车重要的事情多的是。我房也有，车也有，唯独缺乏的是一张硕士文凭。我面临很大的挑战，我必须进修完这个硕士。
Genthelvite
文凭是文凭、读书是读书，概念先不要混为一谈。标题“说读书无用的绝对是弱智！”本身就是没错的，所以不置讨论，如果意思改为“说文凭无用的XXXXX”似乎更值得讨论些。低学历者比如我上学那会每年阅读300本左右书现在不比本科/研究生知识少，文凭虽然重要，但那部分成功的高学历者决不是仅因为学历高而成功，而是因为自身某些因素在其它方面修为高人一筹。文凭效应目前主要影响的仍是机关/职位岗位环境，在目前的特色社会中 成功公式陈安之先生已总结出了：知识30%+人脉70%=成功，这点可以从中国首富排名榜中看出占大头（40%）是做制造（代加工）和不固定产（房地产）投机生意的首富。为什么能发财？工厂靠的是廉价劳动力（主要民工），不动产等投机者主要靠的是结交了绝大多数常人无法接触的金字塔顶层人士间的不透明的最新内部交流消息。知道国内存在着炒股是只赚不赔的灵通人士吗？
所以，我认为文凭对致富的影响比重，掌握国内大部分财富的这部分人应该比我们更有发言权。
Genghelvie’Blog 有段时间更新频率不高了，没有了刚建时那几个月一天发1-3帖子的激情，是丰富扩展下内容做成大众化综合型流水账式Blog呢，还是继续写些纯技术性的东东。其它网站张贴的好文或新闻不想转帖，自己技术成长丰富的同时有些东东懒得写更怕被准高手们笑，写得太繁琐又有卖弄的嫌疑，过于直白、简单又显得浮浅，尺度不好把握唉，Genthelvite 文笔水平不高所以定位仍是“无废话和谐Blog”。想象现在未婚都没Post几篇Blog，结婚后就更……，总之，原因还是学习和写作时间还没安排好，时间管理方面的书也看了不少，但仍没真正下决心贯彻执行计划，思维常打岔、总会轻易被其它事物焦点转移。写好Blog是门学问，但能坚持下去就更不容易了啊。
豆腐，细软洁白，鲜嫩可口，是人们餐桌上经常可以见到的一道莱肴。豆腐多以黄豆制成，蛋白质含量很高，故有“植物肉”的美称，被营养学家一致推荐为“人类理想的营养食物”。
豆腐除营养价值外，还有许多药用功能。豆腐味甘，性凉，有清热，润燥、解毒、补中、宽肠、降浊等功效。利用这些功效，中医以豆腐的“清热、解毒”和“生津”的作用，经常治疗胃肠热证和阴证，作为食疗的方法，效果不错。但是，胃肠寒证、虚证患者，就不应该吃豆腐，吃后会感到明显的不适，如腹胀、腹泻等。
胡医生经常见到一些有脾胃虚寒的胃肠病患者，看到豆腐细软柔嫩，就想像它一定很容易消化，对胃肠不会有什么副作用，于是，豆腐就成了他们膳食中主要的食品了，你看：早晨吃豆腐脑、喝豆浆，中午吃虎皮豆腐、晚上小葱拌豆腐。结果呢，一天到晚总是感到胃部饱满、腹部憋胀，大便稀泻，不想吃饭；而一旦停止吃豆腐后，症状就会缓解。
一般来说，腹胀、腹泻、食欲不振在中医属于脾虚、脾寒的范畴。中医认为，具有寒凉之性的药物与食物，可治疗热证；但是将它们用于虚证和寒证，就会起到相反的作用，使病情加重。豆腐正是具有寒凉之性的食品，胃肠虚证或寒证的人吃了它，自然会加重病情、引起腹胀和腹泻。
现代营养学的研究也发现：豆制品（包括豆腐、豆浆、豆腐脑、植物蛋白肉等黄豆制品）中有数种抗营养因子，其中两种是与胃肠道有关的，一种是胰蛋白酶抑制素，是能抑制体内蛋白酶活动的一种物质，如摄入过多，会影响对蛋白质的消化，井对胃肠有刺激作用，出现恶心呕吐等中毒症状；另一种是肠胃胀气因子，它能使人产生腹胀、腹泻以及消化不良等现象。请参看胃肠道胀气
以上说明：豆腐鲜嫩可口、营养丰富，对于正常人来说，是一种很好的营养食品。但对于慢性胃肠病、尤其是脾胃虚寒的患者，则不太适合食用豆腐，因为会引起胃肠道症状。所以，这些人在患病期间应该少食或不食豆腐。
豆腐的制作和烹调也很有学问。胰蛋白酶抑制素和肠胃胀气因子较耐高温，因此以高温对豆腐蒸、煮或炖的时间长一些，上两种物质才能被破坏掉。俗话说“千滚豆腐万滚鱼”，不但说明了豆腐的烹调方法，更是科学烹调的经验之谈。
1. ARP概念
咱们谈ARP之前，还是先要知道ARP的概念和工作原理，理解了原理知识，才能更好去面对和分析处理问题。
1.1 ARP概念知识
ARP，全称Address Resolution Protocol，中文名为地址解析协议，它工作在数据链路层，在本层和硬件接口联系，同时对上层提供服务。
IP数据包常通过以太网发送，以太网设备并不识别32位IP地址，它们是以48位以太网地址传输以太网数据包。因此，必须把IP目的地址转换成以太网目的地址。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。ARP协议用于将网络中的IP地址解析为的硬件地址（MAC地址），以保证通信的顺利进行。
1.2 ARP工作原理
首先，每台主机都会在自己的ARP缓冲区中建立一个 ARP列表，以表示IP地址和MAC地址的对应关系。当源主机需要将一个数据包要发送到目的主机时，会首先检查自己 ARP列表中是否存在该 IP地址对应的MAC地址，如果有﹐就直接将数据包发送到这个MAC地址；如果没有，就向本地网段发起一个ARP请求的广播包，查询此目的主机对应的 MAC地址。此ARP请求数据包里包括源主机的IP地址、硬件地址、以及目的主机的IP地址。网络中所有的主机收到这个ARP请求后，会检查数据包中的目的IP是否和自己的IP地址一致。如果不相同就忽略此数据包；如果相同，该主机首先将发送端的MAC地址和IP地址添加到自己的ARP列表中，如果ARP 表中已经存在该IP的信息，则将其覆盖，然后给源主机发送一个 ARP响应数据包，告诉对方自己是它需要查找的MAC地址；源主机收到这个ARP响应数据包后，将得到的目的主机的IP地址和MAC地址添加到自己的 ARP列表中，并利用此信息开始数据的传输。如果源主机一直没有收到ARP响应数据包，表示ARP查询失败。
例如：
A的地址为：IP：192.168.10.1 MAC: AA-AA-AA-AA-AA-AA
B的地址为：IP：192.168.10.2 MAC: BB-BB-BB-BB-BB-BB
根据上面的所讲的原理，我们简单说明这个过程：A要和B通讯，A就需要知道B的以太网地址，于是A发送一个ARP请求广播（谁是192.168.10.2 ，请告诉192.168.10.1），当B收到该广播，就检查自己，结果发现和自己的一致，然后就向A发送一个ARP单播应答（192.168.10.2 在BB-BB-BB-BB-BB-BB）。
1.3 ARP通讯模式
通讯模式（Pattern Analysis）：在网络分析中，通讯模式的分析是很重要的，不同的协议和不同的应用都会有不同的通讯模式。更有些时候，相同的协议在不同的企业应用中也会出现不同的通讯模式。ARP在正常情况下的通讯模式应该是：请求 -> 应答 -> 请求 -> 应答，也就是应该一问一答。
2. 常见ARP攻击类型
个人认为常见的ARP攻击为两种类型：ARP扫描和ARP欺骗。
2.1 ARP扫描（ARP请求风暴）
通讯模式（可能）：
请求 -> 请求 -> 请求 -> 请求 -> 请求 -> 请求 -> 应答 -> 请求 -> 请求 -> 请求…
描述：
网络中出现大量ARP请求广播包，几乎都是对网段内的所有主机进行扫描。大量的ARP请求广播可能会占用网络带宽资源；ARP扫描一般为ARP攻击的前奏。
出现原因（可能）：
*病毒程序，侦听程序，扫描程序。
*如果网络分析软件部署正确，可能是我们只镜像了交换机上的部分端口，所以大量ARP请求是来自与非镜像口连接的其它主机发出的。
*如果部署不正确，这些ARP请求广播包是来自和交换机相连的其它主机。
2.2 ARP欺骗
ARP协议并不只在发送了ARP请求才接收ARP应答。当计算机接收到ARP应答数据包的时候，就会对本地的ARP缓存进行更新，将应答中的IP和MAC地址存储在ARP缓存中。所以在网络中，有人发送一个自己伪造的ARP应答，网络可能就会出现问题。这可能就是协议设计者当初没考虑到的！
2.2.1 欺骗原理
假设一个网络环境中，网内有三台主机，分别为主机A、B、C。主机详细信息如下描述：
A的地址为：IP：192.168.10.1 MAC: AA-AA-AA-AA-AA-AA
B的地址为：IP：192.168.10.2 MAC: BB-BB-BB-BB-BB-BB
C的地址为：IP：192.168.10.3 MAC: CC-CC-CC-CC-CC-CC
正常情况下A和C之间进行通讯，但是此时B向A发送一个自己伪造的ARP应答，而这个应答中的数据为发送方IP地址是192.168.10.3（C的IP地址），MAC地址是BB-BB-BB-BB-BB-BB（C的MAC地址本来应该是CC-CC-CC-CC-CC-CC，这里被伪造了）。当A接收到B伪造的ARP应答，就会更新本地的ARP缓存（A被欺骗了），这时B就伪装成C了。同时，B同样向C发送一个ARP应答，应答包中发送方IP地址四192.168.10.1（A的IP地址），MAC地址是BB-BB-BB-BB-BB- BB（A的MAC地址本来应该是AA-AA-AA-AA-AA-AA），当C收到B伪造的ARP应答，也会更新本地ARP缓存（C也被欺骗了），这时B就伪装成了A。这样主机A和C都被主机B欺骗，A和C之间通讯的数据都经过了B。主机B完全可以知道他们之间说的什么：）。这就是典型的ARP欺骗过程。
注意：一般情况下，ARP欺骗的某一方应该是网关。
2.2.2 两种情况
ARP欺骗存在两种情况：一种是欺骗主机作为“中间人”，被欺骗主机的数据都经过它中转一次，这样欺骗主机可以窃取到被它欺骗的主机之间的通讯数据；另一种让被欺骗主机直接断网。
第一种：窃取数据（嗅探）
通讯模式：
应答 -> 应答 -> 应答 -> 应答 -> 应答 -> 请求 -> 应答 -> 应答 ->请求->应答…
描述：
这种情况就属于我们上面所说的典型的ARP欺骗，欺骗主机向被欺骗主机发送大量伪造的ARP应答包进行欺骗，当通讯双方被欺骗成功后，自己作为了一个“中间人“的身份。此时被欺骗的主机双方还能正常通讯，只不过在通讯过程中被欺骗者“窃听”了。
出现原因（可能）：
*木马病毒
*嗅探
*人为欺骗
第二种：导致断网
通讯模式：
应答 -> 应答 -> 应答 -> 应答 -> 应答 -> 应答 -> 请求…
描述：
这类情况就是在ARP欺骗过程中，欺骗者只欺骗了其中一方，如B欺骗了A，但是同时B没有对C进行欺骗，这样A实质上是在和B通讯，所以A就不能和C通讯了，另外一种情况还可能就是欺骗者伪造一个不存在地址进行欺骗。
对于伪造地址进行的欺骗，在排查上比较有难度，这里最好是借用TAP设备（呵呵，这个东东好像有点贵勒），分别捕获单向数据流进行分析！
出现原因（可能）：
* 木马病毒
*人为破坏
*一些网管软件的控制功能
3. 常用的防护方法
搜索网上，目前对于ARP攻击防护问题出现最多是绑定IP和MAC和使用ARP防护软件，也出现了具有ARP防护功能的路由器。呵呵，我们来了解下这三种方法。
3.1 静态绑定
最常用的方法就是做IP和MAC静态绑定，在网内把主机和网关都做IP和MAC绑定。
欺骗是通过ARP的动态实时的规则欺骗内网机器，所以我们把ARP全部设置为静态可以解决对内网PC的欺骗，同时在网关也要进行IP和MAC的静态绑定，这样双向绑定才比较保险。
方法：
对每台主机进行IP和MAC地址静态绑定。
通过命令，arp -s可以实现 “arp –s IP MAC地址 ”。
例如：“arp –s 192.168.10.1 AA-AA-AA-AA-AA-AA”。
如果设置成功会在PC上面通过执行 arp -a 可以看到相关的提示：
Internet Address Physical Address Type
192.168.10.1 AA-AA-AA-AA-AA-AA static(静态)
|
一般不绑定,在动态的情况下：
Internet Address Physical Address Type
192.168.10.1 AA-AA-AA-AA-AA-AA dynamic(动态)
|
说明：对于网络中有很多主机，500台，1000台…，如果我们这样每一台都去做静态绑定，工作量是非常大的。。。。，这种静态绑定，在电脑每次重起后，都必须重新在绑定，虽然也可以做一个批处理文件，但是还是比较麻烦的！
3.2 使用ARP防护软件
目前关于ARP类的防护软件出的比较多了，大家使用比较常用的ARP工具主要是欣向ARP工具，Antiarp等。它们除了本身来检测出ARP攻击外，防护的工作原理是一定频率向网络广播正确的ARP信息。我们还是来简单说下这两个小工具。
3.2.1 欣向ARP工具
俺使用了该工具，它有5个功能：
?
A. IP/MAC清单
选择网卡。如果是单网卡不需要设置。如果是多网卡需要设置连接内网的那块网卡。
IP/MAC扫描。这里会扫描目前网络中所有的机器的IP与MAC地址。请在内网运行正常时扫描，因为这个表格将作为对之后ARP的参照。
之后的功能都需要这个表格的支持，如果出现提示无法获取IP或MAC时，就说明这里的表格里面没有相应的数据。
?
B. ARP欺骗检测
这个功能会一直检测内网是否有PC冒充表格内的IP。你可以把主要的IP设到检测表格里面，例如，路由器，电影服务器，等需要内网机器访问的机器IP。
(补充)“ARP欺骗记录”表如何理解：
“Time”：发现问题时的时间；
“sender”：发送欺骗信息的IP或MAC；
“Repeat”：欺诈信息发送的次数；
“ARP info”：是指发送欺骗信息的具体内容.如下面例子：
time sender Repeat ARP info 22:22:22 192.168.1.22 1433 192.168.1.1 is at 00:0e:03:22:02:e8
这条信息的意思是：在22:22:22的时间,检测到由192.168.1.22发出的欺骗信息，已经发送了1433次，他发送的欺骗信息的内容是：192.168.1.1的MAC地址是00:0e:03:22:02:e8。
打开检测功能，如果出现针对表内IP的欺骗，会出现提示。可以按照提示查到内网的ARP欺骗的根源。提示一句，任何机器都可以冒充其他机器发送IP与MAC，所以即使提示出某个IP或MAC在发送欺骗信息，也未必是100％的准确。所有请不要以暴力解决某些问题。
?
C. 主动维护
这个功能可以直接解决ARP欺骗的掉线问题，但是并不是理想方法。他的原理就在网络内不停的广播制定的IP的正确的MAC地址。
“制定维护对象”的表格里面就是设置需要保护的IP。发包频率就是每秒发送多少个正确的包给网络内所有机器。强烈建议尽量少的广播IP，尽量少的广播频率。一般设置1次就可以，如果没有绑定IP的情况下，出现ARP欺骗，可以设置到50 －100次，如果还有掉线可以设置更高，即可以实现快速解决ARP欺骗的问题。但是想真正解决ARP问题，还是请参照上面绑定方法。
?
D. 欣向路由器日志
收集欣向路由器的系统日志，等功能。
?
E. 抓包
类似于网络分析软件的抓包，保存格式是.cap。
3.2.1 Antiarp
这个软件界面比较简单，以下为我收集该软件的使用方法。
A. 填入网关IP地址，点击［获取网关地址］将会显示出网关的MAC地址。点击[自动防护]即可保护当前网卡与该网关的通信不会被第三方监听。注意：如出现 ARP欺骗提示，这说明攻击者发送了ARP欺骗数据包来获取网卡的数据包，如果您想追踪攻击来源请记住攻击者的MAC地址，利用MAC地址扫描器可以找出 IP 对应的MAC地址。
B. IP地址冲突
如频繁的出现IP地址冲突，这说明攻击者频繁发送ARP欺骗数据包，才会出现IP冲突的警告，利用Anti ARP Sniffer可以防止此类攻击。
C. 您需要知道冲突的MAC地址，Windows会记录这些错误。查看具体方法如下：
右击[我的电脑]–[管理]–点击[事件查看器]–点击[系统]–查看来源为[TcpIP]—双击事件可以看到显示地址发生冲突，并记录了该MAC地址，请复制该MAC地址并填入Anti ARP Sniffer的本地MAC地址输入框中(请注意将:转换为-)，输入完成之后点击[防护地址冲突]，为了使MAC地址生效请禁用本地网卡然后再启用网卡，在CMD命令行中输入Ipconfig /all，查看当前MAC地址是否与本地MAC地址输入框中的MAC地址相符，如果更改失败请与我联系。如果成功将不再会显示地址冲突。
注意:如果您想恢复默认MAC地址,请点击[恢复默认],为了使MAC地址生效请禁用本地网卡然后再启用网卡。
3.3 具有ARP防护功能的路由器
这类路由器以前听说的很少，对于这类路由器中提到的ARP防护功能，其实它的原理就是定期的发送自己正确的ARP信息。但是路由器的这种功能对于真正意义上的攻击，是不能解决的。
ARP的最常见的特征就是掉线，一般情况下不需要处理一定时间内可以回复正常上网，因为ARP欺骗是有老化时间的，过了老化时间就会自动的回复正常。现在大多数路由器都会在很短时间内不停广播自己的正确ARP信息，使受骗的主机回复正常。但是如果出现攻击性ARP欺骗(其实就是时间很短的量很大的欺骗ARP，1秒有个几百上千的)，它是不断的发起ARP欺骗包来阻止内网机器上网，即使路由器不断广播正确的包也会被他大量的错误信息给淹没。
可能你会有疑问：我们也可以发送比欺骗者更多更快正确的ARP信息啊？如果攻击者每秒发送1000个ARP欺骗包，那我们就每秒发送1500个正确的ARP信息！
面对上面的疑问，我们仔细想想，如果网络拓扑很大，网络中接了很多网络设备和主机，大量的设备都去处理这些广播信息，那网络使用起来好不爽，再说了会影响到我们工作和学习。ARP广播会造成网络资源的浪费和占用。如果该网络出了问题，我们抓包分析，数据包中也会出现很多这类ARP广播包，对分析也会造成一定的影响。
