全球主机交流论坛

标题: NND,全站被挂马。请个人帮忙解决下。付费。 [打印本页]

作者: guangming84 时间: 2010-8-18 00:29
标题: NND,全站被挂马。请个人帮忙解决下。付费。
CENTOS 5

貌似是ARP 。但我查不出来。

可以的留下你QQ 我加你。

作者: cicilee 时间: 2010-8-18 00:31
额，，全站有多少个站啊？

[ 本帖最后由 cicilee 于 2010-8-18 00:32 编辑 ]

作者: guangming84 时间: 2010-8-18 00:31
2楼别捣乱。

作者: guangming84 时间: 2010-8-18 00:38
再顶顶。。。

作者: Globalization 时间: 2010-8-18 00:39
不懂，帮顶

作者: 酥油茶 时间: 2010-8-18 00:39
我知道是谁黑的。

作者: guangming84 时间: 2010-8-18 00:39
晕。。。。

作者: okyok 时间: 2010-8-18 00:41
原来楼上是名网的

作者: tumour 时间: 2010-8-18 01:09
不懂帮顶，可以告知是什么程序嘛？

作者: jiangchunlin 时间: 2010-8-18 01:19
提示: 作者被禁止或删除内容自动屏蔽

作者: jiangchunlin 时间: 2010-8-18 01:22
提示: 作者被禁止或删除内容自动屏蔽

作者: guangming84 时间: 2010-8-18 01:32

原帖由 jiangchunlin 于 2010-8-18 01:22 发表
把网关IP和MAC地址写入到 /etc/ethers中
搞成静态网关
完工

兄弟能提供你的Q不，帮我瞧下。。。

作者: ninjai 时间: 2010-8-18 02:11
站被挂马，你怎么知道是ARP的?

作者: 瘦够了 时间: 2010-8-18 03:17
上个ARP防火墙，完工

作者: mudfrog 时间: 2010-8-18 07:43

原帖由 ninjai 于 2010-8-18 02:11 发表
站被挂马，你怎么知道是ARP的?

arp挂马是动态修改数据包的，所以有3个测试方法
1、ARP表错了。不过你平时不记录真实的网关MAC的话，很难发现。
2、你发现网页里面插入了木马，但是打开文件，却发现没有修改。
3、你可以创建一个新的空白的页面，比如blank.htm，然后直接访问，也发现有木马。
那就是ARP攻击的概率较大了。
当然也有别的可能。

作者: domin 时间: 2010-8-18 07:46
arp应该让机房解决，如果是真的ARP，自己是没办法彻底解决的。必须双向绑定。

作者: mudfrog 时间: 2010-8-18 07:53
linux主机

如果攻击发包欺骗你的主机：

最根本的方法，是关掉网卡的ARP功能(ifconfig ethx -arp)。很多情况下，我们只需要与网关通信，网络里面其他的机器很少通信。所以我们建立一个ip地址和mac地址的对应关系文件：/etc/ethers

cat /etc/ethers
111.111.111.111 00:00:78:cc:55:6d

执行arp -f 绑定

如果攻击发包欺骗的是网关：（MD这种最讨厌，太TMD不道德了）
常见方法是
arping -U -I eth0 -s 192.168.1.17 192.168.1.254
这个命令的含义为将绑定在eth0上的IP地址(192.168.1.17)对应的MAC地址告诉网关（192.168.1.254）

其实就是自己发包去刷网关的arp表
arping 效率不高。
你可以用arp攻击程序来搞，就相当于自己攻击自己，只不过刷新的记录是真实的而已。
例如
arpoison
http://www.arpoison.net/

先装libnet
http://libnet.sourceforge.net/
先安装libnet
tar -xvzf libnet.tar.gz
cd libne
./configure
makemake install

安装arpoison
tar -xvzf arpoison-0.6.tar.gz
cd arpoison
gcc arpoison.c
/usr/lib/libnet.a -o arpoison

Usage: -i device -d dest_IP -s src_IP -t target_MAC -r src_MAC [-a] [-w time between packets] [-n number to send]示例：arpoison -i eth0 -d 172.16.18.254 -s 172.16.18.19 -t ff:ff:ff:ff:ff:ff -r 00:11:09:E8:78:DD
-i eth0 指定发送arp包的网卡接口eth0
-d 172.16.18.254 指定目的ip为172.16.18.254
-s 172.16.18.19 指定源ip为172.16.18.19
-t ff:ff:ff:ff:ff:ff 指定目的mac地址为ff:ff:ff:ff:ff:ff(arp广播地址)
-r 00:11:09:E8:C8:ED 指定源mac地址为00:11:09:E8:C8:ED

作者: domin 时间: 2010-8-18 08:06
arp可以欺骗你的机器，也可以欺骗网关，并且可以持续发包来欺骗。楼上这个方法只能解决或者缓解某些ARP情况，只要攻击者发包频率高于你本机的发包频率就没用了，不能彻底解决。
彻底解决还是得机房，而且这是机房的责任，ARP相当于内网攻击，机房有责任找出攻击者解决问题。

[ 本帖最后由 domin 于 2010-8-18 08:07 编辑 ]

作者: mudfrog 时间: 2010-8-18 08:08
联系机房，说不解决ARP问题，就不付钱了。撤柜

作者: laoma348 时间: 2010-8-18 08:09
arp的话得双绑了

作者: domin 时间: 2010-8-18 08:09

原帖由 mudfrog 于 2010-8-18 08:08 发表
联系机房，说不解决ARP问题，就不付钱了。撤柜

国外机房一般会解决的，只要给他们证据。国内的话就难说了，遇到很多次被ARP，电信死活说他们解决不了，推卸责任，NND，几百台机器一个VLAN

作者: 大飞机 时间: 2010-8-18 11:20
不懂也

作者: xiejiji 时间: 2010-8-19 13:08
不懂，帮顶

欢迎光临全球主机交流论坛 (https://loc.mjj8.eu.org/)