网站被攻击的原因_网站受到攻击查看攻击源

360提示ARP断网攻击正在发生,360已拦截,怎么找到攻击源IP?

一、ARP攻击原理：调用系统里的npptools.dll文件。

1、 *** 执法官、彩影arp防火墙等ARP攻防软件也用这个，如果把这个DLL文件删除了，之后随便弄个DLL改名为npptools.dll即可。

2、如果C盘是NTFS分区格式就把权限都去掉，如果是FAT格式弄个只读就可以了。

3、防攻击文件：C:\WINDOWS\system32\ npptools.dll

4、处理 *** ：新建一个空文本文档，改名为npptools.dll然后把它复制到system32文件夹里，覆盖原有的npptools.dll，如果没关闭文件保护，先关闭。再把system32\dllcache里的npptools.dll也覆盖了，然后把它们的属性改为只读、隐藏，最后再把它们的everyone权限都去掉，即可！

5、npptools.dll文件的属性改为只读、隐藏后，再把它们的everyone的权限去掉，病毒就不能替换也不能使用它了，arp就不会起作用，从而达到防范ARP的目的。

二、定位ARP攻击源头

1、主动定位方式：因为所有的ARP攻击源都会有其特征——网卡会处于混杂模式，可以通过ARPKiller这样的工具扫描网内有哪台机器的网卡是处于混杂模式的，从而判断这台机器有可能就是“元凶”。定位好机器后，再做病毒信息收集，提交给趋势科技做分析处理。

标注：网卡可以置于一种模式叫混杂模式（promiscuous），在这种模式下工作的网卡能够收到一切通过它的数据，而不管实际上数据的目的地址是不是它。这实际就是Sniffer工作的基本原理：让网卡接收一切它所能接收的数据。

2、被动定位方式：在局域网发生ARP攻击时，查看交换机的动态ARP表中的内容，确定攻击源的MAC地址；也可以在局域居于网中部署Sniffer工具，定位ARP攻击源的MAC。

也可以直接Ping网关IP，完成Ping后，用ARP –a查看网关IP对应的MAC地址，此MAC地址应该为欺骗的,使用N *** SCAN可以取到PC的真实IP地址、机器名和MAC地址，如果有”ARP攻 击”在做怪，可以找到装有ARP攻击的PC的IP、机器名和MAC地址。

命令：“nbtscan -r 192.168.16.0/24”（搜索整个192.168.16.0/24网段, 即192.168.16.1-192.168.16.254）；或“nbtscan 192.168.16.25-137”搜索192.168.16.25-137 网段，即192.168.16.25-192.168.16.137。输出结果之一列是IP地址，最后一列是MAC地址。　3、3、N *** SCAN的使用范例：

假设查找一台MAC地址为“000d870d585f”的病毒主机。

1）将压缩包中的nbtscan.exe 和cygwin1.dll解压缩放到c:下。

2）在Windows开始—运行—打开，输入cmd（windows98输入“command”），在出现的DOS窗口中输入：C: btscan -r 192.168.16.1/24（这里需要根据用户实际网段输入），回车。

3）通过查询IP–MAC对应表，查出“000d870d585f”的病毒主机的IP地址为“192.168.16.223”。

通过上述 *** ，我们就能够快速的找到病毒源，确认其MAC——〉机器名和IP地址。

4、防御 ***

a、使用可防御ARP攻击的三层交换机，绑定端口-MAC-IP，限制ARP流量，及时发现并自动阻断ARP攻击端口，合理划分VLAN，彻底阻止盗用IP、MAC地址，杜绝ARP的攻击。

b、对于经常爆发病毒的 *** ，进行Internet访问控制，限制用户对 *** 的访问。此类ARP攻击程序一般都是从Internet下载到用户终端，如果能够加强用户上网的访问控制，就能极大的减少该问题的发生。

最近单位局域网总是遭到外部ARP攻击，怎样查找攻击源？

现在局域网内部攻击软件多如牛毛，技术含量参差不齐（当然也不能排除中毒，可是一般安装好杀毒软件是不会有大问题的），ARP攻击的隐蔽性也不一样，这里介绍一个可靠的办法：假如32台终端，一台机器发起ARP攻击，之一步，32除以2，在正遭受攻击时拔掉1—16终端网线，看是否还在遭受攻击；第二步，16除以二，拔掉剩余8个终端其中一半的网线，以此类推，16---8---4----2----1，找到攻击源。虽然笨，但有效。

————————手机杀毒啊，360应用里就可以添加这功能。

在局域网中总是受到ARP攻击，查找攻击源竟让显示是路由器的MAC，为何？？？

1.如果你确定你明白ARP攻击的原理，那么这种情况就是你先接受了错误的MAC 而路由器正确的MAC被当成了攻击的了。

2.如果你不是很清楚，那么有这样的可能，你检测的源MAC是什么IP地址是需要通过arp协议去解析的。而ARP攻击本身就是拿一个错误的或者是特定的MAC地址去伪装成网关的IP地址。

打个比方：你在一个大厅里大声的询问，谁是A，这时候A和B都回答你他自己是A。虽然你知道，或者说你认识A具体是哪一个人。问题是B这个撒谎者从来没有告诉过你他是B，你是始终不知道他是谁的，只能从他告诉你的信息中判断他是“假A”那么这种情况就和你现在碰到的情况一样了。也就是你现在显示的源MAC是路由器MAC本身就是一条不可靠的消息。

B这个撒谎者很过分，它不断的喊自己是A，而且喊得声音和喊得频率都要比真正的A喊得多，喊得大。而且他从来不承认自己是B。所以你永远无法知道它是谁，而且不断的受到他的干扰。

要解决这个问题，首先要先找到攻击源。

我不知道你局域网里有多少机子。如果多了就很麻烦。

比如有10台，你们一起组织一下，先让5台上网，看看有没有攻击。

如果有攻击那么就再从这5台中挑2台出来，看看有没有。

以此类推，用二分法查找。在20台规模以内的机子都可以很快的找出攻击源。

不过要注意，是否存在2台或者2台以上的攻击源。

PS：其实很多情况是有人用了p2p终结者之类的软件。

对于网站遭受攻击后，如何在云防火墙、网站防火墙里面查看来源？

这种攻击一般防火墙上看不到。你说的网站防火墙是什么类型的？ 是硬件的WAF吗？

如果是的话WAF应该能看到点蛛丝马迹。