为什么我用ARP扫描端口反而我自己中了木马?
那是你没安好心啦。
再说一般杀毒就能截住，你最好下一个卡巴~杀毒超级猛
centos下的snort如何在检测到各种攻击，并且将预警显示在base上，如端口扫描，arp欺骗，DDOS攻击等。
snort是一个强大的轻量级的网络入侵检测系统。它具有实时数据流量分析和日志IP网络数据包的能力，能够进行协议分析，对内容进行搜索/匹配。它能够检测各种不同的攻击方式，对攻击进行实时报警。此外，snort具有很好的扩展性和可移植性。本文将讲述如何开发snort规则。
1.基础
snort使用一种简单的规则描述语言,这种描述语言易于扩展，功能也比较强大。下面是一些最基本的东西：
snort的每条规则必须在一行中，它的规则解释器无法对跨行的规则进行解析。注意：由于排版的原因本文的例子有的分为两行。
snort的每条规则都可以分成逻辑上的两个部分：规则头和规则选项。规则头包括：规则行为(rule's action)、协议(protocol)、源/目的IP地址、子网掩码以及源/目的端口。规则选项包含报警信息和异常包的信息(特征码,signature)，使用这些特征码来决定是否采取规则规定的行动。
这是一个例子：
alert tcp any any - 192.168.1.0/24 111(content:"|00 01 86 a5|";msg:"mountd access";)
表1.一条简单的snort规则
从开头到最左边的括号属于规则头部分，括号内的部分属于规则选项。规则选项中冒号前面的词叫做选项关键词(option keywords)。注意对于每条规则来说规则选项不是必需的，它们是为了更加详细地定义应该收集或者报警的数据包。只有匹配所有选项的数据包，snort才会执行其规则行为。如果许多选项组合在一起，它们之间是逻辑与的关系。让我们从规则头开始。
如何关闭电脑的arp扫描？
防止ARP攻击的办法：右键我的电脑--管理--设备管理器--在上面的查看里面选中显示隐藏的设备--在下面的窗口中会看到非即插即用驱动程序--展开选中netbios over tcpip--双击在打开的选项卡中选停用就OK了
然后在开始--运行里面输入 services.msc 在打开的窗口中找到server , task scheduler , terminal services , telnet , workstation 把这些服务停止并禁用掉 。
改密码（强悍点的）
重启解决
注:现在很多“黑客”喜欢通过IPC$（著名的139 445端口）等远程共享来进行入侵，如果你管理员密码为空或者密码强度较弱的话 ，“黑客”通过一些扫描软件扫描到，然后以空密码登陆你电脑，而且他的登陆在360等防护软件看来是合法的。 所以就算你电脑杀毒防火能力再强也没用哈~~。
常见的网络攻击都有哪几种？
1、口令入侵
所谓口令入侵是指使用某些合法用户的帐号和口令登录到目的主机，然后再实施攻击活动。这种方法的前提是必须先得到该主机上的某个合法用户的帐号，然后再进行合法用户口令的破译。
2、电子邮件
电子邮件是互连网上运用得十分广泛的一种通讯方式。攻击者能使用一些邮件炸弹软件或CGI程式向目的邮箱发送大量内容重复、无用的垃圾邮件，从而使目的邮箱被撑爆而无法使用。当垃圾邮件的发送流量特别大时，更有可能造成邮件系统对于正常的工作反映缓慢，甚至瘫痪。
3、节点攻击
攻击者在突破一台主机后，往往以此主机作为根据地，攻击其他主机(以隐蔽其入侵路径，避免留下蛛丝马迹)。他们能使用网络监听方法，尝试攻破同一网络内的其他主机；也能通过IP欺骗和主机信任关系，攻击其他主机。
4、网络监听
网络监听是主机的一种工作模式，在这种模式下，主机能接收到本网段在同一条物理通道上传输的所有信息，而不管这些信息的发送方和接收方是谁。因为系统在进行密码校验时，用户输入的密码需要从用户端传送到服务器端，而攻击者就能在两端之间进行数据监听。
5、黑客软件
利用黑客软件攻击是互连网上比较多的一种攻击手法。Back Orifice2000、冰河等都是比较著名的特洛伊木马，他们能非法地取得用户计算机的终极用户级权利，能对其进行完全的控制，除了能进行文件操作外，同时也能进行对方桌面抓图、取得密码等操作。
6、端口扫描
所谓端口扫描，就是利用Socket编程和目标主机的某些端口建立TCP连接、进行传输协议的验证等，从而侦知目标主机的扫描端口是否是处于激活状态、主机提供了哪些服务、提供的服务中是否含有某些缺陷等等。常用的扫描方式有：Connect()扫描。Fragmentation扫描。
参考资料来源：百度百科-网络攻击
已记录端口扫描攻击 什么意思
就是有人在对你的计算机进行端口扫描，如果是公司网管的话，他会使用工具扫描下看那些人在上QQ啊，什么的，因为程序要连接网络要有一个端口去访问，还有就是有人在网络上攻击你，比如你的同事中了ARP病毒，该病毒就会自动攻击网络上的其他用户，导致网络瘫痪，还有就是有人尝试攻击你，但是那只是尝试，比如PING你的端口啊之类的！
比如你开了QQ，他一扫到QQ开的端口就知道你在上QQ拉，或者网络不正常，他扫下，看有没有人上下载拉····
arp攻击与防范
如今互联网的重要性越来越大，很多人也对一些知识很感兴趣，那么你知道arp攻击与防范吗?下面是我整理的一些关于arp攻击与防范的相关资料，供你参考。
arp攻击与防范：
一、要想防患arp攻击，那么我们要知道什么是arp?
ARP：地址解析协议，用于将32位的IP地址解析成48位的物理mac地址。
在以太网协议中，规定同一局域网中的主机相互通信，必须知道对方的物理地址(即mac地址)，而在tcp/ip协议中，网络层和传输层只关心目标主机的ip地址。这就导致在以太网中使用IP协议时，数据链路层的以太网协议接到上层的IP协议提供的数据中，只包含目的主机的IP地址。所以就需要一种协议，根据目的的IP地址，获得其mac地址。所以arp协议就应运而生。
另外，当发送主机和目的主机不在同一个局域网中时，即便知道目的主机的MAC地址，两者也不能直接通信，必须经过路由转发才可以。所以此时，发送主机通过ARP协议获得的将不是目的主机的真实MAC地址，而是一台可以通往局域网外的路由器的某个端口的MAC地址。于是此后发送主机发往目的主机的所有帧，都将发往该路由器，通过它向外发送。这种情况称为ARP代理(ARP Proxy)。
二、arp攻击的原理
ARP攻击就是通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞，攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，造成网络中断或中间人攻击。
ARP攻击主要是存在于局域网网络中，局域网中若有一台计算机感染ARP木马，则感染该ARP木马的系统将会试图通过“ARP欺骗”手段截获所在网络内 其它 计算机的通信信息，并因此造成网内其它计算机的通信故障。
三、什么是ARP欺骗
在局域网中，黑客 经过收到ARP Request广播包，能够偷听到其它节点的 (IP, MAC) 地址, 黑客就伪装为A，告诉B (受害者) 一个假地址，使得B在发送给A 的数据包都被黑客截取，而A, B 浑然不知。
四、arp的攻击方式：
1、ip地址冲突
Arp病毒制造者制造出局域网上有另一台主机与受害主机共享一个IP的假象。大量的攻击数据包能令受害主机耗费大量的系统资源。
①单播型的IP地址冲突
数据链路层记录的目的物理地址为被攻击主机的物理地址，这样使得该arp数据包只能被受攻击主机所接收，而不被局域网内其他主机所接收，实现隐蔽式攻击。
②广播型的IP地址冲突
数据链路层记录的目的物理地址为广播地址，这样使得局域网内的所有主机都会接收到该arp数据包，虽然该arp数据包所记录的目的IP地址不是受攻击主机的IP地址，但是由于该arp数据包为广播数据包，这样受攻击主机也会收到。
2、arp泛洪攻击
攻击主机持续把伪造的mac-ip映射对发给受害的主机，对于局域网内的所有主机和网管进行广播，抢占网络带宽和干扰正常通信。
3、arp扫描攻击
Arp攻击者向局域网发送arp请求，从而获得正在运行主机的IP和MAC地址的映射对。攻击源通过对arp扫描获得所要攻击的IP和mac地址，从而为网络监听、盗取用户数据，实现隐蔽式攻击做准备。
4、虚拟主机攻击
黑客通过在网络内虚拟构建网卡，将自己虚拟成网络内的一台主机，拥有虚拟的物理地址和IP地址。使得占用局域网内的IP地址资源，使得正常运行的主机会发生IP地址冲突，并且大量的虚拟主机攻击会使得局域网内的主机无法正常获得IP地址。
5、ARP欺骗攻击
目的是向目标主机发送伪造的arp应答，并使目标主机接收应答中的IP与MAC间的映射，并以此更新目标主机缓存。从而影响链接畅通。其方式有：冒充主机欺骗网关，原理是截获网关数据和冒充网关欺骗主机，原理是伪造网关。
五、arp攻击防患 措施
1、在客户端静态绑定IP地址和MAC地址
进入命令行arp –a命令查看，获取本机的网关IP地址和网关mac地址
编写一个批处理内容为：
@echo off
arp -d
arp –s 网关的IP地址 自己的mac地址
保存放置到开机启动项里
2、设置arp服务器
指定局域网内部的一台机器作为arp服务器，专门保存且维护可信范围内的所有主机的IP地址与mac地址的映射记录。该服务器通过查阅自己的arp缓存的静态记录，并以被查询主机的名义相应局域网内部的arp请求，同时设置局域网内部其他主机只是用来自arp服务器的arp响应。
3、交换机端口设置
通过划分VLAN和交换机端口绑定，以图防范ARP，也是常用的防范 方法 。做法是细致地划分VLAN，减小广播域的范围，使ARP在小范围内起作用，而不至于发生大面积影响。同时，一些网管交换机具有MAC地址学习的功能，学习完成后，再关闭这个功能，就可以把对应的MAC和端口进行绑定，避免了病毒利用ARP攻击篡改自身地址。也就是说，把ARP攻击中被截获数据的风险解除了。这种方法确实能起到一定的作用。
不过，VLAN和交换机端口绑定的问题在于：
①没有对网关的任何保护，不管如何细分VLAN，网关一旦被攻击，照样会造成全网上网的掉线和瘫痪。
②把每一台电脑都牢牢地固定在一个交换机端口上，这种管理太死板了。这根本不适合移动终端的使用，从办公室到会议室，这台电脑恐怕就无法上网了。在无线应用下，又怎么办呢?还是需要其他的办法。
③实施交换机端口绑定，必定要全部采用高级的网管交换机、三层交换机，整个交换网络的造价大大提高。
因为交换网络本身就是无条件支持ARP操作的，就是它本身的漏洞 造成了ARP攻击的可能，它上面的管理手段不是针对ARP的。因此，在现有的交换网络上实施ARP防范措施，属于以子之矛攻子之盾。而且操作维护复杂，基本上是个费力不讨好的事情。
4、ARP个人防火墙
在一些杀毒软件中加入了ARP个人防火墙的功能，它是通过在终端电脑上对网关进行绑定，保证不受网络中假网关的影响，从而保护自身数据不被窃取的措施。ARP防火墙使用范围很广，有很多人以为有了防火墙，ARP攻击就不构成威胁了，其实完全不是那么回事。
ARP个人防火墙也有很大缺陷：
①它不能保证绑定的网关一定是正确的。如果一个网络中已经发生了ARP欺骗，有人在伪造网关，那么，ARP个人防火墙上来就会绑定这个错误的网关，这是具有极大风险的。即使配置中不默认而发出提示，缺乏 网络知识 的用户恐怕也无所适从。
②ARP是网络中的问题，ARP既能伪造网关，也能截获数据，是个“双头怪”。在个人终端上做ARP防范，而不管网关那端如何，这本身就不是一个完整的办法。ARP个人防火墙起到的作用，就是防止自己的数据不会被盗取，而整个网络的问题，如掉线、卡滞等，ARP个人防火墙是无能为力的。
因此，ARP个人防火墙并没有提供可靠的保证。最重要的是，它是跟网络稳定无关的措施，它是个人的，不是网络的。
5、安装监听软件
可以安装sniffer软件，监听网络中的arp包，由于ARP欺骗往往使用广播形式传播，即使在交换机环境下也明显能监听到某PC端正在狂发arp包，可以定位到arp病毒源主机。
6、反欺骗
通过命令设置一个错误的网关地址，反欺骗arp病毒，然后再添加一条静态路由，设置正确的网关用于正常的网络访问。
0条大神的评论