arp是利用（yòng）以太网协议（yì）的先天漏洞从底层（céng）发起的（de）正常协议的攻击，KillNet是一款比（bǐ）较简单的局域网（wǎng）ARP攻击（jī）工具，本程序可以模拟局域网ARP攻击，可以（yǐ）伪装（zhuāng）IP地址。如果在打开时（shí），提示无法启动此程序，因为计算机中丢失WPCAP.DLL。尝试（shì）重新安装（zhuāng）程（chéng）序以解决此问题。请（qǐng）先（xiān）安装WinPcap驱动包（bāo）后，再（zài）打开（kāi）此程序（xù）。使用时需要选（xuǎn）择正确的NIC。
KillNet 是（shì）使用（yòng）WINPCAP的网络（luò）KILL软（ruǎn）件（jiàn），可以（yǐ）把选中的机器（qì）从网络（luò）中隔离出来（lái），也就是让机器断网，是一款非ARP型（xíng）的断网软件（jiàn）。arp是利用以（yǐ）太网协（xié）议（yì）的先天（tiān）漏洞从底层发起（qǐ）的正常协议的攻击，KillNet是一款比较简单（dān）的（de）局域网ARP攻击工具，本程（chéng）序可以模拟局（jú）域网ARP攻击，可（kě）以伪装IP地址。
我不推荐大家使用静态IP地址和MAC地址的绑定，这会带来更（gèng）多的管理负荷。你可以利（lì）用ISA Server强大的身份验证功能（néng），结合IP地址来（lái）进行管理，这样具有更好（hǎo）的效果。也请不要在论坛问我（wǒ）ARP命令是如何使用（yòng）的，Windows的帮助（zhù）是最（zuì）好的老（lǎo）师。
1 ．检查（chá）本机（jī）的“ ARP 欺骗”木马染毒进程（chéng）同时按住键盘上的“ CTRL ”和“ ALT ”键再按“ DEL ”键，选择“任（rèn）务管（guǎn）理器（qì）”，点选“进程”标签。察看其中是（shì）否有一个名（míng）为“ MIR0.dat ”的进程。如果（guǒ）有，则说明已经中毒。右键点（diǎn）击（jī）此进程后选择“结束进程”。参见右（yòu）图。
2 ．检查网内感（gǎn）染“ ARP 欺骗”木马染毒的（de）计算（suàn）机（jī）在“开始” - “程序” - “附件”菜单下调出“命令（lìng）提示（shì）符（fú）”。输（shū）入并执（zhí）行以下命令：ipconfig记录网关（guān） IP 地（dì）址，即“ Default Gateway ”对（duì）应的值（zhí），例如“ 59.66.36.1 ”。再输入并执行以下命令：arp –a在“ Internet Address ”下找（zhǎo）到上（shàng）步记录的网关（guān） IP 地（dì）址（zhǐ），记录其对（duì）应（yīng）的物理地（dì）址，即“ Physical Address ”值，例如“ 00-01-e8-1f-35-54 ”。在网络正常时这就是网关的正确物（wù）理地址，在网络受“ ARP 欺骗（piàn）”木马影响而不正常时，它就是木马所在计算机的（de）网卡物理（lǐ）地址。也可以扫描本子（zǐ）网内的全部 IP 地址，然后再（zài）查 ARP 表（biǎo）。如果有一（yī）个 IP 对（duì）应的物（wù）理地址与（yǔ）网关的相同，那么（me）这（zhè）个 IP 地址（zhǐ）和（hé）物理地址（zhǐ）就是中毒计算机的 IP 地（dì）址和（hé）网（wǎng）卡物（wù）理地址。
3 ．设置（zhì） ARP 表避免“ ARP 欺（qī）骗”木马影响的方法本方法可（kě）在一定程度上减轻中木马的其它（tā）计算机对本机的影响（xiǎng）。用（yòng）上边介绍的方法确定正确（què）的（de）网关 IP 地址和网关物理地（dì）址，然后（hòu）在 “命令提（tí）示符”窗口（kǒu）中输入（rù）并执行以（yǐ）下命（mìng）令：arp –s 网关 IP 网关物（wù）理（lǐ）地址4.态ARP绑（bǎng）定网关
步骤（zhòu）一： 在（zài）能正常上网时（shí），进入MS-DOS窗口，输入（rù）命令：arp －a，查（chá）看网关的IP对应的正确MAC地址， 并将其记录（lù）下来。 注（zhù）意：如果已（yǐ）经不（bú）能上网，则先运行一次命（mìng）令arp －d将arp缓存中的内容删空，计算（suàn）机（jī）可暂时恢复上（shàng）网（攻击如果不停止的话（huà））。一（yī）旦能上网就立（lì）即将（jiāng）网络断掉（禁用网卡或拔掉网线），再运行arp －a。
步骤二： 如果计算机（jī）已经有网关的正（zhèng）确MAC地（dì）址，在不（bú）能上网只需手工将网关IP和（hé）正确的MAC地址绑定，即可确保计算机不再被欺骗攻击。 要（yào）想手工绑定（dìng），可在MS-DOS窗口下（xià）运行（háng）以（yǐ）下命令： arp －s 网关IP 网关MAC
例如：假（jiǎ）设计算机所（suǒ）处网段的网（wǎng）关为（wéi）192.168.1.1，本机地址为192.168.1.5，在计算机上运行arp －a后输出如下（xià）：
Cocuments and Settings>arp -a
Interface:192.168.1.5 --- 0x2
Internet Address 192.168.1.1
Physical Address Type 00-01-02-03-04-05
dynamic
其（qí）中，00-01-02-03-04-05就是网关（guān）192.168.1.1对应的MAC地址，类型是动态（dynamic）的，因（yīn）此是可被改（gǎi）变（biàn）的。 被（bèi）攻击后，再（zài）用该命令查看，就会发现（xiàn）该MAC已经被（bèi）替换成攻击（jī）机（jī）器的（de）MAC。如（rú）果希望（wàng）能找出攻击机（jī）器，彻底根除攻击，可以在（zài）此时将该MAC记录下来，为以（yǐ）后查找该（gāi）攻（gōng）击（jī）的机器做准备（bèi）。
4.手工绑定的（de）命令为： arp －s 192.168.1.1 00-01-02-03-04-05 绑定完，可再用arp －a查看（kàn）arp缓存： Cocuments and Settings>arp -a Interface: 192.168.1.5 --- 0x2 Internet Address Physical Address Type 192.168.1.1 00-01-02-03-04-05 static 这时，类（lèi）型（xíng）变为静态（static），就（jiù）不会再（zài）受攻击影（yǐng）响了。 但是，需要说明的（de）是（shì），手工绑定在计算（suàn）机关（guān）机重启后就会失（shī）效，需要再次重新绑定。所以，要彻底根（gēn）除攻击（jī），只有找出网段内被病毒感（gǎn）染的（de）计（jì）算机，把（bǎ）病毒杀（shā）掉，才（cái）算是真正解决问题。
5 .作批（pī）处理文件 在客户端做对网关的arp绑定，具体操作步骤如（rú）下：
步骤一： 查找本网段（duàn）的网关（guān）地址，比如192．168．1．1，以下（xià）以此网关为例（lì）。在正常上网时，“开（kāi）始→运（yùn）行→cmd→确定”，输（shū）入（rù）：arp －a，点回车，查看网关对应的Physical Address。比如：网关192.168.1.1 对应（yīng）00－01－02－03－04－05。
步骤二： 编写一个批处理文件rarp.bat，内容如（rú）下（xià）： @echo off arp －d arp -s 192.168.1.1 00－01－02－03－04－05 保（bǎo）存为：rarp.bat。
步骤三： 运（yùn）行批处理文（wén）件将这个批处理文件拖到（dào）“Windows→开（kāi）始→程（chéng）序→启（qǐ）动”中，如果需要立即生效，请运行（háng）此文件（jiàn）。