本文目录一览：
- 1、如何开启360安全卫士防IP攻击
- 2、如何防止黑客用IP攻击
- 3、怎么阻止IP被攻击?
- 4、360拦截IP冲突攻击，到底是什么意思啊
- 5、卡巴斯基总是提示阻止了来自某个IP的攻击，怎样不让他提示？
- 6、IP欺骗攻击与防范
如何开启360安全卫士防IP攻击
1右键点击窗口右下的 360安全卫士 图标
2点击 进入 360安全防护中心
3 在7层 系统防护 下 点击查看状态,
如果网络安全防护 被关闭,请点击 开启
这样 本地连接 的 360局域网防护驱动程序就安装成功了.
建议重启一下电脑.让这个保护生效.
如何防止黑客用IP攻击
最直接 的 方法 就是 关闭 一些 安全隐患比较 大 的 服务 和 端口默认情况下，Windows有很多端口是开放的，在你上网的时候，网络病毒和黑客可以通过这些端口连上你的电脑。为了让你的系统变为铜墙铁壁，应该封闭这些端口，主要有：TCP 135、139、445、593、1025 端口和 UDP 135、137、138、445 端口，一些流行病毒的后门端口（如 TCP 2745、3127、6129 端口），以及远程服务访问端口3389。下面介绍如何在WinXP/2000/2003下关闭这些网络端口： 第一步，点击“开始”菜单/设置/控制面板/管理工具，双击打开“本地安全策略”，选中“IP 安全策略，在本地计算机”，在右边窗格的空白位置右击鼠标，弹出快捷菜单，选择“创建 IP 安全策略”（如右图），于是弹出一个向导。在向导中点击“下一步”按钮，为新的安全策略命名；再按“下一步”，则显示“安全通信请求”画面，在画面上把“激活默认相应规则”左边的钩去掉，点击“完成”按钮就创建了一个新的IP 安全策略。 第二步，右击该IP安全策略，在“属性”对话框中，把“使用添加向导”左边的钩去掉，然后单击“添加”按钮添加新的规则，随后弹出“新规则属性”对话框，在画面上点击“添加”按钮，弹出IP筛选器列表窗口；在列表中，首先把“使用添加向导”左边的钩去掉，然后再点击右边的“添加”按钮添加新的筛选器。 第三步，进入“筛选器属性”对话框，首先看到的是寻址，源地址选“任何 IP 地址”，目标地址选“我的 IP 地址”；点击“协议”选项卡，在“选择协议类型”的下拉列表中选择“TCP”，然后在“到此端口”下的文本框中输入“135”，点击“确定”按钮（如左图），这样就添加了一个屏蔽 TCP 135（RPC）端口的筛选器，它可以防止外界通过135端口连上你的电脑。 点击“确定”后回到筛选器列表的对话框，可以看到已经添加了一条策略，重复以上步骤继续添加 TCP 137、139、445、593 端口和 UDP 135、139、445 端口，为它们建立相应的筛选器。 重复以上步骤添加TCP 1025、2745、3127、6129、3389 端口的屏蔽策略，建立好上述端口的筛选器，最后点击“确定”按钮。 第四步，在“新规则属性”对话框中，选择“新 IP 筛选器列表”，然后点击其左边的圆圈上加一个点，表示已经激活，最后点击“筛选器操作”选项卡。在“筛选器操作”选项卡中，把“使用添加向导”左边的钩去掉，点击“添加”按钮，添加“阻止”操作（右图）：在“新筛选器操作属性”的“安全措施”选项卡中，选择“阻止”，然后点击“确定”按钮。 第五步、进入“新规则属性”对话框，点击“新筛选器操作”，其左边的圆圈会加了一个点，表示已经激活，点击“关闭”按钮，关闭对话框；最后回到“新IP安全策略属性”对话框，在“新的IP筛选器列表”左边打钩，按“确定”按钮关闭对话框。在“本地安全策略”窗口，用鼠标右餍绿砑拥?IP 安全策略，然后选择“指派”。 于是重新启动后，电脑中上述网络端口就被关闭了，病毒和黑客再也不能连上这些端口，从而保护了你的电脑。 路由器的设置：1、关闭7.9等等端口：关闭SimpleTCP/IPService,支持以下TCP/IP服务：CharacterGenerator,Daytime,Discard,Echo,以及QuoteoftheDay。 2、关闭80口：关掉WWW服务。在“服务”中显示名称为"WorldWideWebPublishingService"，通过Internet信息服务的管理单元提供Web连接和管理。 3、关掉25端口：关闭SimpleMailTransportProtocol(SMTP)服务，它提供的功能是跨网传送电子邮件。 4、关掉21端口：关闭FTPPublishingService,它提供的服务是通过Internet信息服务的管理单元提供FTP连接和管理。 5、关掉23端口：关闭Telnet服务，它允许远程用户登录到系统并且使用命令行运行控制台程序。 6、还有一个很重要的就是关闭server服务，此服务提供RPC支持、文件、打印以及命名管道共享。关掉它就关掉了win2k的默认共享，比如ipc$、c$、admin$等等，此服务关闭不影响您的共他操作。 7、还有一个就是139端口，139端口是NetBIOSSession端口，用来文件和打印共享，注意的是运行samba的unix机器也开放了139端口，功能一样。以前流光2000用来判断对方主机类型不太准确，估计就是139端口开放既认为是NT机，现在好了。 关闭139口听方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WINS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。 对于个人用户来说，可以在各项服务属性设置中设为“禁用”，以免下次重启服务也重新启动，端口也开放了。 我们一般采用一些功能强大的反黑软件和防火墙来保证我们的系统安全，但是有些用户不具备上述条件。怎么办呢？下面就介绍一种简易的办法——通过限制端口来帮助大家防止非法入侵。 非法入侵的方式 简单说来，非法入侵的方式可粗略分为4种： 1、扫描端口，通过已知的系统Bug攻入主机。 2、种植木马，利用木马开辟的后门进入主机。 3、采用数据溢出的手段，迫使主机提供后门进入主机。 4、利用某些软件设计的漏洞，直接或间接控制主机。 非法入侵的主要方式是前两种，尤其是利用一些流行的黑客工具，通过第一种方式攻击主机的情况最多、也最普遍；而对后两种方式来说，只有一些手段高超的黑客才利用，波及面并不广泛，而且只要这两种问题一出现，软件服务商很快就会提供补丁，及时修复系统。 因此，如果能限制前两种非法入侵方式，就能有效防止利用黑客工具的非法入侵。而且前两种非法入侵方式有一个共同点，就是通过端口进入主机。 端口就像一所房子(服务器)的几个门一样，不同的门通向不同的房间(服务器提供的不同服务)。我们常用的FTP默认端口为21，而WWW网页一般默认端口是80。但是有些马虎的网络管理员常常打开一些容易被侵入的端口服务，比如139等；还有一些木马程序，比如冰河、BO、广外等都是自动开辟一个您不察觉的端口。那么，只要我们把自己用不到的端口全部封锁起来，不就杜绝了这两种非法入侵吗？ 限制端口的方法 对于个人用户来说，您可以限制所有的端口，因为您根本不必让您的机器对外提供任何服务；而对于对外提供网络服务的服务器，我们需把必须利用的端口(比如WWW端口80、FTP端口21、邮件服务端口25、110等)开放，其他的端口则全部关闭。 这里，对于采用Windows2000或者WindowsXP的用户来说，不需要安装任何其他软件，可以利用“TCP/IP筛选”功能限制服务器的端口。具体设置如下： 1、右键点击“网上邻居”，选择“属性”，然后双击“本地连接”(如果是拨号上网用户，选择“我的连接”图标)，弹出“本地连接状态”对话框。 2、点击[属性]按钮，弹出“本地连接属性”，选择“此连接使用下列项目”中的“Internet协议(TCP/IP)”，然后点击[属性]按钮。 3、在弹出的“Internet协议(TCP/IP)”对话框中点击[高级]按钮。在弹出的“高级TCP/IP设置”中，选择“选项”标签，选中“TCP/IP筛选”，然后点击[属性]按钮。 4、在弹出的“TCP/IP筛选”对话框里选择“启用TCP/IP筛选”的复选框，然后把左边“TCP端口”上的“只允许”选上(请见附图)。 这样，您就可以来自己添加或删除您的TCP或UDP或IP的各种端口了。 添加或者删除完毕，重新启动机器以后，您的服务器就被保护起来了。 如果只上网浏览的话，可以不添加任何端口。但是要利用一些网络联络工具，比如OICQ的话，就要把“4000”这个端口打开，同理BitComet端口：TCP：8927，UDP：8927 ，如果发现某个常用的网络工具不能起作用的时候，请搞清它在您主机所开的端口，然后在“TCP/IP筛选”中添加端口即可。 要改回来也很简单，把最后一个图改回缺省设定，重启就ok
网络端口安全防护技巧（追加一篇） 计算机之间通信是通过端口进行的，例如你访问一个网站时，Windows就会在本机开一个端口（例如1025端口），然后去连接远方网站服务器的一个端口，别人访问你时也是如此。默认状态下，Windows会在你的电脑上打开许多服务端口，黑客常常利用这些端口来实施入侵，因此掌握端口方面的知识，是安全上网必备的技能。 一、常用端口及其分类 电脑在Internet上相互通信需要使用TCP/IP协议，根据TCP/IP协议规定，电脑有256×256（65536）个端口，这些端口可分为TCP端口和UDP端口两种。如果按照端口号划分，它们又可以分为以下两大类： 1.系统保留端口（从0到1023） 这些端口不允许你使用，它们都有确切的定义，对应着因特网上常见的一些服务，每一个打开的此类端口，都代表一个系统服务，例如80端口就代表Web服务。21对应着FTP，25对应着SMTP、110对应着POP3等（如图1）。 2.动态端口（从1024到65535） 当你需要与别人通信时，Windows会从1024起，在本机上分配一个动态端口，如果1024端口未关闭，再需要端口时就会分配1025端口供你使用，依此类推。 但是有个别的系统服务会绑定在1024到49151的端口上，例如3389端口（远程终端服务）。从49152到65535这一段端口，通常没有捆绑系统服务，允许Windows动态分配给你使用。 二、如何查看本机开放了哪些端口 在默认状态下，Windows会打开很多“服务端口”，如果你想查看本机打开了哪些端口、有哪些电脑正在与本机连接，可以使用以下两种方法。 1.利用netstat命令 Windows提供了netstat命令，能够显示当前的 TCP/IP 网络连接情况，注意：只有安装了TCP/IP协议，才能使用netstat命令。 操作方法：单击“开始→程序→附件→命令提示符”，进入DOS窗口，输入命令 netstat -na 回车，于是就会显示本机连接情况及打开的端口，如图2。其中Local Address代表本机IP地址和打开的端口号（图中本机打开了135端口），Foreign Address是远程计算机IP地址和端口号，State表明当前TCP的连接状态，图中LISTENING是监听状态，表明本机正在打开135端口监听，等待远程电脑的连接。 如果你在DOS窗口中输入了netstat -nab命令，还将显示每个连接都是由哪些程序创建的。上图2中本机在135端口监听，就是由svchost.exe程序创建的，该程序一共调用了5个组件（WS2_32.dll、RPCRT4.dll、rpcss.dll、svchost.exe、ADVAPI32.dll）来完成创建工作。如果你发现本机打开了可疑的端口，就可以用该命令察看它调用了哪些组件，然后再检查各组件的创建时间和修改时间，如果发现异常，就可能是中了木马。 2.使用端口监视类软件 与netstat命令类似，端口监视类软件也能查看本机打开了哪些端口，这类软件非常多，著名的有Tcpview、Port Reporter、绿鹰PC万能精灵、网络端口查看器等，推荐你上网时启动Tcpview，密切监视本机端口连接情况，这样就能严防非法连接，确保自己的网络安全，详见本刊2005年2月88页《让端口开放尽收眼底》一文。 三、关闭本机不用的端口 默认情况下Windows有很多端口是开放的，一旦你上网，黑客可以通过这些端口连上你的电脑，因此你应该封闭这些端口。主要有：TCP139、445、593、1025 端口和 UDP123、137、138、445、1900端口、一些流行病毒的后门端口（如 TCP 2513、2745、3127、6129 端口），以及远程服务访问端口3389。关闭的方法是： ①137、138、139、445端口：它们都是为共享而开放的，你应该禁止别人共享你的机器，所以要把这些端口全部关闭，方法是：单击“开始→控制面板→系统→硬件→设备管理器”，单击“查看”菜单下的“显示隐藏的设备”，双击“非即插即用驱动程序”，找到并双击NetBios over Tcpip，在打开的“NetBios over Tcpip属性”窗口中，单击选中“常规”标签下的“不要使用这个设备（停用）”，如图3，单击“确定”按钮后重新启动后即可。 ②关闭UDP123端口：单击“开始→设置→控制面板”，双击“管理工具→服务”，停止Windows Time服务即可。关闭UDP 123端口，可以防范某些蠕虫病毒。 ③关闭UDP1900端口：在控制面板中双击“管理工具→服务”，停止SSDP Discovery Service 服务即可。关闭这个端口，可以防范DDoS攻击。 ④其他端口：你可以用网络防火墙来关闭，或者在“控制面板”中，双击“管理工具→本地安全策略”，选中“IP 安全策略，在本地计算机”，创建 IP 安全策略来关闭。 四、重定向本机默认端口，保护系统安全 如果本机的默认端口不能关闭，你应该将它“重定向”。把该端口重定向到另一个地址，这样即可隐藏公认的默认端口，降低受破坏机率，保护系统安全。 例如你的电脑上开放了远程终端服务（Terminal Server）端口（默认是3389），可以将它重定向到另一个端口（例如1234），方法是： 1.在本机上（服务器端）修改 定位到下列两个注册表项，将其中的 PortNumber，全部改成自定义的端口（例如1234）即可： [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp] 2.在客户端上修改 依次单击“开始→程序→附件→通讯→远程桌面连接”，打开“远程桌面连接”窗口，单击“选项”按钮扩展窗口，填写完相关参数后，单击“常规”下的“另存为”按钮，将该连接参数导出为.rdp文件。用记事本打开该文件，在文件最后添加一行：server port:i:1234 （这里填写你服务器自定义的端口）。以后，直接双击这个.rdp 文件即可连接到服务器的这个自定义端口了。 常见的p2p端口:现在qq直播非常严重,所以很多网管都在烦这个问题.无意中得知!封qq直播端口即可解决此问题.这东西比BT还BT..封13000-14000的udp 端口。
怎么阻止IP被攻击?
网络剪刀手等工具的原理就是利用了ARP欺骗，所以，只要防止了ARP欺骗也等于防止了网络剪刀手。
解决办法：应该把你的网络安全信任关系建立在IP+MAC地址基础上，设置静态的MAC-地址-IP对应表，不要让主机刷新你设定好的转换表。
具体步骤：编写一个批处理文件arp.bat内容如下(假设192.168.1.2的mac地址是00-22-aa-00-22-aa)：
@echo off
arp -d
arp -s 192.168.1.2 00-22-aa-00-22-aa
.
.
.
arp -s 192.168.1.254 00-99-cc-00-99-cc
(所有的IP与相应MAC地址都按上面的格式写好)
将文件中的IP地址和MAC地址更改为您自己的网络IP地址和MAC地址即可。
将这个批处理软件拖到每一台主机的“windows--开始--程序--启动”中。这样每次开机时，都会刷新ARP表。
如果有人刷新了你的ARP缓存表，你手动运行arp.bat再次恢复即可。
网络剪刀手还以这样防
进入“MS-DOS方式”或“命令提示符”，在命令提示符下输入命令：ARP -s 10.88.56.72 00-10-5C-AD-72-E3，即可把MAC地址和IP地址捆绑在一起。这样，就不会出现IP地址被盗用而不能正常使用网络的情况，更不会被网络剪刀手剪断，可以有效保证小区网络的安全和用户的应用。
注意：ARP命令仅对局域网的上网代理服务器有用，而且是针对静态IP地址，如果采用Modem拨号上网或是动态IP地址就不起作用。
不过，只是简单地绑定IP和MAC地址是不能完全的解决IP盗用问题的。作为一个网络供应商，他们有责任为用户解决好这些问题之的后，才交给用户使用，而不是把安全问题交给用户来解决。不应该让用户来承担一些不必要盗用的损失。
作为网络供应商，最常用也是最有效的解决方法就是在IP、MAC绑定的基础上，再把端口绑定进去，即IP－MAC－PORT三者绑定在一起，端口（PORT）指的是交换机的端口。这就需要在布线时候做好端口定时管理工作。在布线时应该把用户墙上的接线盒和交换机的端口一一对应，并做好登记工作，然后把用户交上来的MAC地址填入对应的交换机端口，进而再和IP一起绑定，达到IP－MAC－PORT的三者绑定。这样一来，即使盗用者拥有这个IP对应的MAC地址，但是它不可能同样拥有墙上的端口，因此，从物理通道上隔离了盗用者。
单间的说MAC地址是指网卡物理地址..相当于网卡的"身份证"..它唯一的...
IP-MAC绑定是指将IP地址与MAC地址进行绑定.这样子就不能任意修改IP地址了...因为MAC地址是唯一的..
反击"网络执法官"
这几天老有人在局域中使用网络执法官来限制别人,所以在网上找了找这方面的资料,
拿出来分享给大家
----------------------------------------------------------------------------------------------------------------------------------------------
网络执法官简介
我们可以在局域网中任意一台机器上运行网络执法官的主程序NetRobocop.exe，它可以穿透防火墙、实时监控、记录整个局域网用户上线情况，可限制各用户上线时所用的IP、时段，并可将非法用户踢下局域网。该软件适用范围为局域网内部，不能对网关或路由器外的机器进行监视或管理，适合局域网管理员使用
在代理服务器端
捆绑IP和MAC地址，解决局域网内盗用IP：
ARP －s 192.168.10.59 00－50－ff－6c－08－75
解除网卡的IP与MAC地址的绑定：
arp -d 网卡IP
在网络邻居上隐藏你的计算机
net config server /hidden:yes
net config server /hidden:no 则为开启
在网络执法官中，要想限制某台机器上网，只要点击"网卡"菜单中的"权限"，选择指定的网卡号或在用户列表中点击该网卡所在行，从右键菜单中选择"权限"，在弹出的对话框中即可限制该用户的权限。对于未登记网卡，可以这样限定其上线：只要设定好所有已知用户（登记）后，将网卡的默认权限改为禁止上线即可阻止所有未知的网卡上线。使用这两个功能就可限制用户上网。其原理是通过ARP欺骗发给被攻击的电脑一个假的网关IP地址对应的MAC，使其找不到网关真正的MAC地址，这样就可以禁止其上网
二、ARP欺骗的原理
网络执法官中利用的ARP欺骗使被攻击的电脑无法上网，其原理就是使该电脑无法找到网关的MAC地址。那么ARP欺骗到底是怎么回事呢？知其然，知其所以然是我们《黑客X档案》的优良传统，下面我们就谈谈这个问题。
首先给大家说说什么是ARP,ARP（Address Resolution Protocol）是地址解析协议，是一种将IP地址转化成物理地址的协议。从IP地址到物理地址的映射有两种方式：表格方式和非表格方式。ARP具体说来就是将网络层（IP层，也就是相当于OSI的第三层）地址解析为数据连接层（MAC层，也就是相当于OSI的第二层）的MAC地址。
ARP原理：某机器A要向主机B发送报文，会查询本地的ARP缓存表，找到B的IP地址对应的MAC地址后，就会进行数据传输。如果未找到，则广播A一个ARP请求报文（携带主机A的IP地址Ia——物理地址Pa），请求IP地址为Ib的主机B回答物理地址Pb。网上所有主机包括B都收到ARP请求，但只有主机B识别自己的IP地址，于是向A主机发回一个ARP响应报文。其中就包含有B的MAC地址，A接收到B的应答后，就会更新本地的ARP缓存。接着使用这个MAC地址发送数据（由网卡附加MAC地址）。因此，本地高速缓存的这个ARP表是本地网络流通的基础，而且这个缓存是动态的。
ARP协议并不只在发送了ARP请求才接收ARP应答。当计算机接收到ARP应答数据包的时候，就会对本地的ARP缓存进行更新，将应答中的IP和MAC地址存储在ARP缓存中。因此，当局域网中的某台机器B向A发送一个自己伪造的ARP应答，而如果这个应答是B冒充C伪造来的，即IP地址为C的IP，而MAC地址是伪造的，则当A接收到B伪造的ARP应答后，就会更新本地的ARP缓存，这样在A看来C的IP地址没有变，而它的MAC地址已经不是原来那个了。由于局域网的网络流通不是根据IP地址进行，而是按照MAC地址进行传输。所以，那个伪造出来的MAC地址在A上被改变成一个不存在的MAC地址，这样就会造成网络不通，导致A不能Ping通C！这就是一个简单的ARP欺骗。
网络执法官利用的就是这个原理！知道了它的原理，再突破它的防线就容易多了
三、修改MAC地址突破网络执法官的封锁
根据上面的分析，我们不难得出结论：只要修改MAC地址，就可以骗过网络执法官的扫描，从而达到突破封锁的目的。下面是修改网卡MAC地址的方法：
在"开始"菜单的"运行"中输入regedit，打开注册表编辑器，展开注册表到：HKEY_LOCAL_
MACHINE/System/CurrentControl
Set/Control/Class/{4D36E972-E325-11CE-BFC1-08002BE103
18}子键，在子键下的0000，0001，0002等分支中查找DriverDesc（如果你有一块以上的网卡，就有0001，0002......在这里保存了有关你的网卡的信息，其中的DriverDesc内容就是网卡的信息描述，比如我的网卡是Intel 210
41 based Ethernet Controller），在这里假设你的网卡在0000子键。
在0000子键下添加一个字符串，命名为"NetworkAddress"，键值为修改后的MAC地址，要求为连续的12个16进制数。然后在"0000"子键下的NDI/params中新建一项名为NetworkAddress的子键，在该子键下添加名为"default"的字符串，键值为修改后的MAC地址。
在NetworkAddress的子键下继续建立名为"ParamDesc"的字符串，其作用为指定Network
Address的描述，其值可为"MAC Address"。这样以后打开网络邻居的"属性"，双击相应的网卡就会发现有一个"高级"设置，其下存在MAC Address的选项，它就是你在注册表中加入的新项"NetworkAddress"，以后只要在此修改MAC地址就可以了。
关闭注册表，重新启动，你的网卡地址已改。打开网络邻居的属性，双击相应网卡项会发现有一个MAC Address的高级设置项，用于直接修改MAC地址。
MAC地址也叫物理地址、硬件地址或链路地址，由网络设备制造商生产时写在硬件内部。这个地址与网络无关，即无论将带有这个地址的硬件（如网卡、集线器、路由器等）接入到网络的何处，它都有相同的MAC地址，MAC地址一般不可改变，不能由用户自己设定。MAC地址通常表示为12个16进制数，每2个16进制数之间用冒号隔开，如：08:00:20:0A:8C:6D就是一个MAC地址，其中前6位16进制数，08:00:20代表网络硬件制造商的编号，它由IEEE分配，而后3位16进制数0A:8C:6D代表该制造商所制造的某个网络产品（如网卡）的系列号。每个网络制造商必须确保它所制造的每个以太网设备都具有相同的前三字节以及不同的后三个字节。这样就可保证世界上每个以太网设备都具有唯一的MAC地址。
另外，网络执法官的原理是通过ARP欺骗发给某台电脑有关假的网关IP地址所对应的MAC地址，使其找不到网关真正的MAC地址。因此，只要我们修改IP到MAC的映射就可使网络执法官的ARP欺骗失效，就隔开突破它的限制。你可以事先Ping一下网关，然后再用ARP -a命令得到网关的MAC地址，最后用ARP -s IP 网卡MAC地址命令把网关的IP地址和它的MAC地址映射起来就可以了。
四、找到使你无法上网的对方
解除了网络执法官的封锁后，我们可以利用Arpkiller的"Sniffer杀手"扫描整个局域网IP段，然后查找处在"混杂"模式下的计算机，就可以发现对方了。具体方法是：运行Arpkiller，然后点击"Sniffer监测工具"，在出现的"Sniffer杀手"窗口中输入检测的起始和终止IP，单击"开始检测"就可以了。
检测完成后，如果相应的IP是绿帽子图标，说明这个IP处于正常模式，如果是红帽子则说明该网卡处于混杂模式。它就是我们的目标，就是这个家伙在用网络执法官在捣乱。
扫描时自己也处在混杂模式，把自己不能算在其中哦！
找到对方后怎么对付他就是你的事了，比方说你可以利用网络执法官把对方也给封锁了
查看帮助文件发现：
14、怎样防止网络中用户非法使用本软件？
软件中特别设置了"友邻用户"的相互发现功能。"友邻用户"不能相互管理，使管理员免受非法用户攻击，而且不需注册也能发现其他正在使用本软件的用户，也可以在软件自带的"日志"中查看友邻用户的记录。普通用户无力解决其他用户滥用的问题，请与网络管理员联系。
原来安装和对方一样的版本，对方就不能控制你了。版本高的权限大于版本低的。
在网上浏览了一下，发现还可以用arp欺骗的方式，方法是打开dos窗口，输入以下命令：
arp -s 192.168.1.24 dd-dd-dd-dd-dd-dd
apr -a
其中192.168.1.24是自己的ip地址。这是把自己的物理地址给改了
笔者办公所在的局域网最近总出问题，系统总是提示有IP冲突，导致局域网的计算机不能互相访问，而且不能正常上网。这可是办公网络的大忌，要知道离开了网络，离开了局域网很多工作都是没法开展的，经过一番分析，我终于找到了肇事的“元凶”——网络执法官！下面就随笔者一起来看看“网络执法官”到底是怎样在局域网中捣乱的？
一、认识网络执法官
“网络执法官”是一款局域网管理辅助软件，采用网络底层协议，能穿透各客户端防火墙对网络中的每一台主机进行监控。它采用网卡号（MAC）识别用户，可靠性高；该软件不需运行于指定的服务器，在网内任一台主机上运行即可有效监控所有本机连接到的网络（支持多网段监控）。主要具有以下功能：
1． 实时记录上线用户并存档备查：网络中任一台主机，开机即会被本软件实时检测并记录其网卡号、所用的IP、上线时间、下线时间等信息。
2． 自动侦测未登记主机接入并报警：管理员登记完或软件自动检测到所有合法的主机后，可在软件中作出设定，拒绝所有未登记的主机接入网络。一旦有未登记主机接入，软件会自动将其MAC、IP、主机名、上下线时段等信息作永久记录，并可采用声音、向指定主机发消息等多种方式报警。
3． 限定各主机的IP，防止IP盗用：管理员可对每台主机指定一个IP或一段IP，当该主机采用超出范围的IP时，软件会判定其为“非法用户”，自动采用管理员事先指定的方式对其进行控制，并将其MAC、IP、主机名作记录备查。
其实网络执法官是一款非常优秀的局域网管理软件。然而正象大多数远程控制软件一样，软件本身的功能是非常实用的，但是这些工具一旦被一些别有用心的黑客或者捣乱分子利用，就成了他们“为虎作仗”的“帮凶”。
二、破坏方法大曝光
1．这些攻击者通常不具备管理网络的权利，但却去下载“网络执法官”来使用。运行网络执法官，它会自动检测机器上的网卡。
2．此时，选择一个网卡就会弹出一个监控范围选择，你可以选择局域网内的全部机器，当然，你也可以只选择其中的几台，在“指定监控范围”中输入，然后单击“添加/修改”就可以了。
3．上面的设置完毕后，他们就可以开始实施攻击的的行为了。首先需要把攻击的网卡MAC地址跟IP绑定。选择要绑定的一台或者多台机器，然后点击右键，选择“Mac_ip绑定”。
4．然后选择要攻击的对象，右键单击选择“用户属性”，在弹出的“用户属性”窗口中单击“权限设定”按钮，在这里，你可以进行相关的设置。你也可以双击“用户列表”中某用户的“锁”列或者在右键菜单中选择“锁定”选项，那么，该用户会被快速断开与关键主机或者全部主机的连接。
5．攻击者设置好后就可以等着好戏上场了：被攻击者的电脑会不断显示IP冲突，不能访问局域网内的其他电脑，使用者不停地找网管，忙得“不亦乐乎”！笔者的同事好几个都领教过这种被“骚扰”的烦恼。
三、局域网内的“反击战”
遇到这种问题，难道就只有“被动挨打”的份吗？经过一番研究，有些情况下，你终于找到了有效的防范方法，笔者甚至还可以“以其人之道，还治其人之身”！
1．防范为主——修改网卡的MAC地址
由于该软件采用网络底层协议，能穿透各客户端防火墙对网络的每一台主机进行监控和管理，所以防范起来有一定的难度。但是我们也可以通过修改自己的网卡的MAC地址来改变IP到MAC的映射，从而使得网络执法官的ARP欺骗失效，进而摆脱网络执法官的破坏。具体操作步骤如下：依次打开“网上邻居→属性→网络和拨号连接属性”，右击要修改MAC的网卡，在弹出的菜单中选择属性。然后点击“配置→高级”，点击“Network Address”，默认的选项为“没有显示”，选中上面的“设置值”选项，并输入新的网卡MAC地址，注意应该是12个十六进制数，如4561787895BA，不能设置为000000000000，也不能与别的网卡的MAC地址重复，然后点击确定。
2．主动还击——查看日志
如果是恶意的网络攻击者，只是被动防范肯定是不够的，一定要让他受到“惩罚”！你可以通过网络执法官的日志功能揪出攻击者，注意通过网络执法官的版本不要太低，最少保证在2.0以上，只要从日志中找出攻击者的IP（具体方法为：依次打开主界面上的“系统→查看系统日志”），然后提给网络管理人员或者当地网络安全部门，就可以将他“绳之以法”了，甚至你还可以采用一些黑客手段“以其人之道，还治其人之身”。
参考资料：;ID=23252
参考资料：
360拦截IP冲突攻击，到底是什么意思啊
在网络环境中，IP相当于是计算机的身份证。
如果在网络内部出现相同IP的设备，就会发生IP冲突，导致当前的电脑无法正常访问网络。
360拦截IP功能可以禁止其他设备占用当前计算机的IP，防止IP冲突，保证网络安全。
下面是扩展知识：
网络之间互连的协议（IP）是Internet Protocol的外语缩写，[1] 中文缩写为“网协”.
网络之间互连的协议也就是为计算机网络相互连接进行通信而设计的协议。在因特网中，它是能使连接到网上的所有计算机网络实现相互通信的一套规则，规定了计算机在因特网上进行通信时应当遵守的规则。任何厂家生产的计算机系统，只要遵守IP协议就可以与因特网互连互通。IP地址具有唯一性，根据用户性质的不同，可以分为5类。另外，IP还有进入防护，知识产权，指针寄存器等含义。
卡巴斯基总是提示阻止了来自某个IP的攻击，怎样不让他提示？
如果出现了卡巴斯基安全软件提示某IP正在进行攻击已被拦截的提示，可以尝试通过以下方式进行屏蔽：
在卡巴斯基软件弹出的防御窗口中选中“重启前不再提示”并关闭窗口。
在卡巴斯基软件主界面点击“设置”，在弹出的界面中找到并取消“弹出气泡提醒”项目（各个软件版本不同，项目名可能略有不同）。
直接关闭卡巴斯基的防火墙模块或断开网络连接（谨慎）。
注意：如果仍不能够解决问题，可以尝试联系卡巴斯基客服人员解决问题，并检查计算机是否被安装了玩笑软件，弹出恶意提示窗口进行骚扰。
IP欺骗攻击与防范
ARP欺骗原理和ARP欺骗解决方案
目前知道的带有ARP欺骗功能的软件有“QQ第六感”、“网络执法官”、“P2P终结者”、“网吧传奇杀手”等，这些软件中，有些是人为手工操作来破坏网络的，有些是做为病毒或者木马出现，使用者可能根本不知道它的存在，所以更加扩大了ARP攻击的杀伤力。
从影响网络连接通畅的方式来看，ARP欺骗有两种攻击可能，一种是对路由器ARP表的欺骗；另一种是对内网电脑ARP表的欺骗，当然也可能两种攻击同时进行。不管理怎么样，欺骗发送后，电脑和路由器之间发送的数据可能就被送到错误的MAC地址上，从表面上来看，就是“上不了网”，“访问不了路由器”，“路由器死机了”，因为一重启路由器，ARP表会重建，如果ARP攻击不是一直存在，就会表现为网络正常，所以网吧业主会更加确定是路由器“死机”了，而不会想到其他原因。为此，宽带路由器背了不少“黑锅”，但实际上应该ARP协议本身的问题。
如果出现这种问题，一般有如下几个特点：
1、局域网内部所有的（或者大多数）PC都ping不通网关地址，无法上网；但是网卡、交换机的连接指示灯都是正常的。
2、由于Windows系统默认的ARP timeout时间较长，即便是立刻找出了是哪个PC搞的鬼，只关闭该PC也无法立刻解决问题，还需要在客户PC上清空ARP表[在CMD模式下执行arp /d]重新学习或者干脆重启PC才行。
3、虽然这些ARP欺骗是仿冒了路由器网口的MAC的地址，但实际上它们并不需要真的把自己网卡的ip/ mac设置的和路由器一样，所以路由器上通常不会有地址冲突的告警提示。
要确认该问题方法也很简单，在确保局域网交换机正常工作和网线正常连接的情况下，随便找个不能上网的PC，打开CMD命令行界面，执行arp /a，察看网关ip地址对应的mac是否是路由器的网口的mac地址，如果不是，那么基本可以确定是ARP欺骗了。例如：
这是PC端的ARP表项：
C:\ arp /a
Interface: 192.168.19.180 --- 0x2
Internet Address Physical Address Type
192.168.0.3 00-90-27-a7-ad-00 dynamic
192.168.0.1 00-e0-0f-58-cc-1c （路由器以太网口的MAC地址信息） dynamic
192.168.0.10 00-0a-5e-04-72-50 dynamic
再查看路由器以太网口的MAC地址信息：00-e0-0f-58-cc-1c 192.168.0.1,如果上面所查看到的不是Router的MAC,说明有人在故意扰乱。
如果是ARP问题，通常会导致全网不通的掉线，影响很大，也很容易发现和定位。应急处理的方法和不难，前面已经说过。对于预防的方法，可以在每个PC上使用CMD命令：arp -s 192.168.1.6 00-e0-0f-62-c6-09来绑定静态的ARP表项，但是每个PC都要配置，实施、维护起来比较麻烦。每次开机都会重新绑定静态的ARP表项，所以很麻烦，可以新建一个批处理文件如static_arp.bat，注意后缀名为bat。编辑它，以后可以通过双击它来执行这条命令，还可以把它放置到系统的启动目录下来实现启动时自己执行。打开电脑“开始”－＞“程序”，双击“启动”打开启动的文件夹目录，把刚才建立的static_arp.bat复制到里面去，以后电脑每次启动时就会自己执行arp –s命令了。
在路由器上面也有ARP静态绑定的命令，但是ARP欺骗的是仿冒网关的身份去欺骗局域网的PC，所以在路由器上绑定各个PC的mac地址意义不大。不过这种方式倒是可以防止局域网PC乱改ip地址。
arp病毒原理及解决办法
arp病毒原理及解决办法
arp病毒入侵网络，使大多网吧及家庭都陷入苦难！！中招现象：掉线~~~~~~`
在这里我在网上到的相关资料，网络高手的研究一下~~
解决arp攻击的方法
【故障原因】
局域网内有人使用arp欺骗的木马程序（比如：传奇盗号的软件，某些传奇外挂中也被恶意加载了此程序）。
【故障原理】
要了解故障原理，我们先来了解一下arp协议。
在局域网中，通过arp协议来完成ip地址转换为第二层物理地址（即mac地址）的。arp协议对网络安全具有重要的意义。通过伪造ip地址和mac地址实现arp欺骗，能够在网络中产生大量的arp通信量使网络阻塞。
arp协议是“address resolution protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的mac地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的mac地址。但这个目标mac地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标ip地址转换成目标mac地址的过程。arp协议的基本功能就是通过目标设备的ip地址，查询目标设备的mac地址，以保证通信的顺利进行。
每台安装有tcp/ip协议的电脑里都有一个arp缓存表，表里的ip地址与mac地址是一一对应的，如下表所示。
主机 ip地址 mac地址
a 192.168.16.1 aa-aa-aa-aa-aa-aa
b 192.168.16.2 bb-bb-bb-bb-bb-bb
c 192.168.16.3 cc-cc-cc-cc-cc-cc
d 192.168.16.4 dd-dd-dd-dd-dd-dd
我们以主机a（192.168.16.1）向主机b（192.168.16.2）发送数据为例。当发送数据时，主机a会在自己的arp缓存表中寻找是否有目标ip地址。如果找到了，也就知道了目标mac地址，直接把目标mac地址写入帧里面发送就可以了；如果在arp缓存表中没有找到相对应的ip地址，主机a就会在网络上发送一个广播，目标mac地址是“ff.ff.ff.ff.ff.ff”，这表示向同一网段内的所有主机发出这样的询问：“192.168.16.2的mac地址是什么？”网络上其他主机并不响应arp询问，只有主机b接收到这个帧时，才向主机a做出这样的回应：“192.168.16.2的mac地址是bb-bb-bb-bb-bb-bb”。这样，主机a就知道了主机b的mac地址，它就可以向主机b发送信息了。同时它还更新了自己的arp缓存表，下次再向主机b发送信息时，直接从arp缓存表里查找就可以了。arp缓存表采用了老化机制，在一段时间内如果表中
ARP病毒入侵网络 近些天，ARP病毒入侵网络，使大多网吧及家庭出现现象：掉线~~~~~~` 在这里我在网上到的相关资料，网络高手的研究一下~~ 解决ARP攻击的方法 【故障原因】 局域网内有人使用ARP欺骗的木马程序（比如：传奇盗号的软件，某些传奇外挂中也被恶意加载了此程序）。 【故障原理】 要了解故障原理，我们先来了解一下ARP协议。 在局域网中，通过ARP协议来完成IP地址转换为第二层物理地址（即MAC地址）的。ARP协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞。 ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。 每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的，如下表所示。 主机 IP地址 MAC地址 A 192.168.16.1 aa-aa-aa-aa-aa-aa B 192.168.16.2 bb-bb-bb-bb-bb-bb C 192.168.16.3 cc-cc-cc-cc-cc-cc D 192.168.16.4 dd-dd-dd-dd-dd-dd 我们以主机A（192.168.16.1）向主机B（192.168.16.2）发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了，也就知道了目标MAC地址，直接把目标MAC地址写入帧里面发送就可以了；如果在ARP缓存表中没有找到相对应的IP地址，主机A就会在网络上发送一个广播，目标MAC地址是“FF.FF.FF.FF.FF.FF”，这表示向同一网段内的所有主机发出这样的询问：“192.168.16.2的MAC地址是什么？”网络上其他主机并不响应ARP询问，只有主机B接收到这个帧时，才向主机A做出这样的回应：“192.168.16.2的MAC地址是bb-bb-bb-bb-bb-bb”。这样，主机A就知道了主机B的MAC地址，它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表，下次再向主机B发送信息时，直接从ARP缓存表里查找就可以了。ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。 从上面可以看出，ARP协议的基础就是信任局域网内所有的人，那么就很容易实现在以太网上的ARP欺骗。对目标A进行欺骗，A去Ping主机C却发送到了DD-DD-DD-DD-DD-DD这个地址上。如果进行欺骗的时候，把C的MAC地址骗为DD-DD-DD-DD-DD-DD，于是A发送到C上的数据包都变成发送给D的了。这不正好是D能够接收到A发送的数据包了么，嗅探成功。 A对这个变化一点都没有意识到，但是接下来的事情就让A产生了怀疑。因为A和C连接不上了。D对接收到A发送给C的数据包可没有转交给C。 做“man in the middle”，进行ARP重定向。打开D的IP转发功能，A发送过来的数据包，转发给C，好比一个路由器一样。不过，假如D发送ICMP重定向的话就中断了整个计划。 D直接进行整个包的修改转发，捕获到A发送给C的数据包，全部进行修改后再转发给C，而C接收到的数据包完全认为是从A发送来的。不过，C发送的数据包又直接传递给A，倘若再次进行对C的ARP欺骗。现在D就完全成为A与C的中间桥梁了，对于A和C之间的通讯就可以了如指掌了。 【故障现象】 当局域网内某台主机运行ARP欺骗的木马程序时，会欺骗局域网内所有主机和路由器，让所有上网的流量必须经过病毒主机。其他用户原来直接通过路由器上网现在转由通过病毒主机上网，切换的时候用户会断一次线。 切换到病毒主机上网后，如果用户已经登陆了传奇服务器，那么病毒主机就会经常伪造断线的假像，那么用户就得重新登录传奇服务器，这样病毒主机就可以盗号了。 由于ARP欺骗的木马程序发作的时候会发出大量的数据包导致局域网通讯拥塞以及其自身处理能力的限制，用户会感觉上网速度越来越慢。当ARP欺骗的木马程序停止运行时，用户会恢复从路由器上网，切换过程中用户会再断一次线。 【HiPER用户快速发现ARP欺骗木马】 在路由器的“系统历史记录”中看到大量如下的信息（440以后的路由器软件版本中才有此提示）： MAC Chged 10.128.103.124 MAC Old 00:01:6c:36:d1:7f MAC New 00:05:5d:60:c7:18 这个消息代表了用户的MAC地址发生了变化，在ARP欺骗木马开始运行的时候，局域网所有主机的MAC地址更新为病毒主机的MAC地址（即所有信息的MAC New地址都一致为病毒主机的MAC地址），同时在路由器的“用户统计”中看到所有用户的MAC地址信息都一样。 如果是在路由器的“系统历史记录”中看到大量MAC Old地址都一致，则说明局域网内曾经出现过ARP欺骗（ARP欺骗的木马程序停止运行时，主机在路由器上恢复其真实的MAC地址）。 【在局域网内查找病毒主机】 在上面我们已经知道了使用ARP欺骗木马的主机的MAC地址，那么我们就可以使用NBTSCAN（下载地址：）工具来快速查找它。 NBTSCAN可以取到PC的真实IP地址和MAC地址，如果有”传奇木马”在做怪，可以找到装有木马的PC的IP/和MAC地址。 命令：“nbtscan -r 192.168.16.0/24”（搜索整个192.168.16.0/24网段, 即 192.168.16.1-192.168.16.254）；或“nbtscan 192.168.16.25-137”搜索192.168.16.25-137 网段，即192.168.16.25-192.168.16.137。输出结果第一列是IP地址，最后一列是MAC地址。 NBTSCAN的使用范例： 假设查找一台MAC地址为“000d870d585f”的病毒主机。 1）将压缩包中的nbtscan.exe 和cygwin1.dll解压缩放到c:下。 2）在Windows开始—运行—打开，输入cmd（windows98输入“command”），在出现的DOS窗口中输入：C: btscan -r 192.168.16.1/24（这里需要根据用户实际网段输入），回车。 C:Documents and SettingsALAN C: btscan -r 192.168.16.1/24 Warning: -r option not supported under Windows. Running without it. Doing NBT name scan for addresses from 192.168.16.1/24 IP address NetBIOS Name Server User MAC address ------------------------------------------------------------------------------ 192.168.16.0 Sendto failed: Cannot assign requested address 192.168.16.50 SERVER 00-e0-4c-4d-96-c6 192.168.16.111 LLF ADMINISTRATOR 00-22-55-66-77-88 192.168.16.121 UTT-HIPER 00-0d-87-26-7d-78 192.168.16.175 JC 00-07-95-e0-7c-d7 192.168.16.223 test123 test123 00-0d-87-0d-58-5f 3）通过查询IP--MAC对应表，查出“000d870d585f”的病毒主机的IP地址为“192.168.16.223”。 【解决思路】 1、不要把你的网络安全信任关系建立在IP基础上或MAC基础上，（rarp同样存在欺骗的问题），理想的关系应该建立在IP+MAC基础上。 2、设置静态的MAC-- IP对应表，不要让主机刷新你设定好的转换表。 3、除非很有必要，否则停止使用ARP，将ARP做为永久条目保存在对应表中。 4、使用ARP服务器。通过该服务器查找自己的ARP转换表来响应其他机器的ARP广播。确保这台ARP服务器不被黑。 5、使用""proxy""代理IP的传输。 6、使用硬件屏蔽主机。设置好你的路由，确保IP地址能到达合法的路径。（静态配置路由ARP条目），注意，使用交换集线器和网桥无法阻止ARP欺骗。 7、管理员定期用响应的IP包中获得一个rarp请求，然后检查ARP响应的真实性。 8、管理员定期轮询，检查主机上的ARP缓存。 9、使用防火墙连续监控网络。注意有使用SNMP的情况下，ARP的欺骗有可能导致陷阱包丢失。 【HiPER用户的解决方案】 建议用户采用双向绑定的方法解决并且防止ARP欺骗。 1、在PC上绑定路由器的IP和MAC地址： 1）首先，获得路由器的内网的MAC地址（例如HiPER网关地址192.168.16.254的MAC地址为0022aa0022aa局域网端口MAC地址 ）。 2）编写一个批处理文件rarp.bat内容如下： @echo off arp -d arp -s 192.168.16.254 00-22-aa-00-22-aa 将文件中的网关IP地址和MAC地址更改为您自己的网关IP地址和MAC地址即可。 将这个批处理软件拖到“windows--开始--程序--启动”中