局域网的精彩攻防战——网络执法官攻防实例

Rhinoceros

笔者办公所在的局域网最近总出问题，系统总是提示有IP冲突，导致局域网的计算机不能互相访问，而且不能正常上网。这可是办公网络的大忌，要知道离开了网络，离开了局域网很多工作都是没法开展的，经过一番分析，我终于找到了肇事的“元凶”——网络执法官！下面就随笔者一起来看看“网络执法官”到底是怎样在局域网中捣乱的？
一、认识网络执法官
  “网络执法官”是一款局域网管理辅助软件，采用网络底层协议，能穿透各客户端防火墙对网络中的每一台主机进行监控。它采用网卡号（MAC）识别用户，可靠性高；该软件不需运行于指定的服务器，在网内任一台主机上运行即可有效监控所有本机连接到的网络（支持多网段监控）。主要具有以下功能：
1． 实时记录上线用户并存档备查：网络中任一台主机，开机即会被本软件实时检测并记录其网卡号、所用的IP、上线时间、下线时间等信息。
2． 自动侦测未登记主机接入并报警：管理员登记完或软件自动检测到所有合法的主机后，可在软件中作出设定，拒绝所有未登记的主机接入网络。一旦有未登记主机接入，软件会自动将其MAC、IP、主机名、上下线时段等信息作永久记录，并可采用声音、向指定主机发消息等多种方式报警。
3． 限定各主机的IP，防止IP盗用：管理员可对每台主机指定一个IP或一段IP，当该主机采用超出范围的IP时，软件会判定其为“非法用户”，自动采用管理员事先指定的方式对其进行控制，并将其MAC、IP、主机名作记录备查。
  其实网络执法官是一款非常优秀的局域网管理软件。然而正象大多数远程控制软件一样，软件本身的功能是非常实用的，但是这些工具一旦被一些别有用心的黑客或者捣乱分子利用，就成了他们“为虎作仗”的“帮凶”。
二、破坏方法大曝光
1．这些攻击者通常不具备管理网络的权利，但却去下载“网络执法官”来使用。运行网络执法官，它会自动检测机器上的网卡。
2．此时，选择一个网卡就会弹出一个监控范围选择，你可以选择局域网内的全部机器，当然，你也可以只选择其中的几台，在“指定监控范围”中输入，然后单击“添加/修改”就可以了。
3．上面的设置完毕后，他们就可以开始实施攻击的的行为了。首先需要把攻击的网卡MAC地址跟IP绑定。选择要绑定的一台或者多台机器，然后点击右键，选择“Mac_ip绑定”。
4．然后选择要攻击的对象，右键单击选择“用户属性”，在弹出的“用户属性”窗口中单击“权限设定”按钮，在这里，你可以进行相关的设置。你也可以双击“用户列表”中某用户的“锁”列或者在右键菜单中选择“锁定”选项，那么，该用户会被快速断开与关键主机或者全部主机的连接。
5．攻击者设置好后就可以等着好戏上场了：被攻击者的电脑会不断显示IP冲突，不能访问局域网内的其他电脑，使用者不停地找网管，忙得“不亦乐乎”！笔者的同事好几个都领教过这种被“骚扰”的烦恼。

三、局域网内的“反击战”
遇到这种问题，难道就只有“被动挨打”的份吗？经过一番研究，有些情况下，你终于找到了有效的防范方法，笔者甚至还可以“以其人之道，还治其人之身”！
1．防范为主——修改网卡的MAC地址
  由于该软件采用网络底层协议，能穿透各客户端防火墙对网络的每一台主机进行监控和管理，所以防范起来有一定的难度。但是我们也可以通过修改自己的网卡的MAC地址来改变IP到MAC的映射，从而使得网络执法官的ARP欺骗失效，进而摆脱网络执法官的破坏。具体操作步骤如下：依次打开“网上邻居→属性→网络和拨号连接属性”，右击要修改MAC的网卡，在弹出的菜单中选择属性。然后点击“配置→高级”，点击“Network Address”，默认的选项为“没有显示”，选中上面的“设置值”选项，并输入新的网卡MAC地址，注意应该是12个十六进制数，如4561787895BA，不能设置为000000000000，也不能与别的网卡的MAC地址重复，然后点击确定。
2．主动还击——查看日志
  如果是恶意的网络攻击者，只是被动防范肯定是不够的，一定要让他受到“惩罚”！你可以通过网络执法官的日志功能揪出攻击者，注意通过网络执法官的版本不要太低，最少保证在2.0以上，只要从日志中找出攻击者的IP（具体方法为：依次打开主界面上的“系统→查看系统日志”），然后提给网络管理人员或者当地网络安全部门，就可以将他“绳之以法”了，甚至你还可以采用一些黑客手段“以其人之道，还治其人之身”。