局域网时断时续问题

（网吧、商务）客户反映上网频繁掉线，经过查证，确认目前引起用户掉线的原因是木马病毒，名字叫传奇杀手等。传奇杀手是一款对局域网进行ARP地址欺骗的病毒软件,通过虚拟局域网网关地址，来欺骗其他客户机，以收集局域网中游戏登陆信息并进行分析从而得到用户信息的破坏性软件。

【病毒原理】

首先,将本机MAC通过arp欺骗广播至局域网,使局域网中的工作站误认为本机是网关。该流程会造成局域网与internet连接中断,使游戏与服务器断开链接，待用户重新启动游戏并进行帐号登陆时,帐户信息并不会直接通过网关上传到代理服务器,而是上传到正在进行arp欺骗的传奇杀手软件中，通过传奇杀手自身的解密手段,会获得该帐户的真实用户名及密码，从而达到窃取玩家帐号的目的.

【发作状况】

当局域网内某台主机运行ARP欺骗的木马程序时，会欺骗局域网内所有主机和路由器，让所有上网的流量必须经过病毒主机。其他用户原来直接通过路由器上网现在转由通过病毒主机上网，切换的时候用户会断一次线。
切换到病毒主机上网后，如果用户已经登陆了传奇服务器，那么病毒主机就会经常伪造断线的假像，那么用户就得重新登录传奇服务器，这样病毒主机就可以盗号了。
由于ARP欺骗的木马程序发作的时候会发出大量的数据包导致局域网通讯拥塞以及其自身处理能力的限制，用户会感觉上网速度越来越慢。当ARP欺骗的木马程序停止运行时，用户会恢复从路由器上网，切换过程中用户会再断一次线。

【故障排除】

在局域网中受影响的客户机上执行arp -a,在回溃信息中会发现重复mac地址.该mac地址对应的即为使用传奇杀手的计算机.而重复的地址就是被arp欺骗后的网关地址.此时可根据mac地址前的ip地址查找该计算机并采取有效手段关闭程序.如果在运行该程序前,该机IP地址已经被更改,则需通过对应的MAC列表查找该物理网卡所存在的计算机.(由此可见,备份一张详细的局域网mac地址列表有多重要)

【在局域网内查找病毒主机】

在上面我们已经知道了使用ARP欺骗木马的主机的MAC地址，那么我们就可以使用NBTSCAN工具来快速查找它。
NBTSC