怎样查找公司内网中的ARP病毒主机？
对于感染病毒的用户，信息网络中心会根据其产生的后果严重程度，采取提醒警告乃至暂时关闭网络接入端口等必要措施来保障校园网正常运行。
此病毒为木马病毒附带的一种欺骗病毒，目前无专杀ARP病毒的有效软件。未中毒而只是被攻击的电脑，防护办法如下：在http://www.gxu.edu.cn/gdtz/download/AntiArpSniffer3.5.zip下载AntiArp3.5.0在本机安装运行，在“网关地址”中输入本机网关地址（具体查看网关地址的方法请看附图），然后点击“获取网关MAC地址”按钮，再点击“自动防护”即可。由于此病毒只感染同一个网段的电脑，因此，如果用户所在的网段没有电脑感染arp病毒，即用户上网正常,没有如上的症状，就不需要安装此软件进行防护。
木马病毒怎么在局域网蔓延的
木马传播的三种途径和解决方法（引用视频）：
1.一种是“网络钓鱼”，也称网络欺诈，吸引用户（红包、制作新闻、游戏、视频、歌曲等）点击指定的链接，利用代码把木马嵌入到网页，当访问网页时就会中木马。
2.利用聊天软件，例如你的QQ好友中了某种木马，这个木马很有可能在好友的机器上运行QQ，并发一条消息给你，诱使你打开某个链接或运行某个程序，如果你不慎点击或运行，木马就会偷偷跑进来。
3.一种流行的方法是文件捆绑插件，如与图片文件捆绑，当你浏览图片的时候，木马也会偷偷溜达进来；网页里养马也是一种常见的方法，黑客把做好的木马放到网页上，并诱使你打开，你只要浏览这个页面就可能中招。
4.公用上网环境，如网吧的机器安全性差，黑客还可以直接在机器上做手脚，所以网吧中带马的机器很多。在网吧上网时受到木马攻击的几率也很大。而且上边这些方法可能还会联合行动，组合在一起对你进行攻击。
公司内网中了arp病毒，请大虾帮忙！！！
ARP病毒病毒发作时候的特征为，中毒的机器会伪造某台电脑的MAC地址，如该伪造地址为网关服务器的地址，那么对整个网络均会造成影响，用户表现为上网经常瞬断。
一、在任意客户机上进入命令提示符(或MS-DOS方式)，用arp –a命令查看：
C:WINNTsystem32arp -a
Interface: 192.168.0.193 on Interface 0x1000003
Internet Address Physical Address Type
192.168.0.1 00-50-da-8a-62-2c dynamic
192.168.0.23 00-11-2f-43-81-8b dynamic
192.168.0.24 00-50-da-8a-62-2c dynamic
192.168.0.25 00-05-5d-ff-a8-87 dynamic
192.168.0.200 00-50-ba-fa-59-fe dynamic
可以看到有两个机器的MAC地址相同，那么实际检查结果为 00-50-da-8a-62-2c为192.168.0.24的MAC地址，192.168.0.1的实际MAC地址为00-02-ba-0b-04-32，我们可以判定192.168.0.24实际上为有病毒的机器，它伪造了192.168.0.1的MAC地址。
二、在192.168.0.24上进入命令提示符(或MS-DOS方式)，用arp –a命令查看：
C:WINNTsystem32arp -a
Interface: 192.168.0.24 on Interface 0x1000003
Internet Address Physical Address Type
192.168.0.1 00-02-ba-0b-04-32 dynamic
192.168.0.23 00-11-2f-43-81-8b dynamic
192.168.0.25 00-05-5d-ff-a8-87 dynamic
192.168.0.193 00-11-2f-b2-9d-17 dynamic
192.168.0.200 00-50-ba-fa-59-fe dynamic
可以看到带病毒的机器上显示的MAC地址是正确的，而且该机运行速度缓慢，应该为所有流量在二层通过该机进行转发而导致，该机重启后所有电脑都不能上网，只有等arp刷新MAC地址后才正常，一般在2、3分钟左右。
三、如果主机可以进入dos窗口，用arp –a命令可以看到类似下面的现象：
C:WINNTsystem32arp -a
Interface: 192.168.0.1 on Interface 0x1000004
Internet Address Physical Address Type
192.168.0.23 00-50-da-8a-62-2c dynamic
192.168.0.24 00-50-da-8a-62-2c dynamic
192.168.0.25 00-50-da-8a-62-2c dynamic
192.168.0.193 00-50-da-8a-62-2c dynamic
192.168.0.200 00-50-da-8a-62-2c dynamic
该病毒不发作的时候，在代理服务器上看到的地址情况如下：
C:WINNTsystem32arp -a
Interface: 192.168.0.1 on Interface 0x1000004
Internet Address Physical Address Type
192.168.0.23 00-11-2f-43-81-8b dynamic
192.168.0.24 00-50-da-8a-62-2c dynamic
192.168.0.25 00-05-5d-ff-a8-87 dynamic
192.168.0.193 00-11-2f-b2-9d-17 dynamic
192.168.0.200 00-50-ba-fa-59-fe dynamic
病毒发作的时候，可以看到所有的ip地址的mac地址被修改为00-50-da-8a-62-2c，正常的时候可以看到MAC地址均不会相同。
解决办法：
一、采用客户机及网关服务器上进行静态ARP绑定的办法来解决。
1． 在所有的客户端机器上做网关服务器的ARP静态绑定。
首先在网关服务器（代理主机）的电脑上查看本机MAC地址
C:WINNTsystem32ipconfig /all
Ethernet adapter 本地连接 2:
Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Intel(R) PRO/100B PCI Adapter (TX)
Physical Address. . . . . . . . . : 00-02-ba-0b-04-32
Dhcp Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 192.168.0.1
Subnet Mask . . . . . . . . . . . : 255.255.255.0
然后在客户机器的DOS命令下做ARP的静态绑定
C:WINNTsystem32arp –s 192.168.0.1 00-02-ba-0b-04-32
注：如有条件，建议在客户机上做所有其他客户机的IP和MAC地址绑定。
2． 在网关服务器（代理主机）的电脑上做客户机器的ARP静态绑定
首先在所有的客户端机器上查看IP和MAC地址，命令如上。
然后在代理主机上做所有客户端服务器的ARP静态绑定。如：
C:winntsystem32 arp –s 192.168.0.23 00-11-2f-43-81-8b
C:winntsystem32 arp –s 192.168.0.24 00-50-da-8a-62-2c
C:winntsystem32 arp –s 192.168.0.25 00-05-5d-ff-a8-87
。。。。。。。。。
3． 以上ARP的静态绑定最后做成一个windows自启动文件，让电脑一启动就执行以上操作，保证配置不丢失。
二、有条件的网吧可以在交换机内进行IP地址与MAC地址绑定
三、IP和MAC进行绑定后，更换网卡需要重新绑定，因此建议在客户机安装杀毒软件来解决此类问题：发现的病毒是变速齿轮2.04B中带的，病毒程序在 http://www.wgwang.com/list/3007.html 可下载到：
1、 KAV(卡巴斯基)，可杀除该病毒，病毒命名为：TrojanDropper.Win32.Juntador.c杀毒信息：07.02.2005 10:48:00 C:Documents and SettingsAdministratorLocal SettingsTemporary Internet FilesContent.IE5B005Z0K9Gear_Setup[1].exe infected TrojanDropper.Win32.Juntador.c
2、 瑞星可杀除该病毒，病毒命名为：TrojanDropper.Win32.Juntador.f
3、 另：别的地市报金山毒霸和瑞星命名:“密码助手”木马病毒(Win32.Troj.Mir2)或Win32.Troj.Zypsw.33952的病毒也有类似情况。
附：“密码助手”病毒及TrojanDropper.Win32.Juntador.c 病毒介绍地址：
http://db.kingsoft.com/c/2004/11/22/152800.shtml
http://www.pestpatrol.com/pest_info/zh/t/trojandropper_win32_juntador_c.asp
电脑内网大量木马病毒，怎么杀呀。
建议楼主安装最新版杀毒软件进行全盘查杀观察。
如果出现反复查杀都会出现相同病毒的问题，如果是局域网环境，请断网后重新杀毒。如断网后杀毒不再出现杀毒总杀总有的情况，说明病毒是通过局域网传播，请全网进行杀毒，并安装系统补丁。
如果断网杀毒仍出现总杀总有，或您本身为家庭用户单机上网的情况，说明计算机内是有未知病毒体不断释放该病毒文件导致。需要您通过瑞星听诊器检测一下，然后上报听诊器和autoruns日志信息和瑞星日志备份的db文件。可以进一步帮您进行检测。
瑞星听诊器下载地址：http://it.rising.com.cn/Channels/Service/2006-07/1153115164d21020.shtml
企业网络病毒木马的判断与查杀有没有特别有效方法和工具？
如果要彻底解决，在企业报预算的时候可以报内网管理软件，大概10万左右，它可以管理内网一切活动，可以在系统上添加病毒后缀，你知道的病毒名。这样，当企业员工点击浏览网页的时候，可以从外网端口自动拦截你设置的病毒名后缀或病毒名。这也是效果最好的方法。
用专杀工具，瑞星的，江民的。木马清道夫，木马杀客这些软件很好，但最好在安全模式下删除。
单位局域网病毒怎么处理?
这是一种常见的通过更改系统时间,使杀毒软件过期、系统停止保护的病毒。
我以前和你遇见一模一样的情况。 当时解决问题的方法是：
1. 立即断网，避免重要资料信息的泄露。
2. 更改系统时间于当前日期，修复杀毒软件。(病毒库保留)
3. 立即重起进入安全模式，全面杀毒。
然后系统就恢复正常了，但是如果你对系统不放心，心理存在阴影。可以选择重新安装系统，但是这样的方案对于单位来说，工作量比较大。
面对目前的情况，不需要去找到源头电脑，如果可能，请尽快在短时间内，找出中毒机器的数量，并将所有中毒机器的内网断掉（拔网线）。一一按上面方法杀毒，工作量有点大，但是没有更好的方法。
如果你安装的是瑞星服务器控制的杀毒软件，可以通过服务器对所有客户端强制杀毒一次。
怎末查杀局域网内木马病毒
如果你安装了企业版杀毒软件，你可以设置指定扫描某台电脑。如果电脑少的话，一般是都断网。然后对每台电脑进行杀毒。这样就能清除局域网内的木马。