问题描述：
寝室有4台电脑，共用一台路由器，大概从今天中午开始，就出现频繁断网，无法打开网页的问题。比如我能打开百度，但打不开百度知道、百度贴吧，却能打开百度MP3搜索、百度新闻，有时候就干脆连百度也打不开。开其他网站也是如此，能开新浪、搜狐但开不了网易，或者是开了新浪，但点任何一个链接都打不开。网络游戏根本玩不了，两三分钟就掉线。奇怪的是QQ能一直开着，迅雷也能下东西。
一台电脑出这样的问题也就罢了，关键是寝室4台电脑都是这样的情况，我们怀疑是路由器的问题，就重启路由器，恢复路由器的出厂设置，可还是解决不了问题。
我们又以为是中了ARP病毒，因为上面的情况和ARP病毒的表现几乎是一样的，但4个人都用正版的卡巴查杀却没有查出来，我装了ARP snifer ，arp专杀、arp防火墙什么的，统统不起作用。。。
我还用360安全卫士、超级兔子修复IE，也不行，总之所有能想的办法都想到了，现在就要崩溃了，难道要我们4个人都重装系统吗
不知道哪位高人能解决这个问题，解决了我再追加100分
（ 还又我不知道为什么不能悬赏200分，提供的选择最多只能选100分，总之解决了我会追加100的）
问题解答：
"寝室4台电脑都是这样的情况"可以看出:
不是机器或病毒的事...
过几天就没事了...
网络出故障而已...
QQ能一直开着，迅雷能下东西. 可能是因为这些程序都是一直开着的,你感觉不到它是否断网. 也就是说断网时候它就停止下载,连接以后继续下载..
1.,因为电脑多,可能超过防火墙的最大允许量,所以出现这样的情况.
2.电脑多了,所以需要的交换机或者HUB相应的也多了,其中有中间设备出现问题而引起的
3.其中有电脑中毒,不停的发包,而导致网络阻塞.
你分别根据情况进行检查.
应该是路由器的问题，你换一路由器试一试，对于硬件的验证，如果没有检测仪器，最好的办法就是替换法检测。由于你使用了ARP防护软件，这说明与ARP欺骗无关了。而且又不是一台机子有问题，所以该怀疑你的路由器有问题了。
我们公司的网络前两天面临的问题和你一模一样.其实天气也要占一点原因.
后来,我也是最终无计可施.只得报修.
电信局来人后,重新设置了一下我的猫.问题解决.
我是个电脑小白，不过你们遇到的情况和我非常雷同。即使你们重装系统，等到所有升级一完，还是会出现这个问题，应该不是中毒的原因。QQ正常运行和迅雷都能正常运行（或许用web迅雷时，下载页面不一定能正常显示）说明网络没有多大问题。多半是防火墙的问题，不知道你们使用的是什么防火墙，是系统自带出这个问题就多半是中了什么没有查出来的毒或者恶意程序木马，如果你们使用的是正版防火墙，并且开启了的，那就是防火墙的原因。像ARP防火墙和outpost这类型的都会出现这个问题。这段时间，恰恰因为都保持更新，就不能像之前那样上网，具体我也不是很清楚。
你们试一下把防火墙关了，只用WINDOWS自带的防火墙上网，若没有出现问题就能证明是防火墙的功能“太过于强大”的原因。把正常的列为不正常了。
如果是这样，建议暂时不使用该防火墙，但是要定期进行侦测，以免中毒。只有等过段时间，再次更新后，看防火墙是否仍然会造成上网出这种问题。如果已经可以正常如以前那样就OK，如果不能那就只有继续不要使用该防火墙。
如果仍然想继续使用该防火墙，就请教高手如何设置。（估计不太能实现，因为大多更新后，很多设置会被默认，默认的有时也N多问题）。
1 ARP病毒---导致网络(ping)时断时通---解决办法
ARP病毒解决办法
决战ARP病毒arp -s 192.168.1.1 08-10-17-f8-6a-4b
从上周起，在单位上网时发生的怪事就一直困扰着我，起初以为是网络不稳定才出现时断时续的现象，并没有引起我太大的注意，可事过两天，该现象却越来越严重，发生频率也是越来越高，同时其他同事的电脑也是同样无法正常上网，故障跟我的一模一样，这引起了我的注意，于是决定把这个问题调查个水落石出。
初期的判断主要是围绕着我自己的电脑展开，在进行了查毒和系统的重装后，竟然问题依旧，难道问题不是出在我这台电脑上吗？带着问题我打开了百度的搜索网页，查了一下网络时断时续的相关资料，果然这种现象是近期的一个热点，原因是中了一种arp的木马病毒，它的原理是将网关的MAC地址改写，直接导致访问网关的电脑无法正确找到网关设备，使网络无法正确连接而造成网络瘫痪。经过进一步调查发现，该木马程序的出现是局域网内有人使用ARP欺骗的木马程序(比如：传奇盗号的软件，某些传奇外挂中也被恶意加载了此程序)。而现象却是网络内所有的电脑都无法正确访问网关导致无法上网，所以单从自己的电脑发向去调查，肯定会是毫无收获的，因为自己的电脑也只是受害电脑之一。
解决方案有两种：
一是临时应急型，可暂时解决不能上网的问题，而不是彻底清除病毒：只需使用Windows系统自带的arp命令即可完成。方法如下：点击开始，运行，输入“arp -s 网关地址 网关MAC地址”，这样即可使网关地址与真正的网关MAC地址绑定，使得局域网内病毒主机无法再进行干扰！但问题是此方法在计算机重启后自动失效，想再次使用必须重复上述操作。
二是彻底清除型，此方法必须将网内受感染的病毒主机找出，若局域网只连几台电脑，则查找难度则很低，只要将病毒主机查出并杀毒即可解决问题。但局域网若是带了几十甚至几百台电脑主机时，查找的难度则会增加很多……
问题既然找出，下一步就要搜查病毒主机了。由于单位上网的小局域网内只连有五、六台左右的电脑，这使查找难度降低很多。但也并非一帆风顺，因为病毒主机伪装的MAC地址并没有使用它自己的网卡MAC地址，而是虚构了一个地址，这使我再次陷入迷茫！但后来在使用arp -a命令时发现总有一个IP地址会出现(此IP既不是我电脑的，也不是网关的)，我由此怀疑这个IP地址就是一切故障的始作蛹者，于是我坚决地在集线器上找到了这个IP对应的网线并将之拨掉，果然在没有这台病毒主机干扰后，网络终于恢复了正常。至此由该arp病毒引发的上网时断时续问题随着这台病毒主机被抓出而划上了完美的句号。
ARP病毒---导致网络(ping)时断时通---解决办法
【解决思路】
1、不要把你的网络安全信任关系建立在IP基础上或MAC基础上，(rarp同样存在欺骗的问题)，理想的关系应该建立在IP+MAC基础上。
2、设置静态的MAC-->IP对应表，不要让主机刷新你设定好的转换表。
3、除非很有必要，否则停止使用ARP，将ARP做为永久条目保存在对应表中。
4、使用ARP服务器。通过该服务器查找自己的ARP转换表来响应其他机器的ARP广播。确保这台ARP服务器不被黑。
5、使用“proxy”代理IP的传输。
6、使用硬件屏蔽主机。设置好你的路由，确保IP地址能到达合法的路径。(静态配置路由ARP条目)，注意，使用交换集线器和网桥无法阻止ARP欺骗。
7、管理员定期用响应的IP包中获得一个rarp请求，然后检查ARP响应的真实性。
8、管理员定期轮询，检查主机上的ARP缓存。
9、使用防火墙连续监控网络。注意有使用SNMP的情况下，ARP的欺骗有可能导致陷阱包丢失。
【HiPER用户的解决方案】
建议用户采用双向绑定的方法解决并且防止ARP欺骗。
1、在PC上绑定路由器的IP和MAC地址：
1)首先，获得路由器的内网的MAC地址(例如HiPER网关地址192.168.16.254的MAC地址为0022aa0022aa局域网端口MAC地址>)。
2)编写一个批处理文件rarp.bat内容如下：
@echo off
arp -d
arp -s 192.168.16.254 00-22-aa-00-22-aa
将文件中的网关IP地址和MAC地址更改为您自己的网关IP地址和MAC地址即可。
将这个批处理软件拖到“windows--开始--程序--启动”中。
rp
显示和修改“地址解析协议 (ARP)”缓存中的项目。ARP 缓存中包含一个或多个表，它们用于存储 IP 地址及其经过解析的以太网或令牌环物理地址。计算机上安装的每一个以太网或令牌环网络适配器都有自己单独的表。如果在没有参数的情况下使用，则 arp 命令将显示帮助信息。
语法
arp[-a [InetAddr] [-N IfaceAddr]] [-g [InetAddr] [-N IfaceAddr]] [-d InetAddr [IfaceAddr]] [-s InetAddr EtherAddr [IfaceAddr]]
参数
-a[ InetAddr] [ -N IfaceAddr]
显示所有接口的当前 ARP 缓存表。要显示特定 IP 地址的 ARP 缓存项，请使用带有 InetAddr 参数的 arp -a，此处的 InetAddr 代表 IP 地址。如果未指定 InetAddr，则使用第一个适用的接口。要显示特定接口的 ARP 缓存表，请将 -N IfaceAddr 参数与 -a 参数一起使用，此处的 IfaceAddr 代表指派给该接口的 IP 地址。-N 参数区分大小写。
-g[ InetAddr] [ -N IfaceAddr]
与 -a 相同。
-d InetAddr [IfaceAddr]
删除指定的 IP 地址项，此处的 InetAddr 代表 IP 地址。对于指定的接口，要删除表中的某项，请使用 IfaceAddr 参数，此处的 IfaceAddr 代表指派给该接口的 IP 地址。要删除所有项，请使用星号 (*) 通配符代替 InetAddr。
-s InetAddr EtherAddr [IfaceAddr]
向 ARP 缓存添加可将 IP 地址 InetAddr 解析成物理地址 EtherAddr 的静态项。要向指定接口的表添加静态 ARP 缓存项，请使用 IfaceAddr 参数，此处的 IfaceAddr 代表指派给该接口的 IP 地址。
/?
在命令提示符下显示帮助。
注释
? InetAddr 和 IfaceAddr 的 IP 地址用带圆点的十进制记数法表示。
? EtherAddr 的物理地址由六个字节组成，这些字节用十六进制记数法表示并且用连字符隔开（比如，00-AA-00-4F-2A-9C）。
按以下顺序删除病毒组件
1) 删除 ”病毒组件释放者”
%windows%\SYSTEM32\LOADHW.EXE
2) 删除 ”发ARP欺骗包的驱动程序” (兼 “病毒守护程序”)
%windows%\System32\drivers\npf.sys
a. 在设备管理器中, 单击”查看”-->”显示隐藏的设备”
b. 在设备树结构中,打开”非即插即用….”
c. 找到” NetGroup Packet Filter Driver” ,若没找到,请先刷新设备列表
d. 右键点击” NetGroup Packet Filter Driver” 菜单,并选择”卸载”.
e. 重启windows系统,
f. 删除%windows%\System32\drivers\npf.sys
3) 删除 ”命令驱动程序发ARP欺骗包的控制者”
%windows%\System32\msitinit.dll
2. 删除以下”病毒的假驱动程序”的注册表服务项:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Npf
三、定位ARP攻击源头和防御方法
1．定位ARP攻击源头
主动定位方式：因为所有的ARP攻击源都会有其特征——网卡会处于混杂模式，可以通过ARPKiller这样的工具扫描网内有哪台机器的网卡是处于混杂模式的，从而判断这台机器有可能就是“元凶”。定位好机器后，再做病毒信息收集，提交给趋势科技做分析处理。
标注：网卡可以置于一种模式叫混杂模式（promiscuous），在这种模式下工作的网卡能够收到一切通过它的数据，而不管实际上数据的目的地址是不是它。这实际就是Sniffer工作的基本原理：让网卡接收一切它所能接收的数据。
被动定位方式：在局域网发生ARP攻击时，查看交换机的动态ARP表中的内容，确定攻击源的MAC地址；也可以在局域居于网中部署Sniffer工具，定位ARP攻击源的MAC。
也可以直接Ping网关IP，完成Ping后，用ARP –a查看网关IP对应的MAC地址，此MAC地址应该为欺骗的MAC。
使用NBTSCAN可以取到PC的真实IP地址、机器名和MAC地址，如果有”ARP攻击”在做怪，可以找到装有ARP攻击的PC的IP、机器名和MAC地址。
命令：“nbtscan -r 192.168.16.0/24”（搜索整个192.168.16.0/24网段, 即192.168.16.1-192.168.16.254）；或“nbtscan 192.168.16.25-137”搜索192.168.16.25-137 网段，即192.168.16.25-192.168.16.137。输出结果第一列是IP地址，最后一列是MAC地址。
NBTSCAN的使用范例：
假设查找一台MAC地址为“000d870d585f”的病毒主机。
1）将压缩包中的nbtscan.exe 和cygwin1.dll解压缩放到c:下。
2）在Windows开始—运行—打开，输入cmd（windows98输入“command”），在出现的DOS窗口中输入：C: btscan -r 192.168.16.1/24（这里需要根据用户实际网段输入），回车。
3）通过查询IP--MAC对应表，查出“000d870d585f”的病毒主机的IP地址为“192.168.16.223”。
通过上述方法，我们就能够快速的找到病毒源，确认其MAC——〉机器名和IP地址。
上海旅游网