用网络分析发现ARP扫描和ARP病毒木马
由于从事网络多年，也有良好的安全使用习惯，对于网络病毒或木马都不太担心，只要不去打开不明的邮件附件，安装上防火墙和杀毒软件，很难感染上这些讨厌的病毒和木马。下面是我发现本机中招的经历，帖出来与大家分享一下，并且附工程文件。

　　本人使用是WinXP操作系统，升级到SK2，安装了防火墙 ZoneAlarm Pro 6.5.722，杀毒软件是用的卡巴斯基。应该是很安全的防范，不知道大家是不是都是用的这样的防火墙和杀毒工具。下面说一下发现中招的过程：

　　早上起来，收邮件，总觉得机器响应很慢，关掉foxmail，IE浏览器，也关掉了photoshop，这个东西占用内存也不少。现在基本上没有什么执行的应用程序了，但情况一直不见好转，硬盘灯在不断的闪，显然是在读或写操作。前几天听一哥们儿说感染了木马，有ARP扫描，是用科来网络分析系统看出来的。正好，我前几天也注册过，也查一下吧。运行科来网络分析系统，我们还是来分析一把。下面的结果证实了我的不好的预感。

　　首先发现大量的ARP无请求应答，也就是我的主机在不断的主动应答，问题是没有请求的ARP应答。

　　查看节点流量，本机的IP是192.168.1.100，每秒2M位，也就是说速度是250KB/秒，这么快的速度，平时上网也很难达到呀。

　　其它可疑的值还有请求数，我已经关掉了上网应用程序，不应该还有这么多的请求，而且流量也有170M。

　　再看一下偶比较喜欢用的矩阵功能，主机运行慢的问题已经是非常明显了，如果网络内还有其它机器，上网肯定会受到影响。

　　在这里，能明显看到有两条亮绿色的粗线，说明一直在连接，并且流量很*r>

　　几乎所有的连接都是由 192.168.1.100 连接，发散型，很容易定位有问题的主机；

　　192.168.1.100 主机有大量的暗绿色连接，这些都是单向连接，如果不是被DDos攻击，就应该是自身在扫描或主动请求。

　　最后返回诊断视图，这里提供了发现到的所有网络问题，每个问题系统都有相应的解释，我帖出来，主要是给大家看一下，感染木马，造成的一个网络现象。

　　那到底中的是什么病毒呢，用常用的查找注册表的方法，开机看启动了什么进程，方法： 开始 > 运行 > regedit，打开注册表后，查找 run，发现可疑的应用程序：winsmd.exe

　　winsmd.exe 木马病毒的解决方法

　　怎么来判断这是不是病毒呢，在google上搜索一下，潮湿关键词：“winsmd.exe 病毒”。

　　下面是收集的解决办法：

　　机器症状：

　　1.进程中多一个vktserv.exe的进程，可能也有winsmd.exe。

　　2.C:\WINDOWS\system32下有winsmd.exe，vktserv.exe

　　3.启动项中有winsmd.exe（msconfig) 论文范文http://www.chuibin.com/

　　4.系统服务中多了个vktserv

　　建议解决办法：

　　1.结束winsmd.exe，删除C:\WINDOWS\system32下winsmd.exe

　　2.结束vktserv.exe，删除C:\WINDOWS\system32下vktserv.exe

　　3.去掉启动项的勾

　　4.停止vktserv服务。