我們只要在受影響的電腦中查詢一下當(dāng)前網(wǎng)關(guān)的MAC地址， 就知道中毒電腦的MAC地址了， 在cmd（Windows98中輸入“command”）命令提示行下輸入查詢命令為arp －a。

這時(shí)， 由于這個(gè)電腦的ARP表是錯(cuò)誤的記錄， 因此， 該MAC地址不是真正網(wǎng)關(guān)的MAC地址， 而是中毒電腦的MAC地址！這時(shí)， 再根據(jù)網(wǎng)絡(luò)正常時(shí)， 全網(wǎng)的 IP—MAC地址對(duì)照表， 查找中毒電腦的IP地址就可以了。 由此可見， 在網(wǎng)絡(luò)正常的時(shí)候， 保存一個(gè)全網(wǎng)電腦的IP—MAC地址對(duì)照表是多么的重要。 建議下載使用NBTSCAN 工具掃描全網(wǎng)段的IP地址和MAC地址， 保存下來(lái)， 以備后用。 但是如果情形和我們校園網(wǎng)一樣， 沒有對(duì)IP地址和MAC地址進(jìn)行綁訂， 甚至MAC地址也沒有記錄， 現(xiàn)在就算知道了IP地址， 也無(wú)法找到病毒主機(jī)。 臨時(shí)處理對(duì)策：在能上網(wǎng)時(shí)， 進(jìn)入MS-DOS窗口， 輸入命令

：arp –a 

查看網(wǎng)關(guān)IP對(duì)應(yīng)的正確MAC地址， 將其記錄下來(lái)；如果已經(jīng)不能上網(wǎng)， 則先運(yùn)行一次命令arp –d將arp緩存中的內(nèi)容刪空， 計(jì)算機(jī)可暫時(shí)恢復(fù)上網(wǎng)（攻擊如果不停止的話）， 一旦能上網(wǎng)就立即將網(wǎng)絡(luò)斷掉（禁用網(wǎng)卡或拔掉網(wǎng)線）， 再運(yùn)行arp –a。