–a
查看網關IP對應的正確MAC地址，將其記錄下來。
註：如果已經不能上網，則先運行壹次命令arp
–d將arp緩存中的內容刪空，計算機可暫時恢復上網（攻擊如果不停止的話），壹旦能上網就立即將網絡斷掉（禁用網卡或拔掉網線），再運行arp
–a。
第二步,
如果已經有網關的正確MAC地址，在不能上網時，手工將網關IP和正確MAC綁定，可確保計算機不再被攻擊影響。手工綁定可在MS-DOS窗口下運行以下命令：
arp
–s
網關IP
網關MAC
例如：假設計算機所處網段的網關為218.197.192.254，本機地址為218.197.192.1在計算機上運行arp
–a後輸出如下：
C:\Documents
and
Settings>arp
-a
Interface:
218.197.192.1
---
0x2
Internet
Address
Physical
Address
Type
218.197.192.254
00-01-02-03-04-05
dynamic
其中00-01-02-03-04-05就是網關218.197.192.254對應的MAC地址，類型是動態（dynamic）的，因此是可被改變。
被攻擊後，再用該命令查看，就會發現該MAC已經被替換成攻擊機器的MAC，如果大家希望能找出攻擊機器，徹底根除攻擊，可以在此時將該MAC記錄下來，為以後查找做準備。
手工綁定的命令為：
arp
–s
218.197.192.254
00-01-02-03-04-05
綁定完，可再用arp
–a查看arp緩存，
C:\Documents
and
Settings>arp
-a
Interface:
218.197.192.1
---
0x2
Internet
Address
Physical
Address
Type
218.197.192.254
00-01-02-03-04-05
static
這時，類型變為靜態（static），就不會再受攻擊影響了。但是，需要說明的是，手工綁定在計算機關機重開機後就會失效，需要再綁定。所以，要徹底根除攻擊，只有找出網段內被病毒感染的計算機，令其殺毒，方可解決。找出病毒計算機的方法：
如果已有病毒計算機的MAC地址，可使用NBTSCAN軟件找出網段內與該MAC地址對應的IP，即病毒計算機的IP地址，然後可報告校網絡中心對其進行查封。
NBTSCAN的使用方法：
下載nbtscan.rar到硬盤後解壓，然後將cygwin1.dll和nbtscan.exe兩文件拷貝到c:\windows\system32(或system)下，進入MSDOS窗口就可以輸入命令：
nbtscan
-r
218.197.192.0/24
（假設本機所處的網段是218.197.192，掩碼是255.255.255.0；實際使用該命令時，應將斜體字部分改為正確的網段）
註：使用nbtscan時，有時因為有些計算機安裝防火墻軟件，nbtscan的輸出不全，但在計算機的arp緩存中卻能有所反應，所以使用nbtscan時，還可同時查看arp緩存，就能得到比較完全的網段內計算機IP與MAC的對應關系。