我们只要在受影响的电脑中查询一下当前网关的MAC地址，就知道中毒电脑的MAC地址了，在cmd（Windows98中输入“command”）命令提示行下输入查询命令为HTTP://www.cnpaf.net/class/arp' target='_blank'>ARP －a。
这时，由于这个电脑的HTTP://www.cnpaf.net/class/arp' target='_blank'>ARP表是错误的记录，因此，该MAC地址不是真正网关的MAC地址，而是中毒电脑的MAC地址！这时，再根据网络正常时，全网的 IP—MAC地址对照表，查找中毒电脑的IP地址就可以了。由此可见，在网络正常的时候，保存一个全网电脑的IP—MAC地址对照表是多么的重要。建议下载使用NBTSCAN 工具扫描全网段的IP地址和MAC地址，保存下来，以备后用。但是如果情形和我们校园网一样，没有对IP地址和MAC地址进行绑订，甚至MAC地址也没有记录，现在就算知道了IP地址，也无法找到病毒主机。临时处理对策：在能上网时，进入MS-DOS窗口，输入命令
：HTTP://www.cnpaf.net/class/arp' target='_blank'>ARP –a
查看网关IP对应的正确MAC地址，将其记录下来；如果已经不能上网，则先运行一次命令HTTP://www.cnpaf.net/class/arp' target='_blank'>ARP –d将HTTP://www.cnpaf.net/class/arp' target='_blank'>ARP缓存中的内容删空，计算机可暂时恢复上网（攻击如果不停止的话），一旦能上网就立即将网络断掉（禁用网卡或拔掉网线），再运行HTTP://www.cnpaf.net/class/arp' target='_blank'>ARP –a。