什麼是 ARP 欺騙？

在區域網路（LAN）中，ARP（Address Resolution Protocol，地址解析協定）負責將 IP 位址對應到實體 MAC 位址。正常情況下，主機會透過 ARP 廣播詢問目標 IP 的 MAC 位址，並將回應存入本地 ARP 快取表。然而，ARP 協定缺乏驗證機制，完全信任區網內的回應，這讓惡意程式（如「傳奇」盜號木馬、外掛植入的 ARP 欺騙模組）有機可乘。

攻擊運作流程

1. 偽造回應： 攻擊者發送偽造的 ARP 回應，將受害者的 ARP 快取表中「網關 IP」對應的 MAC 位址改為攻擊者自己的 MAC。
2. 流量劫持： 受害者上網封包不再直接送往網關，而是先送到攻擊者機器。
3. 中間人攻擊： 攻擊者開啟 IP 轉發，竊取或竄改封包（如盜取遊戲帳號密碼），再轉發給真正網關，受害者毫無察覺。
4. 網路癱瘓： 大量偽造封包導致區網阻塞，上網速度驟降，斷線重連頻繁。

快速偵測：HiPER 路由器日誌分析

在路由器「系統歷史記錄」中若出現大量 MAC Chged 訊息，且 MAC New 全部指向同一 MAC 位址，即表示該 MAC 所屬主機正在進行 ARP 欺騙。若 MAC Old 一致，則代表木馬已停止運行，主機恢復真實 MAC。

定位病毒主機：使用 NBTSCAN

1. 下載 nbtscan.exe 與 cygwin1.dll 至 C:\。
2. 開啟命令提示字元，執行：C:\nbtscan -r 192.168.16.0/24（依實際網段調整）。
3. 輸出結果中最後一欄為 MAC 位址，比對路由器日誌中的 MAC New 即可找到對應 IP。

徹底防禦策略

基礎防護原則

• 建立 IP-MAC 雙向綁定，不單憑 IP 或 MAC 信任。
• 在主機設定靜態 ARP 快取（arp -s），禁止動態更新。
• 關閉非必要的 ARP 服務，改用 ARP 伺服器集中回應。
• 部署硬體層級的連接埠隔離（靜態路由 ARP 條目），交換器/集線器無法阻擋 ARP 攻擊。
• 定期稽核 ARP 快取、啟用防火牆連續監控、使用 SNMP 陷阱偵測異常。

HiPER 專用雙向綁定部署步驟

1. 用戶端綁定網關

@echo off
arp -d
arp -s 192.168.16.254 00-22-aa-00-22-aa

將上述批次檔（rarp.bat）放入「啟動」資料夾，或透過網管軟體（PubWin、萬象）分發至所有客戶機。

2. 路由器端綁定所有用戶

登入 HiPER 管理介面 → 高級配置 → 用戶管理，逐一綁定每台主機的 IP 與 MAC（需 440 版以上韌體）。

總結

ARP 欺騙雖屬經典攻擊，危害卻極大。透過「日誌偵測 → 掃描定位 → 雙向綁定 → 靜態 ARP → 硬體隔離」的分層防禦，可有效杜絕區網內的流量劫持與帳號盜竊。