WinArpAttacker 是經典的 ARP 攻擊工具，功能強大且介面直觀。本文以教學/防禦視角，詳細解析其核心功能模組、攻擊原理、封包構造實戰操作，並提供對應防禦對策。嚴禁用於非授權網路攻擊，違法必究。

環境準備

1. 下載安裝 WinPcap 4.x+ (底層封包捕獲/發送庫，WinArpAttacker 依賴項)
2. 下載 WinArpAttacker，解壓執行 WinArpAttacker.exe

功能模組總覽

工具列 Attack 模組：6 種攻擊模式

模式	原理	效果	危險等級
Flood	持續大量發送「IP Conflict」封包	目標機網路癱瘓、甚至宕機	⭐⭐⭐⭐⭐
BanGateway	欺騙閘道：發送錯誤目標 MAC 給閘道	目標無法接收閘道回應封包(斷網)	⭐⭐⭐⭐
IP Conflict	發送相同 IP 不同 MAC 封包	目標彈出 IP 衝突警告、斷網	⭐⭐⭐⭐
SniffGateway	雙向 ARP 欺騙(閘道↔目標)	中間人攻擊：攔截/竊聽目標所有通訊	⭐⭐⭐⭐⭐
SniffHosts	欺騙多對主機互通	攔截多主機間通訊	⭐⭐⭐⭐⭐
SniffLan	欺騙全網：宣稱自己是閘道	全網流量經攻擊機中轉，上帝視角竊聽	⭐⭐⭐⭐⭐⭐

Detect 模組：ARP 攻擊偵測

掃描網路中基於 ARP 的攻擊行為(如偽造 ARP 回應、IP/MAC 衝突、異常廣播)，輔助網管發現攻擊源。

Send 模組：手工構造 ARP 封包 —— 核心進階功能

允許用戶自定義 ARP 封包所有欄位，實現精準的 ARP 快取投毒：

• 操作碼：Request(1) / Reply(2)
• 發送端 MAC/IP、目標端 MAC/IP
• 以太網目的 MAC(單播/廣播)

實戰演示：手工構造 ARP Reply 竄改目標 ARP 快取

場景： 攻擊者 IP 192.168.56.130 MAC 00-1E-4F-AB-B1-E8，目標 192.168.56.178

1. 查看目標當前 ARP 快取：arp -a → 記錄正常網關 MAC
2. 開啟 Send 模組，構造 ARP Reply：
   • Operation: 2 (Reply)
   • Sender IP: 192.168.56.130 (攻擊者 IP)
   • Sender MAC: 00-1E-4F-AB-B1-E0 (故意修改最後兩位為 E0)
   • Target IP: 192.168.56.178
   • Target MAC: 目標真實 MAC
   • Dest MAC: 目標真實 MAC (單播投遞)
3. 點擊 Send 發送
4. 目標機再次 arp -a → 發現 192.168.56.130 對應 MAC 已被竄改為 ...E0

防禦對策：從技術到管理

層面	措施
網路設備	啟用 DAI (Dynamic ARP Inspection)、IP Source Guard、Port Security、綁定 IP-MAC-Port
主機端	靜態 ARP 綁定關鍵設備(閘道/伺服器) arp -s IP MAC、啟用防火牆 ARP 保護、安裝防 ARP 欺騙軟體(如 360 ARP 防火牆)
監控審計	部署流量分析/IDS 檢測 ARP 異常(大量 ARP Reply、IP/MAC 不匹配、閘道 MAC 變更)
管理規範	禁用非授權裝置接入、定期掃描未授權 MAC、網段劃分限制廣播域

---

法律警示：《中華人民共和國刑法》第 285、286 條明確規定：非法侵入計算機信息系統、破壞計算機信息系統、提供侵入/控制程式工具，均屬刑事犯罪。本文僅供安全研究、教學演示、防禦部署參考，嚴禁實施任何未授權攻擊行為。