典型徵兆：原本正常上網，突然無法 Ping 通網關；執行 arp -d 或重開機後短暫恢復。主因為區網內某主機感染 ARP 木馬（常隨遊戲外掛傳播），持續發送偽造 ARP 封包，導致其他主機誤將其視為網關。

臨時急救：手動綁定正確網關 MAC

1. 取得正確 MAC：在能上網時開啟命令列，執行 arp -a，記錄網關 IP 對應的 MAC（類型為 dynamic）。
2. 斷網並綁定：發作時先 arp -d 清除快取 → 斷開網路（停用網卡/拔網線） → 再次 arp -a 確認 → 執行 arp -s 閘道IP 閘道MAC 建立靜態對應（類型變 static）。
3. 驗證：再次 arp -a 確認類型為 static，即可暫時免疫攻擊。

注意：靜態綁定重開機失效，需寫入批次檔放入啟動資料夾或使用第三方工具持久化。

根治關鍵：定位並清除病毒源主機

1. 攻擊發作時，arp -a 觀察被偽造的網關 MAC，即為攻擊者主機 MAC。
2. 下載 NBTSCAN，解壓 cygwin1.dll、nbtscan.exe 至 C:\Windows\System32。
3. 命令列執行：nbtscan -r 192.168.1.0/24（替換為實際網段），掃描全網段 IP-MAC 對應。
4. 對照攻擊者 MAC，找出對應 IP，通報網管隔離該主機並徹底殺毒/重灌。

提示：部分主機因防火牆阻擋 NBTSCAN 掃描，建議同時參考 arp -a 綜合判斷。

長效防護建議

• 交換器啟用 DAI（動態 ARP 檢查）與 DHCP Snooping。
• 端點安裝具備 ARP 防護模組的防毒軟體（如 360、火綿等）。
• 禁止使用不明來源遊戲外掛、破解程式。
• 定期稽核網段 ARP 表，異常即時告警。

ARP 攻擊屬區網內部威脅，單機防護只能緩解，必須從網路層面切斷攻擊路徑，並根除感染源，才能一勞永逸。