什麼是 ARP 攻擊

ARP (Address Resolution Protocol) 攻擊利用乙太網協定缺陷，透過偽造 IP-MAC 對應封包，竄改目標主機 ARP 快取表，導致流量被攔截、竄改或中斷 (中間人攻擊、DoS)。最早由 Yuri Volobuev 於《ARP 與 ICMP 重導向遊戲》中探討。

攻擊原理

1. 正常流程：主機 A 欲傳送封包給 B，查詢本地 ARP 快取；若無則廣播 ARP Request (含 A 的 IP/MAC)，B 回應 ARP Reply (含 B 的 MAC)，A 更新快取並封裝 MAC 位址發送。
2. 攻擊手法：攻擊者持續發送偽造 ARP Reply，宣稱自己是閘道 (或目標主機)，使受害者快取中閘道 MAC 指向攻擊者機器。
3. 結果：受害者流量經攻擊者機器轉發，攻擊者可竊聽、修改、丟棄封包；或發送大量偽造封包導致網路阻塞。

常見攻擊型態

• 閘道欺騙：偽裝成閘道，攔截所有出站流量。
• 主機欺騙：偽裝成特定主機，攔截雙向通訊。
• ARP 病毒/木馬：感染單機後自動發動攻擊，形成區域網路大面積斷線、帳號竊取。

偵測與手動處理

1. 檢查本機進程：工作管理員查找可疑進程 (如 MIR0.dat)，結束之。
2. 查看 ARP 表：

   ipconfig          # 記錄閘道 IP (Default Gateway)
   arp -a            # 找到閘道 IP 對應的 MAC
   

   若該 MAC 不屬於真實閘道設備，即遭 ARP 欺騙。
3. 掃描子網找出攻擊源：掃描全段 IP 後再 arp -a，尋找與閘道 MAC 相同的 IP，即為攻擊者。
4. 靜態綁定閘道 MAC：

   arp -s <閘道IP> <真實閘道MAC>
   

   使本機忽略偽造回應，暫時恢復通訊。

防護建議

• 部署 ARP 防火牆 (如 360 ARP 防火牆、彩影 ARP 防火牆、金山 ARP 防火牆)，核心層攔截偽造封包、主動宣告真實 MAC。
• 交換器啟用 DAI (Dynamic ARP Inspection)、IP Source Guard、Port Security，從網路層面阻斷偽造 ARP。
• 靜態綁定關鍵伺服器/閘道 IP-MAC (交換器或主機端)。
• 區域網路採用 VLAN 隔離、802.1X 認證，限制未授權裝置接入。
• 定期掃描終端病毒，清除 ARP 木馬源頭。

ARP 攻擊屬於區域網路第二層威脅，單靠主機端軟體防護治標不治本，結合網路設備硬體防護與終端管理才能徹底根治。