面對成百台電腦逐台排查不現實。利用 ARP 病毒特性：發送偽造 ARP 廣播，中毒機器偽裝成網關。編寫程序實時記錄正確網關 IP-MAC，監控全網 ARP 數據包，發現 IP 為網關但 MAC 非網關者即為 ARP 欺騙，報警並查表定位中毒電腦 IP。

命令行快速檢測法

1. 網絡正常時，用 nbtscan 掃描全網段 IP-MAC 對照表並保存。
2. 發生 ARP 欺騙時，在受影響電腦執行 arp -a 查詢當前網關 MAC。
3. 返回信息示例：192.168.0.1 00-50-56-e6-49-56 dynamic。此 MAC 非真實網關，而是中毒電腦 MAC。
4. 根據保存的 IP-MAC 對照表查找該 MAC 對應 IP，即鎖定母機。

關鍵：平時建立全網 IP-MAC 基線表，事發時一查便知。

本文來自：電腦愛好者(www.pcpxp.com) 詳細出處：https://pcpxp.com/FangDu/1739.html