一、定位 ARP 攻擊源頭

主動定位：掃描網卡混雜模式

ARP 攻擊源網卡必處於混雜模式。用 ARPKiller 等工具掃描網內哪台機器網卡處於混雜模式，即可鎖定嫌疑機。定位後收集病毒樣本提交趨勢科技分析。

原理：混雜模式下網卡接收一切經過的數據，不限目標地址，這是 Sniffer 工作基礎。

被動定位：交換機 ARP 表 / Sniffer / NBTSCAN

• 查交換機動態 ARP 表獲取攻擊源 MAC。
• 部署 Sniffer 抓包定位攻擊源 MAC。
• NBTSCAN 實戰：
  1. 解壓 nbtscan.exe 和 cygwin1.dll 到 C:\。
  2. CMD 執行 nbtscan -r 192.168.16.0/24（按實際網段）。
  3. 輸出第一列 IP，最後一列 MAC。對比目標 MAC（如 000d870d585f）查得 IP（如 192.168.16.223）。

二、防禦體系

1. 部署防 ARP 三層交換機：綁定端口-MAC-IP，限制 ARP 流量，自動阻斷攻擊端口，劃分 VLAN 徹底杜絕盜用 IP/MAC。
2. Internet 訪問控制：ARP 攻擊程序多從網上下載，加強上網訪問控制可大幅減少事件。
3. 應急響應：發生攻擊時快速溯源，收集樣本提交趨勢科技 TrendLabs 分析，獲取病毒碼文件進行防禦。