故障現象

機器原本可正常上網，突然出現可認證但無法上網（無法 ping 通閘道），重啟或在 MS-DOS 執行 arp -d 後暫時恢復，一段時間後再發作。

故障原因

ARP 病毒欺騙攻擊。通常由「傳奇外掛」攜帶的 ARP 木馬引起。區網內使用該外掛時，病毒將該機器 MAC 位址映射到閘道 IP，向區網大量發送 ARP 封包，導致同網段其他機器誤將其視為閘道。故掉線時內網互通但無法上網。

臨時應變對策

1. 取得正確閘道 MAC：能上網時，DOS 視窗輸入 arp -a 記錄閘道 IP 對應的正確 MAC。若已無法上網，先 arp -d 清空快取暫時恢復，立即斷網（禁用網卡或拔網線），再 arp -a 記錄。
2. 手動綁定閘道 IP 與 MAC：無法上網時，DOS 執行 arp -s 閘道IP 閘道MAC 綁定，確保不受攻擊影響。
   例：閘道 218.197.192.254，MAC 00-01-02-03-04-05 → arp -s 218.197.192.254 00-01-02-03-04-05。
   綁定後 arp -a 顯示 Type 變為 static（靜態），不再受攻擊影響。但重開機後失效，需重新綁定。徹底根除須找出染毒電腦殺毒。

尋找染毒電腦

已有病毒機器 MAC 時，用 NBTSCAN 掃描網段找出對應 IP。下載 nbtscan.rar 解壓，將 cygwin1.dll 與 nbtscan.exe 複製到 c:\windows\system32，DOS 執行 nbtscan -r 218.197.192.0/24（依實際網段調整）。注意：防火牆可能導致輸出不全，可同時查看 ARP 快取互補。

補充：Anti ARP Sniffer 使用說明

功能：

防止利用 ARP 技術進行封包截取與發送位址衝突封包。

操作：

• ARP 欺騙防護：填入閘道 IP，點「取得閘道 MAC」→「自動防護」，保護當前網卡與閘道通訊不被監聽。若出現提示記住攻擊者 MAC，用 MAC 掃描器找出對應 IP。
• IP 位址衝突防護：先「恢復預設」→「防護位址衝突」。頻繁衝突代表攻擊者頻發 ARP 欺騙封包。從事件檢視器（系統日誌，來源 TcpIP）找出衝突 MAC，填入工具本地 MAC 欄（將冒號換成連字號），點「防護位址衝突」，禁用再啟用網卡生效，用 ipconfig /all 驗證。恢復預設同樣需禁用/啟用網卡。

Windows 2000/XP 測試通過。