一、什麼是 ARP 協定？

ARP（Address Resolution Protocol，地址解析協定）用於區域網路中將目標 IP 位址轉換為 MAC 位址。乙太網路實際傳輸「幀」，幀含目標主機 MAC 位址。主機欲直接通訊必須知目標 MAC，ARP 即透過目標 IP 查詢目標 MAC，保證通訊順利。ARP 工作在低於 IP 協定的層級，故 ARP 欺騙隱蔽性極高，讓人在不知不覺中出現網路故障。

二、ARP 欺騙原理

正常 TCP/IP 網路不會發送錯誤 ARP 封包，僅當惡意程式啟動發送偽造 ARP 回應時才會造成問題。

情境模擬

三台電腦 A、B、C 連接同一 Hub/交換器。
A: IP 192.168.1.1, MAC AA-AA-AA-AA-AA-AA
B: IP 192.168.1.2, MAC BB-BB-BB-BB-BB-BB
C: IP 192.168.1.3, MAC CC-CC-CC-CC-CC-CC

1. 正常情況 A 執行 arp -a 查詢 C 的 MAC 為 CC-CC-CC-CC-CC-CC（dynamic）。
2. B 執行 ARP 欺騙程式，向 A 發送偽造 ARP 回應：發送者 IP 為 192.168.1.3（C 的 IP），MAC 為 DD-DD-DD-DD-DD-DD（偽造）。A 收到後更新本地 ARP 快取，以為 C 的 MAC 是 DD-DD-DD-DD-DD-DD。
3. A 再次 arp -a 發現 C 的 MAC 已變為 DD-DD-DD-DD-DD-DD（dynamic）。

後果：A 訪問 C 時，ARP 將 IP 錯誤解析為偽造 MAC，導致通訊失敗。若針對閘道發送偽造 ARP，閘道 MAC 錯誤，所有電腦資料無法送達閘道，造成無法上網、區網訪問失效、嚴重網路阻塞。

三、ARP 欺騙危害

• 造成內部網路混亂，被欺騙電腦無法正常訪問內外網，閘道無法與客戶端正常通訊。
• ARP 工作層級低，隱蔽性高，系統不判斷 ARP 快取正確性，不像 IP 衝突會提示。
• 黑客工具（如網路剪刀手）可隨時發送 ARP 欺騙/恢復封包，在普通電腦上控制任意電腦上網與否，甚至直接攻擊閘道讓所有電腦斷網。過去普通電腦無管理權限無法控制閘道，現因 ARP 欺騙成為可能。
• 非法/惡意用戶可隨時發送欺騙與恢復封包，增加網管查找真兇難度。

下篇將講解阻止 ARP 欺騙方法，讓我們徹底與 ARP 欺騙說再見。