一、什麼是 ARP 病毒？

ARP 地址欺騙類病毒屬 **木馬** 範疇，**不具備主動傳播/自我複製能力**。但發作時向全網發送偽造 ARP 封包，干擾網路通訊，**危害遠超一般蠕蟲**。

二、發作現象

• 網路斷線但連線顯示正常。
• 部分/全部內網電腦無法上網、開網頁極慢。
• 區域網路忽斷忽續、速度驟降。

三、核心原理深度剖析

3.1 網路模型基礎

• OSI 7 層模型：理論參考模型。
• TCP/IP 4 層模型：實際商用模型。
  ARP 協定工作在「網際層」(Internet Layer)，負責 IP → MAC 位址解析。

3.2 ARP 協定運作機制

• 主機通訊需知目標 IP，但網卡只識別 **MAC 位址 (48-bit, 全球唯一)**。
• **ARP (Address Resolution Protocol)** 負責 IP → MAC 轉換。
• 各主機維護 **ARP 快取表** 記錄 IP-MAC 對應，避免重複廣播查詢。

3.3 ARP 欺騙完整過程 (三機模型)

場景：A (攻擊者, IP `.2`, MAC_A)、S (發送端, IP `.3`, MAC_S)、D (接收端, IP `.4`, MAC_D)。交換機連接三機。

1. S 要傳資料給 D，查 ARP 快取無 `.4` 記錄 → 發送 ARP 廣播：「我是 `.3` (MAC_S)，誰是 `.4`？」
2. 正常：D 回覆「我是 `.4` (MAC_D)」，S 更新快取 `.4→MAC_D`，封包發往 D。
3. 攻擊： A **搶先/持續** 回覆：「我是 `.4` (MAC_A)」。S 不信任機制，**盲目更新快取為 `.4→MAC_A` (快取中毒)**。
4. 後續 S 發給 D 的封包全送到 A，**A 劫持流量**，可竊聽/竄改/轉發。

3.4 更嚴重：冒充網關 (Gateway Spoofing)

• 內網上網必經網關 (通常 IP `.1`)。
• A 持續廣播：「我是 `.1` (MAC_A)」。
• 全網主機快取更新 `.1→MAC_A`，**所有上網流量全經 A**，A 可完整監聽內網對外通訊。

實戰案例：傳奇網吧殺手

• 木馬 `Trojan/PSW.LMir` 透過傳奇外掛/網頁木馬感染網吧電腦。
• 感染機冒充網關 ARP 欺騙，**嗅探全網封包**。
• 破解《傳奇》遊戲封包加密演算法，**竊取玩家帳號密碼**。
• 解析後轉發至真網關，使用者無感知，**隱蔽性極高**。

下集預告

將介紹 ARP 病毒新變種表現形式、進階偵測與防禦體系建設。