校園網、社區網、企業網、網咖頻傳 ARP 欺騙木馬災情：斷網、掉線、盜帳號、竊銀行卡資訊。單台中毒即可癱瘓整個區域網路。本文詳解原理、偵測手法、防護設定與根除方案。

什麼是 ARP 欺騙？

ARP（位址解析協定）負責將 IP 解析為 MAC 位址。欺騙分兩類：

1. 欺騙路由器 ARP 表：不斷送出錯誤 MAC，導致路由器將封包送往錯誤位址，正常電腦收不到資料。
2. 偽造閘道器：建立假閘道，受害電腦向假閘道送資料，造成斷網。

偵測與處理步驟

1. 檢查本機中毒進程

工作管理員 → 進程，查找 MIR0.dat，發現即中毒，右鍵結束進程。

2. 定位網段內毒源電腦

1. ipconfig 記錄預設閘道 IP（如 59.66.36.1）。
2. arp -a 找到該 IP 對應的實體位址（MAC），正常時為閘道真實 MAC，遭攻擊時為毒源電腦 MAC。
3. 或掃描全網段 IP 再查 ARP 表，尋找與閘道 MAC 相同的 IP，即為中毒主機。

3. 靜態 ARP 綁定閘道（緩解受害）

正常上網時執行 arp -a 記錄閘道真實 MAC。攻擊時先 arp -d 清除快取，暫時恢復上網，立即斷網（禁用網卡/拔網線），再 arp -a 確認 MAC。
手動綁定：arp -s 閘道IP 閘道MAC（例：arp -s 192.168.1.1 00-01-02-03-04-05）。綁定後型態變 static，不受攻擊影響。重開機失效，需重新綁定。

4. 製作批次檔自動綁定

建立 rarp.bat：

@echo off
arp -d
arp -s 192.168.1.1 00-01-02-03-04-05

放入「啟動」資料夾，開機自動執行。

5. 使用專用防護工具

• 下載 Anti ARP Sniffer 保護本機。
• 已知毒源 MAC 可用 NBTSCAN 反查 IP，通報網管封鎖。
• 企業/學校可部署集中式防毒系統統一查殺。

6. 網管應急處理

交換機偵測受感染埠口 → 關閉埠口 → 通知用戶查殺 → 驗證乾淨後重新開放。

清華大學校園網安全小組防護小程式

可在遭 ARP 攻擊時保持本機 MAC 不被竄改，維持上網。操作：選網卡 → 自動取得閘道 IP/MAC → 點「連線保護」 → 最小化至系統匣。僅防護不殺毒，請配合正版防毒軟體。

根治之道仍在找出並清除毒源主機，單機防護只能緩兵之計。