Windows 修改發送封包 MAC 地址：註冊表法、NDIS 過濾驅動與實戰代碼全解析

可行性分析

• 應用層 Socket API 無法修改 MAC：TCP/IP 協議棧在封裝幀時自動填入網卡實體 MAC，應用層不可干預。
• 註冊表修改 NetworkAddress：可在驅動層生效（需網卡驅動支援），但需停用/啟用網卡或重啟，會導致連線閃斷，不符「不影響網絡狀態」需求。
• NDIS 過濾驅動 (LWF/Filter Driver)：攔截 NdisSendNetBufferLists，在驅動層即時改寫來源 MAC，**唯一符合「動態、無閃斷、可接收回應」** 的方案，但開發難度極高（需簽名驅動、測試簽名模式）。
• 原始 Socket (SIO_RCVALL + 手工構造乙太幀)：需管理員權限、關閉校驗和、自行處理 ARP/IP/TCP 協議棧，工程量龐大且極易被防火牆/殺毒軟體攔截。

註冊表法完整代碼 (C#，需管理員、接受閃斷)

public class MacChanger {
    const string NET_CLASS = @"{4D36E972-E325-11CE-BFC1-08002BE10318}";
    public void SetMac(string adapterName, string newMac) {
        using (var key = Registry.LocalMachine.OpenSubKey($@"SYSTEM\CurrentControlSet\Control\Class\{NET_CLASS}", true)) {
            foreach (string subKeyName in key.GetSubKeyNames()) {
                using (var subKey = key.OpenSubKey(subKeyName, true)) {
                    if (subKey.GetValue("DriverDesc")?.ToString() == adapterName) {
                        subKey.SetValue("NetworkAddress", newMac.Replace(":", "").Replace("-", ""));
                        // 觸發網卡重置
                        DisableEnableAdapter(adapterName);
                        break;
                    }
                }
            }
        }
    }
    void DisableEnableAdapter(string name) {
        // 使用 WMI Win32_NetworkAdapter Disable/Enable
        var query = new ObjectQuery($"SELECT * FROM Win32_NetworkAdapter WHERE NetConnectionID='{name}'");
        using (var searcher = new ManagementObjectSearcher(query)) {
            foreach (ManagementObject obj in searcher.Get()) {
                obj.InvokeMethod("Disable", null);
                Thread.Sleep(500);
                obj.InvokeMethod("Enable", null);
            }
        }
    }
}

NDIS 過濾驅動關鍵點 (C/C++)

• 驅動類型：NDIS Filter LightWeight Filter (LWF)。
• 核心回調：FilterSendNetBufferLists 中遍歷 NET_BUFFER_LIST → NET_BUFFER → MDL → 取得乙太網標頭 → 修改 ETHERNET_HEADER.SourceAddress。
• 簽名：Windows 10+ 必須 EV 簽名或測試簽名模式 (bcdedit /set testsigning on)。
• 參考專案：Microsoft 官方範例 NDISLWF (GitHub: microsoft/Windows-driver-samples)。

業務建議

1. 若需求為「模擬多裝置上線測試」，建議使用虛擬機/容器 + macvlan/ipvlan，每個實例擁有獨立 MAC，零代碼修改。
2. 若為「繞過 MAC 綁定授權」，屬灰色地帶，建議與網管協商白名單或使用 802.1X 認證。
3. 若確須動態改 MAC 且無閃斷，**唯有簽名 NDIS 驅動**，評估開發成本 (約 2-3 人月) 與法律風險後再決策。