ARP 攻擊原理深度解析與完整防禦方案

ARP 協議基礎與攻擊原理

ARP（Address Resolution Protocol）負責將 IP 位址解析為 MAC 位址。其核心機制是信任區域網內所有主機，無驗證機制，導致極易遭受 ARP 欺騙。

攻擊流程

1. 攻擊者發送偽造的 ARP 回應，將受害者的 ARP 快取表中「閘道器 IP」對應的 MAC 改為攻擊者 MAC。
2. 同樣欺騙閘道器，將受害者 IP 對應的 MAC 改為攻擊者 MAC。
3. 受害者與閘道器的雙向流量皆經過攻擊者，形成中間人攻擊，可竊聽、篡改、阻斷封包。

故障徵兆

• 上網速度驟降、頻繁斷線重連。
• 特定服務（如網遊）帳號被盜、出現偽斷線提示。
• 路由器日誌出現大量 Mac Chged 訊息，所有用戶 MAC 變為同一組（攻擊者 MAC）。

快速定位病毒主機

方法一：HiPER 路由器日誌分析

• 查看「系統歷史記錄」中 Mac Chged 記錄，Mac New 欄位相同的即為攻擊者 MAC。
• 在「用戶統計」確認所有用戶 MAC 位址一致。

方法二：使用 NBTSCAN 掃描

# 解壓 nbtscan.exe 與 cygwin1.dll 至 C:\
# 掃描整個 C 類網段
C:\nbtscan -r 192.168.16.1/24

輸出最後一欄為 MAC 位址，比對攻擊者 MAC 即可鎖定 IP。

防禦策略分層

HiPER 專用雙向綁定方案

1. PC 端綁定閘道：登入啟動項部署 rarp.bat（含 arp -d 清除舊項 + arp -s 寫入靜態項）。
2. 閘道端綁定用戶：HiPER 管理介面 → 高級配置 → 用戶管理，逐一綁定各主機 IP/MAC（需韌體 440 以上版本）。

圖：HiPER 用戶 IP/MAC 綁定設定畫面

結語

ARP 攻擊屬於二層攻擊，無法單靠單一設備完全阻擋。需結合主機靜態綁定、交換機 DAI、路由器雙向綁定、定期稽核多層次防禦，才能有效根治。