Win 8 應對 ARP 攻擊實戰：CMD 手動綁定與 .bat 批處理腳本自動化防禦

Windows 8 環境下缺乏成熟的第三方 ARP 防火牆 (特別是 64 位元版)，最有效的防禦手段是靜態綁定網關 MAC 地址，使本機 ARP 快取免疫偽造回應。本文提供 CMD 指令與批處理腳本兩種實作方式，並說明原理與注意事項。

核心原理

ARP 攻擊者發送偽造的 ARP 回應，將受害者 ARP 快取中的網關 MAC 修改為攻擊者 MAC，導致流量被攔截/丟棄。靜態綁定 (Static ARP Entry) 標記為 Type: Static，系統將忽略動態 ARP 更新，永遠使用指定的 MAC。

方法一：CMD 指令手動綁定 (臨時/單次需求)

1. 管理員開啟 CMD：Win+X → 「命令提示字元 (系統管理員)」。
2. 查詢網卡介面索引：netsh interface ipv4 show interfaces (或簡寫 netsh i i show in)，記下目標網卡 Idx (如 12)。
3. 執行靜態鄰居綁定：
   netsh -c "interface ipv4" add neighbors 12 192.168.1.1 D0-27-88-C9-7C-A4
   參數說明：12=Idx, 192.168.1.1=網關 IP, D0-27-88-C9-7C-A4=網關真實 MAC (可用 arp -a 查詢)。
4. 驗證：arp -a → 確認該條目 Type 為 Static。
5. 解除綁定：netsh -c "interface ipv4" delete neighbors 12 192.168.1.1 → 重啟生效。

方法二：.bat 批處理腳本一鍵切換 (長期/自動化部署)

將指令封裝為批次檔，雙擊執行，可放入「啟動」資料夾實現開機自動綁定。

綁定腳本 arp_bind.bat

@echo off
title ARP 靜態綁定 - 請以管理員身分執行
:: 請修改以下三項為你的實際環境
set IDX=12
set GATEWAY_IP=192.168.1.1
set GATEWAY_MAC=D0-27-88-C9-7C-A4

netsh -c "interface ipv4" add neighbors %IDX% %GATEWAY_IP% %GATEWAY_MAC%
arp -a | findstr /i "%GATEWAY_IP%"
echo.
echo 完成！上方應顯示 Type: Static
pause

解除綁定腳本 arp_unbind.bat

@echo off
title ARP 解除綁定
set IDX=12
set GATEWAY_IP=192.168.1.1

netsh -c "interface ipv4" delete neighbors %IDX% %GATEWAY_IP%
arp -a | findstr /i "%GATEWAY_IP%"
echo.
echo 綁定已移除，重啟後生效
pause

使用說明

• 右鍵 .bat → 「以系統管理員身分執行」 (必須，否則 netsh 拒絕存取)。
• 首次使用前請用 arp -a 確認網關真實 MAC，填入腳本變數。
• 開機自動綁定：Win+R → shell:startup → 將 arp_bind.bat 捷徑放入 (注意：啟動資料夾執行批次檔預設非管理員權限，需配合工作排程器「以最高權限執行」觸發)。

替代指令：arp -s / arp -d (傳統指令，相容性較好)

:: 綁定
arp -s 192.168.1.1 D0-27-88-C9-7C-A4
:: 解除
arp -d 192.168.1.1

差異：arp -s 新增的靜態項目在重啟後失效 (Win8 以上)，netsh add neighbors 的靜態項目重啟後仍保留 (需重啟網卡或重啟系統生效)，更適合長期防禦。

進階防禦建議 (網路層面，治本)

常見誤區

• ❌ 「安裝 ARP 防火牆軟體就萬事大吉」：Win8/8.1 相容性差、誤報高、自身可能被繞過。
• ❌ 「綁定本機網卡 MAC」：無意義，ARP 攻擊針對的是 網關 MAC。
• ❌ 「綁定後永久有效」：更換路由器/光貓、網關 MAC 變更、重裝系統、重置網路堆疊 (netsh winsock reset) 都會導致綁定失效，需同步更新。

掌握靜態 ARP 綁定技巧，配合良好的網路設備配置，可在缺乏專業防火牆的 Windows 8 環境中建立有效防線，保障區域網路通訊完整性。