Windows 8 手動綁定 ARP 防禦 ARP 攻擊：CMD 指令與批次檔雙重技巧完整教學

ARP 攻擊 (ARP Spoofing) 透過偽造 ARP 回應將閘道器 MAC 位址對應至攻擊者 MAC，導致區域網路流量被攔截、竄改、斷線。Windows 8 缺乏完美相容的 ARP 防火牆軟體，手動綁定 ARP (靜態 ARP 表項) 是有效免費防禦手段。本文提供 CMD 指令與批次檔 (.bat) 兩種完整操作教學。

原理

正常情況：電腦透過 ARP 請求取得閘道器 IP 對應的真實 MAC 位址，存入 ARP 快取表 (動態)。
攻擊情況：攻擊者持續發送偽造 ARP 回應，污染快取表，流量導向攻擊者。
防禦情況：手動新增靜態 ARP 表項 (IP-MAC 對應)，系統優先使用靜態項目，忽略動態更新，阻斷攻擊。

方法一：CMD 手動指令 (即時生效、重開機失效)

1. 以系統管理員身分開啟 CMD：Win + X → 「命令提示字元 (系統管理員)」。

2. 查詢網卡介面索引 (Idx)：

netsh interface ipv4 show interfaces

找到連線中網卡 (如「乙太網路」、「Wi-Fi」) 的 `Idx` 數值 (如 12)。

3. 新增靜態 ARP 綁定：

netsh interface ipv4 add neighbors   

範例：`netsh interface ipv4 add neighbors 12 192.168.1.1 D0-27-88-C9-7C-A4`

4. 驗證綁定結果：

arp -a

輸出中該 IP 顯示「靜態」即成功。

5. 解除綁定 (需重開機生效)：

netsh interface ipv4 delete neighbors  

方法二：批次檔 (.bat) 一鍵綁定/解除 (適合開機自動執行)

建立綁定腳本 `ARP_Bind.bat`

@echo off
rem 綁定閘道器 ARP (請修改 Idx、IP、MAC)
netsh interface ipv4 add neighbors 12 192.168.1.1 D0-27-88-C9-7C-A4
echo ARP 綁定完成，請執行 arp -a 確認顯示「靜態」。
pause

右鍵 → 「以系統管理員身分執行」。

建立解除腳本 `ARP_Unbind.bat`

@echo off
netsh interface ipv4 delete neighbors 12 192.168.1.1
echo ARP 綁定已解除，重新開機後生效。
pause

替代寫法：使用 `arp` 指令 (較舊但相容)

rem 綁定
arp -s 192.168.1.1 D0-27-88-C9-7C-A4
rem 解除
arp -d 192.168.1.1

自動化：開機自動綁定

1. 將 `ARP_Bind.bat` 放入啟動資料夾：Win + R → `shell:startup` → 貼上捷徑。
2. 或工作排程器：觸發條件「啟動時」→ 動作「啟動程式」→ 選取 `ARP_Bind.bat` → 勾選「以最高權限執行」。

注意事項

• Idx、IP、MAC 需根據實際環境修改：`ipconfig` 取得閘道 IP，`arp -a` 取得閘道 MAC，`netsh interface ipv4 show interfaces` 取得 Idx。
• 更換路由器/網路環境後需更新綁定資訊，否則無法上網。
• 靜態 ARP 表項重開機後失效 (Windows 設計)，故需開機自動執行腳本。
• 企業級環境建議部署動態 ARP 檢測 (DAI)、IP 來源防護、港口安全等交換器層級防禦。