ARP 攻擊防禦實戰：雙向綁定、路由器防毒、病毒源清除全流程

ARP 欺騙攻擊導致區域網路大面積斷線、流量劫持，已成企業與網咖常態威脅。單靠端點防毒不足，必須建立「客戶端綁定閘道 MAC + 路由器綁定 IP-MAC + 病毒源根除」三位一體防禦體系。本文以 Qno 俠諾路由器為例，說明完整部署流程。

一、路由器層面：啟用 ARP 防毒與 IP-MAC 綁定

1. 登入路由器 Web 管理介面 → 「防火牆設定」→「基本設定」→ 啟用「防止 ARP 病毒攻擊」。
2. 「IP-MAC 綁定」功能：將內網所有合法主機的 IP 與 MAC 逐一綁定。路由器將拒絕綁定清單外的 IP-MAC 組合通訊，直接阻斷偽造 ARP 封包。

二、客戶端層面：靜態 ARP 綁定閘道（開機自動生效）

在每台 PC 執行（需管理員權限）：

arp -s [路由器 LAN IP] [路由器 LAN MAC]

為確保重開機後依然生效，建立批次檔 arp_bind.bat 放入「啟動」資料夾：

@echo off
arp -d
arp -s 192.168.1.1 00-11-22-33-44-55

（IP/MAC 請替換為實際閘道資訊）

此舉使客戶端拒絕接受偽造的閘道 ARP 回應，封包不會誤送給攻擊者。

三、攻擊發生時：快速定位病毒源

1. 受害 PC 無法上網或 ping 閘道丟包時，執行 arp -a。
2. 觀察閘道 IP 對應的 MAC 是否與路由器實體標籤一致。
3. 若不一致，該 MAC 即為攻擊者。在路由器「DHCP 客戶端清單」或交換器 MAC 地址表中反查該 MAC 對應的埠號/主機，即可鎖定病毒源電腦。

四、病毒源處理與持續防護

1. 隔離清除：斷開病毒源網路，全盤掃毒或重灌系統。
2. 網管巡檢：定期掃描區網病毒、部署企業版防毒軟體集中管理。
3. 修補程式：推送 Windows 更新、關閉高危埠（139、445 等）。
4. 強化帳號：管理員帳號設複雜密碼、停用 Guest、關閉非必要共用（含 C$、D$、ADMIN$），純單機可直接停用 Server 服務。
5. 防毒牆：端點安裝網路防火牆、定期更新病毒碼。
6. 使用者教育：勿隨意點擊 IM/郵件不明連結，防止社交工程植入 ARP 木馬。

五、總結：分層防禦才是王道

ARP 病毒變種層出不窮，但「雙向綁定 + 來源根除」核心邏輯始終有效。建議將上述流程標準化為 SOP，納入網路維運例行作業。