Vista 環境下防範 ARP 欺騙完整指南：原理、指令綁定與防火牆方案

ARP 欺騙原理速解

ARP (Address Resolution Protocol) 將 IP 位址解析為 MAC 位址。主機 A 要傳資料給 B，先查本地 ARP 快取；無則廣播 ARP Request，B 回覆 ARP Reply (含 MAC)。**快取是動態更新的**——收到任何 ARP Reply 就會覆寫快取。攻擊者 B 偽造「我是網關 (IP=Gateway, MAC=偽造)」回覆給 A，A 更新快取將網關 MAC 指向錯誤位址，導致 A 無法連上真實網關，網路癱瘓。

核心防護策略

1. 靜態 ARP 綁定 (最直接、免費、Vista/7/8/10/11 通用)

管理員命令提示字元執行：

arp -d                    # 清除現有動態快取
arp -s <網關IP> <網關MAC>   # 綁定網關
arp -s <本機IP> <本機MAC>   # 綁定自己 (防 IP 衝突被踢下線)

查詢網關 MAC：ping <網關IP> → arp -a 觀察。
驗證：arp -a 顯示類型為 static 即成功。

重開機後失效，建議寫入批次檔放入「啟動」資料夾或用工作排程器開機自動執行。

2. 雙向 IP/MAC 綁定 (需路由器支援)

• PC 端綁定網關 MAC；路由器端綁定 PC IP+MAC。
• 路由器需支援 IP/MAC 綁定功能 (如 HIPER、部分 ASUS/D-Link 機型)。

3. VLAN 隔離

將受害者與攻擊者置於不同 VLAN，ARP 廣播不跨 VLAN，物理層面阻絕攻擊。

4. 防火牆/專用軟體方案

• Outpost Firewall Pro： 可偵測/阻擋「P2P 終結者」等 ARP 攻擊軟體，顯示攻擊來源 IP/MAC，資源佔用低。
• Look 'n' Stop： 進階規則過濾 ARP 封包 (僅允許網關 MAC)，適用不需與區域網其他機器通訊的環境。
• Anti ARP Sniffer / 專用防 ARP 軟體： 圖形化介面自動綁定、監控攻擊來源，適合不習慣指令操作的使用者。

5. MAC 位址偽裝 (雙輸策略)

將自己 MAC 改為攻擊者相同 MAC+IP，導致攻擊者自身衝突。需先改 MAC 再改 IP 避免 Windows 偵測 IP 衝突。風險高、不建議常態使用。

Vista/XP 具體操作摘要

1. 管理員開啟 CMD。
2. arp -d 清除舊綁定。
3. arp -s 192.168.1.1 00-11-22-33-44-55 (網關 IP/MAC)。
4. arp -s 192.168.1.100 AA-BB-CC-DD-EE-FF (本機 IP/MAC)。
5. arp -a 確認皆為 static。
6. 建立 arp_bind.bat 含上述指令，放入「啟動」資料夾或工作排程器「登入時」觸發。

修改 MAC 位址 (註冊表法，部分網卡支援)

1. regedit → HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4D36E972-E325-11CE-BFC1-08002BE10318}。
2. 在 0000、0001... 子鍵中找 DriverDesc 識別目標網卡。
3. 新增字串值 NetworkAddress = 12 位十六進位新 MAC (不含分隔符)。
4. 同鍵下 NDI\Params 新增 NetworkAddress 子鍵，含 ParamDesc="MAC Address"、Default=新 MAC。
5. 重開機或停用/啟用網卡生效。之後可在裝置管理員 → 網卡屬性 → 進階 → 「Network Address」直接修改。

總結建議

• **首選靜態 ARP 綁定 + 開機自動執行**，成本最低、效果最穩。
• 企業環境請部署**動態 ARP 檢測 (DAI) / 連接埠安全性** 於核心交換器，從網路基礎設施層面根治。
• 發現攻擊來源 IP/MAC 後，配合網管封鎖該埠位或追究責任人。